当前位置:首页 >  站长 >  建站经验 >  正文

渗透测试中遇到的越权漏洞该如何解决

 2019-10-08 10:31  来源:A5用户投稿  我来投稿   websafe的个人主页 撤稿纠错

  各种互联网项目,新手可操作,几乎都是0门槛

渗透测试在网站,APP刚上线之前是一定要做的一项安全服务,提前检测网站,APP存在的漏洞以及安全隐患,避免在后期出现漏洞,给网站APP运营者带来重大经济损失,很多客户找到我们SINE安全公司做渗透测试服务的同时,我们积累了十多年的漏洞检测经验,对客户的网站各项功能以及APP进行全面的安全检测,下面我们就对渗透测试中的一些知识点跟大家科普一下:

越权漏洞是什么?

详细的跟大家讲解一下什么是越权漏洞,在整个渗透测试过程中,越权漏洞是发生在网站,APP功能里的,比如用户登录,操作,提现,修改个人资料,发送私信,上传图片,撤单,下单,充值,找回密码等等,那么可以简单的理解为,绕过授权对一些需要验证当前身份,权限的功能进行访问并操作,举例来讲:在网站APP里的找回密码功能,正常是按照手机号来进行找回密码,那么如果存在越权漏洞,就可以修改数据包,利用其它手机号获取短信,来重置任意手机号的账户密码。发生漏洞的根本原因是对需要认证的页面存在漏洞,没有做安全效验,导致可以进行绕过,大部分的存在于网站端,以及APP端里,像PHP开发的,以及JAVA开发,VUE.JS开发的服务端口都存在着该漏洞,小权限的用户可以使用高权限的管理操作,这就是越权漏洞。

越权漏洞又分为水平越权,垂直越权,简单来理解的话,就是普通用户操作的权限,可以经过漏洞而变成管理员的权限,或者是可以操作其它人账号的权限,也叫未授权漏洞,正常如果访问管理员的一些操作,是需要有安全验证的,而越权导致的就是绕过验证,可以访问管理员的一些敏感信息,一些管理员的操作,导致数据机密的信息泄露。垂直越权漏洞可以使用低权限的账号来执行高权限账号的操作,比如可以操作管理员的账号功能,水平越权漏洞是可以操作同一个层次的账号权限之间进行操作,以及访问到一些账号敏感信息,比如可以修改任意账号的资料,包括查看会员的手机号,姓名,充值记录,撤单记录,提现记录,注单记录等等,也可以造成使用水平越权来执行其他用户的功能,比如删除银行卡,修改手机号,密保答案等等。

关于越权漏洞的测试方法我们举例来讲解一下:

很多网站,APP设计过程中对ID号是以userid=001等来命名的,我们在登录网站后,输入会员的账号密码,查看用户的信息,比如我的查看链接是www.xxx.com/u/user.php?user_id=008,打开这里链接就可以看到我的详细信息,包括姓名,注册的手机号,地址,上传的图片,余额等等,那么如果网站存在越权漏洞我们就可以来测试一下,将user_id=008改为user_id=009,打开网站就可以看到其他用户的详细信息,以此类推就可以查看任意的账户信息,导致信息泄露发生,危害较大。

渗透测试中发现的越权漏洞修复方案

对存在权限验证的页面进行安全效验,效验网站APP前端获取到的参数,ID,账户密码,返回也需要效验。对于修改,添加等功能进行当前权限判断,验证所属用户,使用seesion来安全效验用户的操作权限,get,post数据只允许输入指定的信息,不能修改数据包,查询的越权漏洞要检测每一次的请求是否是当前所属用户的身份,加强效验即可,如果对程序代码不是太懂的话也可以找专业的网站安全公司处理,渗透测试服务中检测的漏洞较多,下一篇文章,我们SINE安全继续跟大家讲解,科普渗透测试,让您的网站APP更安全。

作者: websafe    /    文章:73篇

申请创业报道,分享创业好点子。点击此处,共同探讨创业新机遇!

相关文章

  • 渗透测试XSS跨站攻击检测手法

    国庆假期结束,这一节准备XSS跨站攻击渗透测试中的利用点,上一节讲了SQL注入攻击的详细流程,很多朋友想要咨询具体在跨站攻击上是如何实现和利用的,那么我们Sinesafe渗透测试工程师为大家详细的讲讲这个XSS是如何实现以及原理。

  • 渗透测试对网站注入攻击方法剖析

    国庆即将到来,前一期讲到获取网站信息判断所属环境以及各个端口的用处和弱口令密码利用方法,这期仍有很多客户找到我们Sine安全想要了解针对于SQL注入攻击的测试方法,这一期我们来讲解下注入的攻击分类和使用手法,让客户明白漏洞是如何产生的,会给网站安全带来怎样的影响!

