5. Web安全—渗透测试用例—越权访问测试

0x01 等保测评项

GBT 22239-2019《信息安全技术 网络安全等级保护基本要求》中，8.1.4.2安全计算环境—访问控制项中要求包括：
a）应对登录的用户分配账户和权限；
b）应重命名或删除默认账户，修改默认账户的默认口令；
c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；
d）应授予管理用户所需的最小权限，实现管理用户的权限分离；
e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；
g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
越权访问对应访问控制项中要求e），所以安全控制点为访问控制e。

GBT 28448-2019《信息安全技术 网络安全等级保护测评要求》中，测评单元（L3-CES1-09）
该测评单元包括以下要求:
a）测评指标：应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则。
b）测