业务授权访问模块(读书笔记)

0x01：非授权访问测试

非授权访问是指用户在没有通过认证授权的情况下能够直接访问需

要通过认证才能访问到的页面或文本信息。可以尝试在登录某网站

前台或后台之后，将相关的页面链接复制到其他浏览器或其他电脑

上进行访问，观察是否能访问成功。

测试方法：

攻击者登录某应用需要通过认证的页面 ，切换浏览器再次访问此页面，成功访问则存在未授权访问的漏洞。

修复建议：

未授权访问可以理解为需要安全配置或权限认证的地址、授权页面存在缺陷，导致其他用户可以直接访问，从而引发重要权限可被操作、数据库、网站目录等敏感信息泄露，所以对未授权访问页面做Session认证，并对用户访问的每一个URL做身份鉴别，正确地校验用户ID及Token等。

0x02：越权测试

越权一般分为水平越权和垂直越权，水平越权是指相同权限的不同用户可以互相访问：垂直越权是指使用权限低的用户可以访问权限较高的用户。

水平越权测试方法主要是看是否通过A用户的操作影响B用户。

垂直权限测试的基本思路是低权限用户越权高权限用户的功能，

比如普通用户可以使用管理功能。

修复建议：

服务端校验身份唯一性，自己的身份只能查看、修改、删除、添加自己的信息。

出自来自web攻防之业务安全