搜索

[207] 2018-06-13_越权漏洞详述

文档创建者：s7ckTeam
浏览次数：13
最后更新：2025-01-16
2018-06-13_越权漏洞详述 越 权 漏 洞 详 述 原 创   发 哥 微 课 堂   a F a 攻 防 实 验 室   2 0 1 8 - 0 6 - 1 3 0 x 0 0 ： 何 为 越 权 ： 何 为 越 权 在 我 看 来 ， 越 权 漏 洞 的 成 因 主 要 是 因 为 开 发 过 程 中 在 对 数 据 进 行 增 、 删 、 改 、 查 时 对 客 户 端 请 求 的 数 据 没 有 进 行 严 格 的 权 限 判 定 ， 导 致 单 个 用 户 可 以 操 作 其 他 用 户 的 一 些 操 作 ， 叫 做 越 权 。 0 x 0 1 ： 越 权 分 类 ： 越 权 分 类 越 权 分 为 两 种 ： 一 种 为 水 平 越 权 ， 一 种 为 垂 直 越 权 。 0 x 0 2 ： 漏 洞 举 例 ： 漏 洞 举 例 水 平 越 权 ： 指 攻 击 者 尝 试 访 问 与 他 拥 有 相 同 权 限 的 用 户 资 源 。 例 如 有 一 个 写 作 网 站 ， 作 者 （ A ） 登 录 后 可 以 对 自 己 的 文 章 进 行 发 布 、 查 看 、 删 除 等 操 作 。 当 删 除 一 篇 文 章 时 ， 发 送 的 请 求   U R L   如 下 ： a c t i o n   参 数 是 要 执 行 的 动 作   d e l e t e   删 除 ， i d   为 文 章   i d   号 。 当   A   用 户 想 恶 意 攻 击 时 ， 将   i d   号 改 为 了   2 ， 发 送 了 如 下   U R L ： 因 为   i d   为   2   的 文 章 不 属 于   A   用 户 ， A   将   i d   改 为   2   删 除 成 功 ， 此 时 程 序 没 有 对 请 求 进 行 相 关 的 权 限 判 断 ， 导 致 任 何 人 可 操 作 ， 则 为 水 平 越 权 。 垂 直 越 权 ： 垂 直 越 权 可 以 分 为 两 种 ， 分 别 是 向 上 越 权 和 向 下 越 权 。 向 上 指 一 个 低 级 别 攻 击 者 尝 试 访 问 高 级 别 用 户 的 资 源 ， 向 下 指 一 个 高 级 别 用 户 尝 试 访 问 低 级 别 用 户 的 资 源 。 例 如 一 个 用 户 的 个 人 信 息 管 理 页 是   u s e r . p h p ， 而 管 理 员 管 理 所 有 用 户 信 息 的 页 面 是   m a n a g e u s e r . p h p ,   但 管 理 页 面 没 有 相 关 的 权 限 验 证 ， 导 致 任 何 人 输 入 管 理 页 面 地 址 都 可 以 访 问 ， 则 导 致 了 垂 直 越 权 中 的 向 上 越 权 。 向 下 越 权 相 反 。 0 x 0 3 ： 产 生 条 件 ： 产 生 条 件 通 常 情 况 下 ， 一 个   W e b   程 序 功 能 流 程 是 登 录   -   提 交 请 求   -   验 证 权 限   -   数 据 库 查 询   -   返 回 结 果 。 如 果 验 证 权 限 不 足 ， 便 会 导 致 越 权 。 常 见 的 程 序 都 会 认 为 通 过 登 录 后 即 可 验 证 用 户 的 身 份 ， 从 而 不 会 做 下 一 步 验 证 ， 最 后 导 致 越 权 。 1 ， 通 过 隐 藏 ， 通 过 隐 藏   U R L   实 现 控 制 访 问 实 现 控 制 访 问 有 些 程 序 的 管 理 员 的 管 理 页 面 只 有 管 理 员 才 显 示 ， 普 通 用 户 看 不 到 ， 利 用   U R L   实 现 访 问 控 制 ， 但   U R L   泄 露 或 被 恶 意 攻 击 者 猜 到 后 ， 这 会 导 致 越 权 攻 击 。 2 ， 直 接 对 象 引 用 ， 直 接 对 象 引 用 这 种 通 过 修 改 一 下 参 数 就 可 以 产 生 水 平 越 权 ， 例 如 查 看 用 户 信 息 页 面   U R L   后 加 上 自 己 的   i d   便 可 查 看 ， 当 修 改 为 他 人 的   I D   号 时 会 返 回 他 人 的 信 息 ， 便 产 生 了 水 平 越 权 。 3 ， 多 阶 段 功 能 ， 多 阶 段 功 能 多 阶 段 功 能 是 一 个 功 能 有 多 个 阶 段 的 实 现 。 