安全测试之功能级访问控制缺失

一、功能级访问控制缺失的概念

大多数Web应用程序的功能在UI页面显示之前,会验证功能级别的访问权限。但是,应用程序需要在每个功能被访问时在服务器端执行相同的访问控制检查。如果请求没有被验证,攻击者能够伪造请求从而在未经适当授权时访问功能。

二、功能级访问控制缺失的实例

举一个比较简单的登录的例子，对于登录页面，如果测试功能级访问控制是否缺失，需要测试：
1. 合法的用户是否能够正常登录，访问到登录之后的页面。
2. 匿名或者攻击者等没有权限的用户是否被拒绝登录，并且不能够访问需要登录才能访问到的页面。

三、功能级访问控制缺失的后果

会导致攻击者能够访问到正常用户才能访问的页面，如果是发生在后台，将对所有用户的安全问题造成威胁。

四、功能级访问控制缺失的测试方法

测试时，应该注意两方面的内容：
1. 保证合法授权用户可以访问成功。
2. 限制非法未授权用户的访问。

五、功能级访问控制缺失的防御措施

对一些需要权限才可以访问的目录、网页等做相应的验证处理，保证只有合法用户才可以访问，没有权限的用户给出相应的友好提示，提示信息也应当注意不能出现任何包含权限等信息的内容。