BurpSuite 2023.12 垂直越权实战：3步手工测试与2类常见响应结果分析-拓冰建站

BurpSuite 2023.12 垂直越权实战：3步手工测试与2类常见响应结果分析

在Web应用安全测试中，垂直越权漏洞始终是高风险隐患之一。这类漏洞允许低权限用户执行高权限操作，可能导致数据泄露、系统破坏等严重后果。本文将基于BurpSuite 2023.12版本，通过实战演示手工测试垂直越权的标准化流程，并深入分析两种典型响应结果的判定方法。

1. 测试环境准备与工具配置

1.1 BurpSuite 2023.12核心模块

BurpSuite作为渗透测试的瑞士军刀，2023.12版本对以下三个核心模块进行了优化：

Proxy：流量拦截与修改
Repeater：请求重放与调试
Intruder：自动化参数爆破

提示：建议使用BurpSuite自带浏览器进行测试，避免证书配置问题。通过Proxy > Intercept > Open browser即可启动。

1.2 测试账号准备

需要至少两个不同权限的账号：

| 账号类型 | 权限级别 | 典型操作范围 | |------------|----------|-----------------------| | 普通用户 | 低 | 个人数据查看/修改 | | 管理员 | 高 | 系统配置、用户管理等 |

1.3 目标接口选择原则

优先测试以下功能点：

用户管理相关API（如/api/users/delete）
敏感数据导出接口（如/admin/export）
权限变更操作（如/role/update）

2. 手工测试三步骤

2.1 请求拦截与捕获

在BurpSuite自带浏览器登录高权限账号
访问目标功能页面，触发待测接口请求
在Proxy模块开启拦截（Intercept is on）
右键捕获的请求，选择Send to Repeater

2.2 权限凭证替换

在Repeater模块执行以下操作：

GET /api/admin/users HTTP/1.1 Host: target.com Authorization: Bearer [高权限token] ← 替换为低权限token Cookie: session=[高权限session]

注意：实际测试中需根据认证方式替换相应字段，常见的有：
Cookie中的session值
Authorization头部的Bearer token
请求体中的userID参数

2.3 结果验证与重放

点击Send发送修改后的请求，观察响应差异。典型测试场景示例：

# 原始高权限请求 resp_admin = requests.get('/api/users', headers={'Authorization': 'admin_token'}) # 修改后的低权限请求 resp_user = requests.get('/api/users', headers={'Authorization': 'user_token'}) # 结果对比 print(resp_admin.status_code == resp_user.status_code) # 状态码对比 print(resp_admin.json() == resp_user.json()) # 数据内容对比

3. 响应结果深度分析

3.1 类型一：返回完整数据（存在漏洞）

特征：

HTTP状态码为200
响应体包含高权限数据
无明确的权限拒绝提示

判断标准：

1. 对比高低权限返回的JSON结构： - 相同字段数量 > 80% - 数据量差异 < 20% 2. 检查敏感字段是否存在： - `isAdmin: true` - `permission_level: 9`

3.2 类型二：返回权限错误（安全）

特征：

状态码为403/401

响应体包含错误信息，例如：

{ "code": "FORBIDDEN", "message": "Insufficient privileges" }

关键验证点：

错误信息是否来自业务系统（非Web服务器默认提示）
响应头是否包含WWW-Authenticate等标准认证字段

4. 进阶测试技巧

4.1 参数变异测试

除了替换凭证，还可尝试以下参数修改：

POST /api/user/role/update HTTP/1.1 Content-Type: application/json { "targetUserId": 123, ← 修改为其他用户ID "newRole": "admin" ← 尝试提升权限等级 }

4.2 自动化插件辅助

推荐使用BurpSuite插件提升效率：

AuthKit：多角色请求对比
Autorize：自动权限校验测试

插件配置关键参数：

# Autorize示例配置 Unauthorized_User: Headers: Cookie: "session=low_priv_session" Authorization: "Bearer low_priv_token" Detection_Rules: - StatusCode != 403 - ResponseLength > 100