业务逻辑漏洞——授权验证绕过/密码找回 常见检测手段

验证授权绕过手段：

未授权访问：

未授权访问是指用户在没有通过认证授权的情况下能够直接访问需要通过认证才能访问到页面或文本信息。尝试将一些敏感的页面链接复制与其他浏览器或其他电脑进行访问，看是否能访问成功。

越权访问：

1.垂直越权（垂直越权是指使用权限低的用户可以访问权限较高的用户）

2.水平越权（水平越权是指相同权限的不同用户可以互相访问）

密码找回检测手段：

1.密码找回的凭证太弱，如只需要填入一个四位或者六位的纯数字就可以重置密码，导致可以暴力破解

2.密码找回凭证可从客户端直接获取

3.密码找回凭证在页面中可以直接获取

4.用户找回密码的邮箱地址或者手机号码被修改

5.在最后提交修改的密码处的逻辑错误