4.2.9-测试文件权限

测试文件权限

ID
WSTG-CONF-09

总结
当为资源提供的权限设置提供对比所需范围更广泛的参与者的访问权限时，可能会导致敏感信息的暴露，或意外方对该资源的修改。当资源与程序配置、执行或敏感用户数据相关时，这尤其危险。

一个明显的例子是未经授权的用户可执行的执行文件。再举一个例子，用于访问 API 的帐户信息或令牌值（在现代 Web 服务或微服务中越来越常见）可能存储在配置文件中，默认情况下，配置文件的权限设置为全局可读。此类敏感数据可由主机的内部恶意行为者或远程攻击者暴露，该攻击者使用其他漏洞破坏服务，但仅获得普通用户权限。

测试目标

• 查看并识别任何恶意文件权限。

如何测试

在 Linux 中，使用 ls 命令检查文件权限。或者namei也可用于递归列出文件权限。

$ namei -l /PathToCheck/

需要文件权限测试的文件和目录包括但不限于：

• 网页文件/目录
• 配置文件/目录
• 敏感文件（加密数据、密码、密钥）/目录
• 日志文件（安全日志、操作日志、管理日志）/目录
• 可执行文件（脚本，EXE，JAR，class，PHP，ASP）/目录
• 数据库文件/目录
• 临时文件/目录
• 上传文件/目录

修复

正确设置文件和目录的权限，以便未经授权的用户无法不必要地访问关键资源。

工具

• Windows AccessEnum
• Windows AccessChk
• Linux namei

引用

• CWE-732：关键资源的权限分配不正确