Web 安全之越权

横向越权

横向越权是指在权限管理中，用户或程序在其权限范围内访问了不属于自己的资源或数据的行为。这种越权行为通常发生在具有相同级别权限的用户之间，例如一个用户尝试访问另一个同级用户的私人信息或文件。

这种安全问题通常发生在应用程序未能适当实现访问控制或者用户身份验证机制不够严格的情况下，使得用户可以突破其本应受限的使用范围，访问其他用户的数据。横向越权可能导致个人隐私泄露、数据被不当处理或滥用等一系列安全问题。

纵向越权是指在权限管理中，用户或程序在没有得到授权的情况下，访问不属于其权限范围内的高级别资源或数据的行为。这通常是由于系统中权限控制实施不到位或被绕过导致的。纵向越权问题通常涉及到不同权限级别的用户或角色，例如普通用户尝试访问仅管理员应有权限访问的功能或数据。

纵向越权：
- 纵向越权涉及到权限级别的提升，即低级别用户或程序尝试访问高级别的资源或数据。
- 例如，一个普通用户尝试执行管理员才能执行的操作或访问管理员才能访问的数据。
- 通常 saas 系统会根据不同的订阅级别或版本配置不同的应用，如果低版本能访问到高版本的应用或功能，这种属于纵向越权。
横向越权：
- 横向越权发生在同一权限级别的用户之间，当一个用户访问另一个同等权限用户的专有资源或数据时。
- 例如，在一个企业的员工管理系统中，每个员工都可以访问和编辑自己的个人资料。如果一个员工能够访问和编辑其他员工的个人资料，那么这就构成了横向越权。

当进行安全测试以识别横向和纵向越权漏洞时，测试方法可能相似，但关注点和测试目标有所不同。以下是如何区分和针对横向和纵向越权进行测试的方法：

横向越权涉及同一权限级别内的用户尝试访问或操作其他同等权限用户的数据。

用户数据隔离：验证系统是否正确实现了用户数据隔离。使用一个用户账户尝试访问另一个同级用户的个人信息或资源。

参数篡改：在请求中修改用户标识符（如用户ID、文件名等），尝试访问其他用户的数据。

会话管理测试：检查用户在登录状态下是否可以通过修改会话中的某些参数（如果可访问）来访问其他用户的信息。

角色相同的权限测试：确保所有具有相同角色的用户不能访问彼此的私有数据，除非明确允许。

纵向越权涉及低权限用户尝试访问或执行高权限功能。

权限提升测试：使用低权限账户尝试执行高权限用户的操作，如访问管理控制面板、修改用户权限等。

功能访问测试：检查应用是否对不同级别的功能访问进行了适当的权限验证。例如，普通用户是否能触发只有管理员才能执行的数据库备份。

API和后端服务测试：直接对后端API进行测试，看看低权限用户是否能调用本应只有高权限用户能调用的接口。

错误配置和绕过：检查是否有配置错误或绕过机制允许低权限用户访问高权限功能。

在进行这些测试时，重要的是创建和使用具有不同权限级别的测试账户，以模拟不同用户的行为。使用自动化工具和手动测试相结合的方法可以更全面地发现潜在的越权漏洞。对于发现的任何潜在越权问题，都应进行彻底的审查和修复，以保护系统的安全性。

预防措施需要在应用的设计、开发和部署阶段综合考虑，以下是一些有效的策略和技术：

通过这些综合措施，可以有效地预防横向和纵向越权漏洞，提高应用和系统的整体安全性。