现阶段 WAF 还不能检测出逻辑漏洞

认证(Authentication)=证明你是本人
授权(Authorization)=认证后能做些什么事情
威胁建模=看到功能点能反映出对应的威胁。威胁是危害的来源,风险的后果一定是损失(白帽子1.6.2)。

什么任意修改密码啊,都是访问控制没做到位(授权)

访问控制:

  1. 水平访问控制
  2. 垂直访问控制
  3. 上下文访问控制

攻击者能执行没有权限的操作这就是越权,这个漏洞对应着 OWASP 失效的访问控制。

水平越权:用户 A 能操作或查看用户 B 自己才能看的内容。
垂直越权:用户 A 能直接能执行管理员才能做的事。
上下文越权(也称前后文越权):用户必须通过 A 才能操作 B,能直接操作 B 就是越过上文直接到达下文,这就时上下文越权。

标签: none

讨论讨论讨论!