例 如 修 改 密 码 ， 可 能 第 一 步 是 验 证 用 户 身 份 信 息 ， 号 码 验 证 码 类 的 。 当 验 证 成 功 后 ， 跳 到 第 二 步 ， 输 入 新 密 码 ， 很 多 程 序 会 在 这 一 步 不 再 验 证 用 户 身 份 ， 导 致 恶 意 攻 击 者 抓 包 直 接 修 改 参 数 值 ， 导 致 可 修 改 任 意 用 户 密 码 。 4 ,   静 态 文 件 静 态 文 件 很 多 网 站 的 下 载 功 能 ， 一 些 被 下 载 的 静 态 文 件 ， 例 如   p d f 、 w o r d 、 x l s   等 ， 可 能 只 有 付 费 用 户 或 会 员 可 下 载 ， 但 当 这 些 文 件 的 h t t p : / / w w w . x x x x . c o m / a r t i c l e . p h p ? a c t i o n = d e l e t e & i d = 1 h t t p : / / w w w . x x x x . c o m / a r t i c l e . p h p ? a c t i o n = d e l e t e & i d = 2
U R L   地 址 泄 露 后 ， 导 致 任 何 人 可 下 载 ， 如 果 知 道   U R L   命 名 规 则 ， 则 会 便 利 服 务 器 的 收 费 文 档 进 行 批 量 下 载 。 5 ， 平 台 配 置 错 误 ， 平 台 配 置 错 误 一 些 程 序 会 通 过 控 件 来 限 制 用 户 的 访 问 ， 例 如 后 台 地 址 ， 普 通 用 户 不 属 于 管 理 员 组 ， 则 不 能 访 问 。 但 当 配 置 平 台 或 配 置 控 件 错 误 时 ， 就 会 出 现 越 权 访 问 。 0 x 0 4 ： 如 何 测 试 ： 如 何 测 试 对 于 渗 透 测 试 ， 可 以 对 一 些 请 求 进 行 抓 包 操 作 ， 或 者 查 看 请 求 的   U R L   地 址 ， 对 于 关 键 的 参 数 修 改 下 值 查 看 下 返 回 结 果 来 初 步 判 定 。 随 后 可 以 注 册 两 个 小 号 ， 相 互 辅 助 来 确 定 是 否 存 在 越 权 。 常 见 的 越 权 高 发 功 能 点 有 ： 根 据 订 单 号 查 订 单 、 根 据 用 户   I D   查 看 帐 户 信 息 、 修 改   /   找 回 密 码 等 。 对 于 代 码 审 计 ， 可 以 先 查 看 前 端 的 网 页 源 码 ， 查 看 一 些 操 作 的 表 单 提 交 的 值 。 查 看 配 置 文 件 和 一 些 过 滤 器 ， 看 是 否 对   U R L   有 相 关 的 筛 选 操 作 。 最 后 查 看 后 台 处 理 逻 辑 ， 是 否 存 在 身 份 验 证 机 制 ， 逻 辑 是 否 异 常 ， 有 时 的 逻 辑 漏 洞 也 可 导 致 越 权 操 作 。 0 x 0 5 ： 测 试 流 程 图 ： 测 试 流 程 图 一 般 测 试 时 ， 可 以 注 册 两 个 小 号 测 试 ， 更 方 便 ， 大 概 流 程 图 如 下 ： 0 x 0 6 ： 代 码 案 例 ： 代 码 案 例 水 平 越 权 ， 例 如 一 个 网 站 的 修 改 个 人 信 息 页 面 ， 用 户 提 交 表 单 时 程 序 从 表 单 中 获 取   u s e r i d   的 值 ， 然 后 发 送 给 后 台 执 行 修 改 操 作 ， 前 端 代 码 如 下 ： 表 单 的 用 户   i d   做 为 隐 藏 字 段 ， 在 用 户 修 改 信 息 时 一 起 发 送 到 后 台 处 理 ， 后 台 代 码 如 下 ： < f o r m   m e t h o d = " p o s t "   a c t i o n = " / e d i t u s e r i n f o " >                 < i n p u t   t y p e = " h i d d e n "   n a m e = " u s e r i d "   v a l u e = " < % = r e s . g e t S t r i n g ( " u s e r i d " ) > "   / >         用 户 名 ： < % = r e s . g e t S t r i n g ( " u s e r n a m e " ) >         密 　 码 ： < i n p u t   t y p e = " p a s s w o r d "   n a m e = " p