当前位置： 首页 > news >正文

逻辑漏洞——权限控制问题

news 来源：原创 2024/5/16 15:50:35

一、权限控制

1、什么是权限控制

2、权限控制的方式

 （1）、ACL（访问控制列表）

 （2）、RBAC（角色型访问控制）

 3、权限控制的问题

权限控制有两个问题：一、未授权访问 二、越权访问

（1）、未授权访问

 

（2）、越权访问

越权访问又分为：水平越权、垂直越权

水平越权：同级别的角色越权访问，例如，不同部门的同级别的员工他们之间所访问的文件不一样，权限也不同，A部门越权访问了B部分的文件

垂直越权：简单来说，就是对上级权限的获取，例如普通用户到管理员用户

 

 

 实例——权限控制之垂直越权

1、打开浏览器，访问http://ip/webug/pentest/test/3

 

2、输入用户名为：“tom”，密码为“123456”提交，登陆成功

 

3、点击更改密码，跳转到修改密码页面，用户名显示在URL

4、随便输入密码全部为：“test”

5、启动Burp Suite抓包工具，设置参数和浏览器代理

6、点击“更改密码”，提交输入的密码，Bp成功抓取数据包

 

7、将“username”更改为“admin”

8、点击“Forward”，转发数据包，切换到浏览器，密码更改成

9、点击“确定”，关闭浏览器代理，输入用户名为：“admin”，密码为：“test”，点击“submit”提交用户名和密码，登录成功

 这篇文章就先写到这里了

相关文章：

  • golang常用库之-配置文件解析 spf13/viper包 | 解析加载配置
  • Rust(7)：结构体类型
  • 通信原理学习笔记6-3：数字解调——判决和误码率推导
  • Mybatis快速上手2——通用的CRUD操作
  • 基于Oracle数据库高校学生宿舍管理系统
  • 基于ACS40核心板的串口图传设计
  • Android移动应用开发之ListView和RecyclerView的简单使用
  • 探究linux进程调度
  • android新版本适配-android13最全适配方案
  • 【mongo 系列】聚合知识点梳理
  • 2022年9月26日--10月2日(ue4热更新视频教程为主）
  • 阿里云SLB负载均衡理论与操作
  • 【理论】（spark 二）spark core之RDD：基础概念、特点、stage任务划分与hello spark
  • JWT安全WebGoat实战与预编译CASE注入
  • 贝叶斯公式——假阳性问题
  • [数据结构]链表的实现在PHP中
  • 【RocksDB】TransactionDB源码分析
  • 【vuex入门系列02】mutation接收单个参数和多个参数
  • CSS 提示工具(Tooltip)
  • DOM的那些事
  • ES10 特性的完整指南
  • EventListener原理
  • React+TypeScript入门
  • vue从创建到完整的饿了么（11）组件的使用（svg图标及watch的简单使用）
  • yii2中session跨域名的问题
  • 动态规划入门（以爬楼梯为例）
  • 发布国内首个无服务器容器服务，运维效率从未如此高效
  • 分布式熔断降级平台aegis
  • 猴子数据域名防封接口降低小说被封的风险
  • 聊聊springcloud的EurekaClientAutoConfiguration
  • 如何选择开源的机器学习框架？
  • 深入浅出Node.js
  • 事件委托的小应用
  • 手写一个CommonJS打包工具（一）
  • 新年再起“裁员潮”，“钢铁侠”马斯克要一举裁掉SpaceX 600余名员工 ...
  • ​2020 年大前端技术趋势解读
  • ###项目技术发展史
  • #pragma once与条件编译
  • #每天一道面试题# 什么是MySQL的回表查询
  • (1)Android开发优化---------UI优化
  • （52）只出现一次的数字III
  • （pytorch进阶之路）CLIP模型 实现图像多模态检索任务
  • (Repost) Getting Genode with TrustZone on the i.MX
  • （八）五种元启发算法（DBO、LO、SWO、COA、LSO、KOA、GRO）求解无人机路径规划MATLAB
  • （分类）KNN算法- 参数调优
  • (附源码)计算机毕业设计ssm本地美食推荐平台
  • （附源码）计算机毕业设计SSM教师教学质量评价系统
  • (求助)用傲游上csdn博客时标签栏和网址栏一直显示袁萌 的头像
  • (五) 一起学 Unix 环境高级编程 (APUE) 之 进程环境
  • （一）pytest自动化测试框架之生成测试报告（mac系统）
  • （转）Android学习笔记 --- android任务栈和启动模式
  • （转）ObjectiveC 深浅拷贝学习
  • **PyTorch月学习计划 - 第一周；第6-7天: 自动梯度（Autograd）**
  • ..thread“main“ com.fasterxml.jackson.databind.JsonMappingException: Jackson version is too old 2.3.1
  • .net 4.0 A potentially dangerous Request.Form value was detected from the client 的解决方案