【安全测试】可怕的越权

之前看了一篇越权文章深受启发，于是就产生了下面的一系列想法，纯属个人观点，但不局限于此，如有更好想法的朋友，可留言自己观点。

一、登录权限越权

1、登录时长失效，这时当用户仍在此功能页面时，进行充值、付款测试，应是无法操作成功的，踢出到登录页面，并给出提示信息

2、A用户用B用户的登录权限做一系列业务操作

二、业务逻辑越权

1、业务状态越权

新创建的订单、已付款的订单、已发货的订单、已收货的订单、已完成的订单、已评价的订单，进行付款操作测试

2、业务终结越权

已实名认证成功，再次实名认证、再次实名认证其它身份证

3、业务上下层越权

已实名认证，进入提现业务，库里改状态为未未实名认证，提现检测

4、业务资源占用越权

A身份证被A用户占用，B用户绑A身份证检测

三、垂直越权未授权功能

1、主管有修改权限，客服有查看权限，主管账号更换为客服账号，进行修改操作测试

2、主管可看到账号管理页面，客服看不到，这时，更换主管账号为客服账号，查看账号管理页面测试

四、水平越权其它用户、团队资源

通过修改URL链接上的参数来进行一些非对应账号信息的查看和操作。

例1：修改URL上的订单号为别人的，查看、修改、删除、评价、操作别人的订单进行测试

例2：修改URL上的订单参数为不存在的，查看、修改、删除、评价、操作别人的订单进行测试

五、非归属关系越权

1、主管有修改自己团队成员信息权限，A团队主管修改B团队成员信息

2、成员可向本团队主管申请借款，A团队成员向B团队主管申请借款

六、终结越权

1、用户被拉黑，登录、提现操作

2、用户被拉黑，主管提升用户为团队组长、从团队中踢出用户

3、用户被拉黑，用户相关数据展示、计算、处理等

【安全测试】可怕的越权相关推荐

Web 攻防之业务安全：越权访问漏洞测试.
Web 攻防之业务安全:越权访问漏洞测试. 由于没有对用户权限进行严格的判断,导致低权限的账号(比如普通用户)可以去完成高权限账号(比如超级管理员)范围内的操作.(比如:通过更换的某个 ID 之类的 ...
Web安全测试检查单
大类细项标记备注上传功能绕过文件上传检查功能 P1 功能测试阶段覆盖上传文件大小和次数限制 P1 注册功能注册请求是否安全传输 P1 功能测试阶段覆盖注册时密码复杂度是否后台检验 P1 ...
正常web页面登录时效是多少_Web 系统的安全性测试之权限管理测试
随着因特网的不断发展,人们对网络的使用越来越频繁,通过网络进行购物.支付等其他业务操作.而一个潜在的问题是网络的安全性如何保证,一些黑客利用站点安全性的漏洞来窃取用户的信息,使用户的个人信息泄漏,所以 ...
3种常见的渗透测试漏洞总结，快来收藏√
越权漏洞越权访问(Broken Access Control,简称BAC)是Web应用程序中一种常见的漏洞,由于其存在范围广.危害大,被OWASP列为Web应用十大安全隐患的第二名. 所谓越权,顾名 ...
字段不显示继承_Springboot Shiro页面按钮显示、路径越权访问题
阅读前文章 SpringBoot Shiro 实现登录/记住我的功能 SpringBoot Shiro基于Url权限拦截系统本文导读通过以上两篇文章,已经实现了shiro登录,基于Url实现权限拦 ...
高版本Android真机逆向测试环境搭建
高版本Android真机逆向测试环境搭建 618购入了新机Xiaomi K50,真滴便宜又好用,续航很强界面很丝滑.正好拿来做逆向测试机? 怎么可能!这也太奢侈了!不过淘汰的Xiaomi Note 7 ...
越权漏洞测试之网站渗透测试服务
网络上,大家经常可以看到数据库被脱裤.用户信息泄露等由于安全漏洞引发的问题,给用户和企业都带来了很大的损失.由于公司业务发展迅速,功能不断增加,用户数量不断增加,安全问题日益受到人们的关注.业务部门和 ...
接口越权扫描平台初探
‍‍ ‍‍ 作者:马力部门:业务技术测试一.背景介绍在网上,大家经常可以看到诸如数据库被拖库.用户信息泄露等因为安全漏洞引发的问题,给用户和公司都造成了较大的损失.随着公司业务快速发展.功能增多 ...
十大SRC平台与SRC行业安全测试规范
一. SRC平台: SRC平台整理来源: SRCs|安全应急响应中心 - 0xsafe 1. 腾讯安全应急响应中心(TSRC, Tencent Security Response Center) ...

【安全测试】可怕的越权

【安全测试】可怕的越权相关推荐

最新文章

热门文章