a s s w o r d " / >         < i n p u t   t y p e = " s u b m i t "   v a l u e = " 修 改 " / >         < / f o r m > i n t   u s e r i d = I n t e g e r . v a l u e O f (   r e q u e s t . g e t P a r a m e t e r ( " u s e r i d " ) ) ;     S t r i n g   p a s s = r e q u e s t . g e t P a r a m e t e r ( " p a s s " ) ; J d b c C o n n e c t i o n   c o n n   =   n u l l ;     t r y   {             c o n n   =   n e w   J d b c C o n n e c t i o n ( ) ;             O b j e c t [ ]   p a r a m s   =   n e w   O b j e c t [ 2 ] ;    
这 样 的 代 码 安 全 性 就 很 低 ， 恶 意 用 户 在 前 台 通 过 抓 包 便 可 以 随 意 修 改 用 户   i d ， 导 致 修 改 任 意 用 户 的 密 码 ， 可 定 义 为 水 平 越 权 。 垂 直 越 权 ， 也 可 以 叫 做 权 限 提 升 攻 击 ， 原 理 是 由 于   W e b   应 用 没 有 做 权 限 控 制 ， 或 只 是 在 菜 单 做 了 权 限 控 制 ， 导 致 恶 意 攻 击 者 只 要 猜 到 管 理 员 的   U R L ， 就 可 以 访 问 和 控 制 其 他 角 色 ， 达 到 权 限 提 升 目 的 ， 例 如 以 下 的 菜 单 控 制 代 码 ： 0 x 0 7 ： 如 何 防 御 ： 如 何 防 御 1 ， 类 似 于 这 种 请 求 ， 例 如 查 看 用 户 信 息 等 ， 不 能 只 根 据 用 户   i d   去 搜 索 ， 应 该 再 次 进 行 身 份 验 证 。 2 ， 可 以 从 用 户 的 加 密 认 证   c o o k i e   中 获 取 当 前 用 户   i d ， 防 止 攻 击 者 对 其 修 改 。 或 在   s e s s i o n 、 c o o k i e   中 加 入 不 可 预 测 、 不 可 猜 解 的 u s e r   信 息 。 3 ， 在 每 个 页 面 加 载 前 进 行 权 限 认 证 。 4 ， 特 别 敏 感 操 作 可 以 让 用 户 再 次 输 入 密 码 或 其 他 的 验 证 信 息 。 0 x 0 8 ： 思 维 导 图 总 结 ： 思 维 导 图 总 结         p a r a m s [ 0 ]   =   p a s s ;             p a r a m s [ 1 ]   =   u s e r i d ;             f i n a l   S t r i n g   s q l   =   " u p d a t e   u s e r   s e t   p a s s w o r d = ?   w h e r e   u s e r i d = ? " ;             c o n n . e x e c U p d a t e ( s q l , p a r a m s ) ;             c o n n . c l o s e C o n n ( ) ;     < t r >               < t d > < a   h r e f = " / u s e r i n f o . j s p " > 管 理 个 人 信 息 < / a > < / t d >     < / t r >     < % i f   ( p o w e r . i n d e x O f ( " a d m i n i s t r a t o r s " ) > - 1 ) { % >     < t r >             < t d > < a   h r e f = " / m a n a g e u s e r . j s p " > 管 理 所 有 用 户 < / a > < / t d >     < / t r >     < % } % >  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理