缺少功能级的访问控制

概念原理

大多数Web应用程序的功能在UI页面显示之前,会验证功能级别的访问权限。但是,应用程序需要在每个功能被访问时在服务器端执行相同的访问控制检查。如果请求没有被验证,攻击者能够伪造请求从而在未经适当授权时访问功能。
比如：对于测试登录页面功能级访问控制是否缺失，需要测试
a：合法用户是否能够正常登录，并且访问到登录之后的页面
b：匿名或者攻击者等没有权限的用户是否会被拒绝登录，并且不能访问到需要登录之后才能访问到的页面。

测试方法

1、 保证合法授权用户可以访问成功
2、 限制非法未授权用户的访问

后果危害

很多系统的权限控制是通过页面灰化或隐藏URL实现的，没有在服务器端进行身份确认和权限验证，导致攻击者通过修改页面样式或获取隐藏URL，进而获取特权页面来对系统进行攻击，或者在匿名状态下对他人的页面进行攻击，从而获取用户数据或提升权限。
如果是发生在后台，攻击者能够访问到正常用户才能访问到的页面，将对所有用户的安全问题造成威胁。

防御措施

1、 设计严格的权限控制系统，对于每个请求和URL都要进行校验和权限确认，防止非法请求被执行
2、 对于每个功能的访问，都要有明确的角色授权，采用过滤器的方式校验每个请求的合法性
3、 实现Web访问的IP白名单列表，禁止不可信的IP访问Web系统