Pikachu靶场之越权漏洞详解
Pikachu靶场之越权漏洞详解
- 前言
- 逻辑越权漏洞简述
-
- 漏洞描述
- 漏洞原因
- 漏洞分类
-
- 水平越权
- 垂直越权
- 权限框架缺陷
- 如何防御
- 第一关 水平越权
-
- 问题分析
- 尝试防御
- 第二关 垂直越权
-
- 问题分析
- 尝试防御
前言
本篇文章用于巩固对自己逻辑越权漏洞的学习总结，其中部分内容借鉴了以下博客。
链接: pikachu Unsafe Fileupload 不安全的文件上传（pikachu Over permission 越权（皮卡丘漏洞平台通关系列））
链接: 逻辑越权漏洞
逻辑越权漏洞简述
漏洞描述
越权访问（Broken Access Control，BAC），指应用在检查授权时存在漏洞，使得攻击者在获得低权限用户账号后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限的用户。
越权的成因是因为开发人员在对数据进行增删查改时，对客户端请求的数据过分相信而遗漏了权限的判定，权限验证不当而导致的越权行为。
漏洞原因
通常情况下，一个 Web 程序功能流程是登录 - 提交请求 - 验证权限 - 数据库查询 - 返回结果。如果验证权限不足，便会导致越权。常见的程序都会认为通过登录后即可验证用户的身份，从而不会做下一步验证，最后导致越权。
- 隐藏URL
- 直接对象引用
- 多阶段功能
- 静态文件
- 平台配置错误
漏洞分类
水平越权
水平越权是指攻击者尝试访问与他具有相同权限的用户资源。
比如，用户A和用户B属于同一角色，拥有相同的权限等级，他们能获取自己的私有数据（数据A和数据B），但如果系统只验证了能访问数据的角色，而没有对数据做细分或者校验，导致用户A能访问到用户B的数据（数据B），那么用户A访问数据B的行为就叫做水平越权访问。
以下是常出现的水平越权的几种场景：
基于用户身份ID
在使用某个功能时，通过用户提交的身份ID（用户ID、账号、手机号、证件号等用户唯一标识）来访问或操作对应的数据。
基于对象ID
在使用某个功能时，通过用户提交的对象ID（如订单号、记录号）来访问或操作对应的数据。
基于文件名
在使用某个功能时，通过文件名直接访问文件，最常见于用户上传文件的场景。
垂直越权
垂直越权是指低权限用户尝试访问高权限用户的资源。
由于后台应用没有做权限控制，或仅仅在菜单、按钮上做了权限控制，导致恶意用户只要猜测其他管理页面的URL或者敏感的参数信息，就可以访问或控制其他角色拥有的数据或页面，达到权限提升的目的。
主要有以下两种场景：
未认证账号，访问无需认证后能访问该功能
不具备某个功能权限的账户，认证后能成功访问该功能
权限框架缺陷
权限控制框架是实现权限控制功能的基础（例如shiro），如果权限控制框架本身存在缺陷，那么就会导致权限控制功能完全失效。
如何防御
- 采用成熟的权限管理框架（如spring security）
- 验证用户是否具有操作数据的权限
- 用户进行访问操作的凭证（如用户ID、产品号码、订单流水号等）优先采用在服务端关联session或加密后放在session中的方式获取
- 应对用户凭证（如用户ID、产品号码、订单流水号等）采用难以猜测的构造方式（如随机数）或采用复杂的加密算法加密后再提交
- 对管理功能模块进行严格的权限验证
第一关 水平越权
进入pikachu的水平越权关卡，出现一个登录界面
越权漏洞通常都是要先用一个用户登录成功吧，点一下提示，这关有三个同级别的用户，账号密码分别是 lucy/123456,lili/123456,kobe/123456
先用lucy登录，发现有个可以点击查看个人信息的地方
点一下，回显了lucy的个人信息
注意到上图中url的参数username的值是用户名lucy，那么会不会该参数值是哪个用户名就回显哪个用户的信息呢？
来试一下payload：http://www.pikachu.com:90/vul/overpermission/op1/op1_mem.php?username=kobe&submit=%E7%82%B9%E5%87%BB%E6%9F%A5%E7%9C%8B%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF
成功看到kobe的个人信息，lili也是一样，就不演示了
问题分析
到底为啥会出这种问题？来看一下源代码
啊，和猜想的一样，是因为查找用户信息的时候传入的参数是直接从url中获取的，没有校验当前用户
尝试防御
接下来我想试一下防御水平越权。
如下图所示，27行增加判断url传入的username和当前用户是否匹配，如果匹配则为$username赋值，若不匹配则不赋值。
尝试一下，首先是直接点“点击查看个人信息”按钮，返回了当前登录用户lucy的个人信息
再尝试一下把url中的lucy改成kobe，没有返回kobe的个人信息，成功防御水平越权
第二关 垂直越权
进入关卡和上一关一样，也是一个登陆界面
点一下提示，看看有哪些用户：
admin/123456,pikachu/000000,admin是超级boss
先用pikachu登录看看有哪些权限：
pikachu只有后台管理中心的查看权限
退出登录，再用admin用户登录，看看有哪些权限：
admin可以查看，添加，删除
下面分别进行添加和删除操作，记录相关的url：
先添加用户
url是：http://www.pikachu.com:90/vul/overpermission/op2/op2_admin_edit.php
创建一个用户caker
再来看删除：
点击刚创建的haha用户那行的删除按钮，haha被删掉了，注意到url如下：
http://www.pikachu.com:90/vul/overpermission/op2/op2_admin.php?id=52
好了，现在admin退出登录，再用pikachu登录
直接输入地址栏输入payload：http://www.pikachu.com:90/vul/overpermission/op2/op2_admin_edit.php
顺利来到了添加用户的页面
创建用户enen，创建完之后会跳到登录页面，但是不要担心，用pikachu登录之后，发现用户enen已经创建成功
下面再来试试浏览器地址栏直接输入 http://www.pikachu.com:90/vul/overpermission/op2/op2_admin.php?id=52
回车之后也跳转到登录页面了，登录之后发现enen还在，没有删除成功。
此时有两种可能性，要么是heihei的id并不是26，要么是这个url不存在垂直越权漏洞。
用admin登录之后删除heihei，确认heihei的id确实是26，那么就说明这个url不存在垂直越权漏洞。
这表示本关的垂直越权漏洞仅存在于 http://www.pikachu.com:90/vul/overpermission/op2/op2_admin_edit.php ，不存在于http://www.pikachu.com:90/vul/overpermission/op2/op2_admin.php?id=
问题分析
看一下这两个操作的具体处理过程有什么区别：
先看没问题的删除操作op2_admin.php：
主要是23~26行，判断了用户是否登录，是否权限级别为1（超级boss），如果任意一条不满足，就跳转到登录页面
再来看看有问题的op2_admin_edit.php：
22~25行，只验证了用户是否登录，如果没登录就跳转到登录页面，没有验证用户权限等级，但前端显示添加用户是权限等级为1的用户才能执行的操作，因此这里有垂直越权漏洞。
尝试防御
来试一下防御，应该很简单，根据op2_admin.php修改一下op2_admin_edit.php：
22行增加对用户权限等级的判断$_SESSION[‘op2’][‘level’]!=1
现在代码的意思变成，如果用户没登录或者权限等级不为1，则跳转到登录页面
用pikachu用户登录，直接在浏览器地址栏输入http://www.pikachu.com:90/vul/overpermission/op2/op2_admin_edit.php，结果不再是跳转到添加用户的页面，而是跳转到用户登录的页面。防御成功
