6. Web安全—渗透测试用例—未授权访问漏洞

0x01 等保测评项

GBT 22239-2019《信息安全技术 网络安全等级保护基本要求》中，8.1.4.2安全计算环境—访问控制项中要求包括：
a）应对登录的用户分配账户和权限；
b）应重命名或删除默认账户，修改默认账户的默认口令；
c）应及时删除或停用多余的、过期的账户，避免共享账户的存在；
d）应授予管理用户所需的最小权限，实现管理用户的权限分离；
e）应由授权主体配置访问控制策略，访问控制策略规定主体对客体的访问规则；
f）访问控制的粒度应达到主体为用户级或进程级，客体为文件、数据库表级；
g）应对重要主体和客体设置安全标记，并控制主体对有安全标记信息资源的访问。
未授权访问对应访问控制项中要求a），所以安全控制点为访问控制a。

GBT 28448-2019《信息安全技术 网络安全等级保护测评要求》中，测评单元（L3-CES1-05）
该测评单元包括以下要求:
a）测评指标：应对登录的用户分配账户和权限；
b）测评对象：终端和服务器等设备中的操作系统（包括宿主机和虚拟主机操作系统）、网络设备（包括虚拟网络设备）、安全设备（包括虚拟安全设备）、移动终端、移动终端管理系统、移动终端管理客户端、感知节点设备、网关节点设备、控制设备、业务应用系统、数据库管理系统、中间件和系统管理软件及系统设计文档等。
c）测评实施包括以下内容