  • 实战渗透测试判断网站信息内容讲解

    上一节讲到渗透测试中的代码审计讲解,对整个代码的函数分析以及危险语句的避让操作,近期很多客户找我们Sine安全想要了解如何获取到网站的具体信息,以及我们整个渗透工作的流程,因为这些操作都是通过实战累计下来的竟然,渗透测试是对网站检查安全性以及稳定性的一个预防针,前提是必须要有客户的授权才能做这些操作

  • 复检渗透测试网站安全攻守项目分析

    最近我们Sinesafe参加的几家机构的渗透测试防守方防护方案评估复查,部分防守方缺乏对攻击者的正确认知,攻击者的手法已经比较高超了,不扫描,不落地,污染日志等都很普及了。同时也要正确认知对手:攻防演练中,攻击者并非无所不能,他们面临着和防御方一样的问题:时间紧,任务重。所以攻击者的攻击目标,攻击手

  • 渗透测试 网站代码审计等基础方法篇

    这几天整理了下网站渗透测试中基础部分的第三节,我们SINE安全渗透工程师对代码安全审计,手工渗透测试检查代码的危险漏洞方法,找出安全问题重点,配合工具扫描来达到测试漏洞的目的,本测试重点仅限于客户授权才能操作,切记忽非法尝试入侵!以下方法只是提供网站安全检测的具体参考意见。

  • Laravel框架网站漏洞测试与修复

    Laravel框架是目前许多网站,APP运营者都在使用的一款开发框架,正因为使用的网站较多,许多攻击者都在不停的对该网站进行漏洞测试,我们SINE安全在对该套系统进行漏洞测试的时候,发现存在REC漏洞.主要是XSRF漏洞,下面我们来详细的分析漏洞,以及如何利用,漏洞修复等三个方面进行全面的记录.

    标签:
    网站漏洞修复
  • 如何制作网站?网站建设基本流程详解

    互联网时代,各行各业的企业为了适应时代的发展,纷纷从线下转移至线上来拓展自己的业务。若想让更多人了解自己的企业,拥有一个专属网站至关重要。网站不仅可以详细介绍企业信息,更重要的,能够获取不少潜在客户,有利于品牌宣传和推广。

  • 什么是外贸建站?建站前都有哪些必须了解的?

    网站建成后,得有足够的流量,你才可以实现变现盈利。不然你的外贸网站就只是个空架子,毫无用处。这就需要你做好网站推广,方法也有很多:可以建成网站后,多分享给亲朋好友和老顾客;

  • 外贸建站9大注意要点

    一个网站的好坏、排名高低,用户体验起着关键的作用。如果一个网站不去注重用户体验,那么这个网站就不会得到用户的青睐,即使推广的再多,流量转化率低,询盘少,最后并不会为企业带来更多的订单。

  • 外贸建站公司提醒:这些坑不要入

    在进出口贸易中,70%的采购商使用的是英语,但是仍然有30%的采购商通过母语获取信息。而大多数企业只会将网站展示为英语,而忽略了其它的小语种,这样也会流失掉一些商机。

  • 为什么我的虚拟主机建站访问速度慢

    虚拟主机毕竟便宜,本身性能有限制是正常情况,如果无法在主机上做突破,站长可以多优化自身网站,如不要放置过多图片与视频,尤其FLASH动画尽量避免。网站加载内容越少,速度自然会越快。

    标签:
    虚拟主机
  • 虚拟主机建站 这4点会导致访问速度慢

    一般来说,使用虚拟主机的网多为个人博客、企业网站、论坛等规模不大的网站,如果网站本身流量巨大,且有提供下载、视频等,那么单纯的虚拟主机是无法满足要求的,访问速度慢就需要更换为服务器了。

    标签:
    虚拟主机
  • 手机建站四大核心组成部分

    移动设备接入网络的方式通常有两种,自带移动网络或WIFI,而这种接入方式使得网站更容易入用户建立情感。

    标签:
    手机建站
  • 手机建站留住客户有妙招

    内容永远是最重要的一环,使用手机登入网站的用户大多会专注于一个问题,更希望得到一个问题详尽的答案。

    标签:
    手机建站
  • 三个小知识 教你全方位认识手机建站

    目前市面上的手机网站建设平台虽然数量很多,但质量高的就没多少了。所以大家一定要慎重选择,免得被坑。建站团队的技术水平、模板设计质量、模板数量、过往成功案例、系统稳定性和安全性、售后服务水平等,都是你需要好好调研的部分。有了趁手的建站工具,才能让新手顺利建站,不然就会白白浪费时间和精力,还做不好网站。

    标签:
    手机建站
榜单

热门排行

信息推荐

扫一扫关注最新创业资讯