072-Web攻防-业务逻辑&越权未授权&插件&项目等

知识点：

1、逻辑越权-检测原理-水平&垂直&未授权

2、逻辑越权-检测项目-BURP插件&对比项目

3、SRC挖掘-实战越权及未授权挖掘分享案例

Web权限图：

image-20250702200722551

逻辑越权-检测原理-水平&垂直&未授权

靶场环境：PHPStudy + Metinfo4.0 + 会员后台中心

1、水平越权：同级别的用户之间权限的跨越

2、垂直越权：低级别用户到高级别用户权限的跨越

3、未授权访问：通过无级别用户能访问到需验证应用

  1. 在首页底部点击会员中心，即可看到会员登录界面，点击注册

image-20250702201225401

水平越权：同级别的用户之间权限的跨越

  1. 对test1账号进行登录，然后修改基本信息
    • image-20250702201614588
  2. 对test1修改账号操作进行抓包，对里面数据包进行修改
    • image-20250702201722044
  3. 这里进行水平越权测试，test1和test2属于同一级别，我们这里把要修改的test1账户改为test2查看是否可以修改
    • image-20250702201907867
    • image-20250702201938097
    • image-20250702202153427
    • image-20250702202301995

垂直越权：低级别用户到高级别用户权限的跨越

  1. 网站存在一个admin登录页面，我们这依旧是使用普通用户身份尝试修改管理员权限
  • image-20250702202426803

  1. 修改test1的基本信息进行抓包测试

    • image-20250702203147061
    • image-20250702203232338

  2. 我们将这里要进行修改的用户名修改为admin，发包

    • image-20250702203252585
    • image-20250702202816794

  3. 去数据库里面查看成功修改

    • image-20250702203402828

未授权访问：无登录用户就能直接访问到需验证应用

  1. 使用test1的账号，对基本信息进行修改抓包。

    • image-20250702203550688

  2. 这里将test1的cookie进行删除，将账号换admin并且修改邮箱

    • image-20250702203751550
    • image-20250702204049425

逻辑越权-检测项目-BURP插件&对比项目

相关工具：

1、检测插件：
https://github.com/smxiazi/xia_Yue
https://github.com/VVeakee/auth-analyzer-plus
2、检测项目：
https://github.com/ztosec/secscan-authcheck
https://github.com/y1nglamore/IDOR_detect_tool

实战：找到当前用户相关的参数名，添加返回包里面的参数名参数值去提交，参数值请求数据加密：JS中找逆向算法，还原算法重新修改发包测试，请求包带token：直接复用和删除测试。

批量测试可以使用工具，真实情况下如果要测试的点很少，推荐手工进行测试。因为这些插件都需要配置，需要不少时间，有这个时间可能手工都测完了

Xia_Yue

项目地址：https://github.com/smxiazi/xia_Yue

image-20250702205324417

  1. 这个工具只能测试垂直越权以及未授权访问
  2. 点击启动插件后访问一些关键功能，就能抓取数据包，吧低权限包和未授权包进行对比，如果低权限包和未授权包长度相同就说明可能存在未授权访问。
    • image-20250702210244123
    • image-20250702210613593

auth_analyzer

项目地址：https://github.com/VVeakee/auth-analyzer-plus

image-20250702210737132

image-20250702210959540

该插件使用参考文章：https://www.cnblogs.com/ychun/p/17836941.html

SRC越权未授权挖掘案例

案例1：垂直越权-小程序

游客身份进入后未授权获取系统内部信息

image-20250702215711979

image-20250702215718677

image-20250702215729740

image-20250702215738780

image-20250702215746404

image-20250702215756327

image-20250702215812309

image-20250702215909734

案例2：水平越权

用户身份ID编号遍历导致信息泄漏

image-20250702215933173

image-20250702215939518

image-20250702215946812

image-20250702215955195

image-20250702220028163

image-20250702220037381

案例3：未授权访问

测试账号直接访问系统配置页面

image-20250702220055517

image-20250702220102382

image-20250702220110997

image-20250702220119572

实战:
关键:找到当前用户相关的参数名
参数值请求数据加密:

JS中找逆向算法，还原算法重新修改发包测试
请求包带令牌:直接复用和删除测试