目录

一、定义

二、风险等级

三、测试过程

四、修复建议


一、定义

垂直越权,指的是恶意用户在获得低权限用户账户后,可以利用一些方式绕过权限限制,访问到原本无权访问的高权限功能。

二、风险等级

高危

三、测试过程

前提:准备两个账号(高权限和低权限)

操作:

1登录高权限的用户账号,访问某模块(期望低权限无法访问的),f12抓包,copy CURL(bash)放到postman里;

2再登录低权限的用户账号,f12抓包,拿到cookie,用这个cookie替换掉postman接口里的cookie;

3调用接口发送请求;

接口:若接口响应成功,就说明该模块存在垂直越权问题。

四、修复建议

对用户操作进行权限校验,防止用户通过修改参数进入未授权页面或进行非法操作

Logo

技术共进,成长同行——讯飞AI开发者社区

更多推荐