web漏洞之水平垂直越权,逻辑越权
前提条件:
获取添加用户的数据包
- 水平越权:通过更换某个ID之类的身份标识,从而使A账号获取修改B账号数据;
- 垂直越权:使用低权限身份的账号,发送高权限账号才能有的请求,获取其更高权限的操作;通过删除请求中的认证信息后重放该请求,依旧可以访问或者完成操作
怎么来的数据包?
- 普通用户前端有操作界面可以抓取数据包
- 通过网站源码本地搭建自己模拟以获取数据包
- 盲猜
原理
前端安全造成:页面
判断用户等级后,代码界面部分进行可选显示
secscan-authcheck插件
- 检测:
- 小米范越权漏洞检测工具、burpsuite的anthz插件
后端安全造成:过滤不严,数据库
如果在访问网站数据包中有传输用户的编号,用户组的编号或者类型编号的时候,那么尝试对这个值进行修改,就是测试越权漏洞的基本
验证安全:
1、Token(爆破、回显、固定), 回显在浏览器前端可以看见,固定就是可以多次重复使用
2、验证码(爆破、识别、复用、回显、绕过)
Token是服务端生成的一串字符串,以作客户端进行请求的一个令牌,当第一次登录后,服务器生成一个Token便将此Token返回给客户端,以后客户端只需带上这个Token前来请求数据即可,无需再次带上用户名和密码
登录应用功能安全问题
-
Http和https协议抓取
Http抓包,密码一般是明文传输,也有加密传输,确定其加密方式,进而对其及进行爆破,MD5加密结果一般都是32位
对密码进行加密之后爆破
-
cookie脆弱性,代码审级,比如有的只需要验证cookie有值进行,抓包,给cookie赋一个值,便可成功绕过cookie验证
-
-
常见商品购买流程,修改方法:
- 替换支付,重复支付,最小额支付,负数支付,溢出支付,优惠券支付等。
-
修改支付状态
找回重置机制:
-
客户端回显,response状态值,验证码爆破(验证码次数,时间),找回流程绕过等
接口调用乱用: -
短信轰炸,来电轰炸
验证码安全
- 分类:图片,手机或邮箱,语音,视频,操作等
- 原理:验证生成或验证过程中的逻辑问题
- 危害:账户权限泄漏,短信轰炸,遍历,任意用户操作等
- 漏洞:客户端回显,验证码复用,验证码爆破,绕过等
token安全
- 基本上述同理,主要是验证中可存在绕过可继续后续测试
- token爆破,token客户端回显等
验证码识别插件工具使用
captcha-killer,Pkav_Http_Fuzz,reCAPTCHA
#接口安全问题
- 调用,遍历,未授权,篡改等
- 调用案例:短信轰炸
- 遍历案列:UD等遍历
- callback回调JSONP