越权下载文件Web安全应用与防护99课件讲解.pptxVIP

越权下载文件Web安全应用与防护

什么是越权访问越权访问漏洞的分类越权访问漏洞产生的原因越权访问漏洞的利用越权访问漏洞的防御

越权下载文件1）什么是越权访问越权访问是指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限。

2）越权访问漏洞分类水平越权：指攻击者尝试访问与他拥有相同权限的用户资源。越权下载文件越权访问漏洞主要分为水平越权、垂直越权。垂直越权：由于后台应用没有做权限控制，或仅仅在菜单、按钮上做了权限控制，导致恶意用户只要猜测其他管理页面的URL或者敏感的参数信息，就可以访问或控制其他角色拥有的数据或页面，达到权限提升的目的。

3）越权访问漏洞产生的原因一个Web程序功能流程是登录-提交请求-验证权限-数据库查询-返回结果。如果验证权限不足，便会导致越权。常见的程序都会认为通过登录后即可验证用户的身份，从而不会做下一步验证，最后导致越权。越权下载文件

4）越权访问漏洞的利用1）下载常规的配置文件。2）下载各种.log文件。3）下载web业务文件进行白盒审计。越权下载文件

5）越权访问漏洞的防御措施1）前后端同时对用户输入信息进行校验2）执行关键操作前必须验证用户身份。3）特别敏感操作可以让用户再次输入密码或其他的验证信息。4）可以从用户的加密认证cooki