Web 渗透测试：未授权与越权漏洞全流程挖掘思路

前言在Web安全漏洞中未授权访问与越权访问属于权限控制类高频高危漏洞几乎贯穿业务系统前后端开发全流程。这类漏洞本质成因是后端未做好身份校验、权限边界校验攻击者可绕过登录、越权查看/篡改他人数据轻则泄露用户隐私重则导致业务数据被批量篡改、系统后台沦陷。本文结合渗透实战思维导图思路完整梳理两类漏洞的原理、探测方法、工具使用、挖掘技巧与防御方案适合渗透测试入门学习、红队日常打点、开发安全自查使用。一、漏洞基础概念区分1. 未授权访问核心定义无需登录、无需携带合法身份凭证就能直接访问本需要权限才能进入的页面、接口、后台功能。简单理解本该上锁的门完全没锁任何人可以直接推门进入。按照前后端交互形态分为两类前端未授权目标为HTML页面、静态页面、管理后台可视化页面后端未授权目标为JSON数据接口、后台API、数据查询接口2. 越权漏洞核心定义攻击者拥有合法账号登录权限但权限范围被非法扩大横向查看其他同级别用户数据水平越权、纵向获取管理员权限垂直越权。简单理解你手里有自家房门钥匙却能用这把钥匙打开邻居家房门、甚至物业总控房门。同样划分为前端参数可控越权、后端接口逻辑越权两大挖掘方向。二、未授权访问漏洞完整挖掘方法论一前端未授权HTML页面类针对网页、后台管理页面、功能页面做未授权绕过探测三大核心手段1. 目录爆破FUZZ核心思路在不登录的前提下暴力枚举网站常见后台路径、管理页面路径直接访问地址看是否可正常打开。推荐工具dirsearch常用爆破字典后台路径字典、通用后台地址、编辑器备份文件、git泄露路径、phpinfo探针路径等。实操要点目标站点开启缓存、404页面统一跳转时可通过响应长度、状态码差异化筛选有效路径。2. 抓包分析返回包特征绕过登录状态下抓取正常业务数据包观察响应返回关键字段响应体包含false、500、deny、forbidden、unauth等拒绝标识使用Burp Suite批量替换数据包关键参数、Cookie值、Token值重放请求判断是否可绕过鉴权直接获取页面内容。3. 前端页面文案线索突破页面明文提示「禁止访问」「不允许操作」「需要付费解锁」「权限不足」时大概率只是前端JS做了页面隐藏拦截后端未做二次校验。常见绕过方式F12开发者工具删除前端限制JS代码直接在地址栏输入功能对应接口路由跳过前端页面校验抓包删除前端校验参数后重放请求。二后端未授权JSON接口类这类漏洞不会直接展示页面而是接口直接返回业务JSON数据也是接口测试中最容易遗漏的漏洞点。1. 路由与接口信息搜集接口来源主要有两处爬取前端JS文件网站打包后的js、chunk文件内会明文写死接口URL、后台bash管理接口、增删改查API路径历史数据包溯源浏览器Network历史请求、Burp历史记录、爬虫抓取的过往流量包从中提取后台隐藏接口。2. 功能点定向FUZZ针对已发现的同目录接口做批量遍历例如已知接口/api/user/info枚举同路径下/api/user/list、/api/user/delete、/api/user/admin等衍生接口无凭证直接访问测试未授权。3. 多维度字典爆破枚举对象分为三类批量发包测试请求参数GET/POST参数名爆破参数值ID、页码、类型值枚举接口路由全路径API地址字典枚举。三、越权漏洞分层挖掘实战思路一前端越权漏洞根源页面数据由URL参数直接控制后端仅简单读取参数未校验该参数归属当前登录用户。直接修改URL参数值典型场景个人订单页面地址order.php?id1001将id改为1002、1003即可查看其他用户订单属于最经典水平越权。FUZZ爆破URL参数使用工具ffuf、arjun自动化枚举URL参数、参数值批量遍历ID、uid、gid、userid等身份标识快速批量命中越权数据接口。二后端越权核心高危后端越权校验逻辑更深需要先定位鉴权凭证位置再针对性测试。步骤1定位鉴权字段携带位置先确认系统用哪种方式校验用户身份GET请求URL参数携带token、uidPOST表单请求体携带账号凭证Cookie内存储Session、身份标识JSON请求体携带Authorization、token、user_id等鉴权字段。步骤2基于增删改查四大功能点测试越权场景1请求完全不存在鉴权字段直接手动添加鉴权字段例如原数据包无userid参数新增userid目标用户编号查看是否可操作他人数据。场景2数据包存在鉴权字段但参数为空例如请求携带uid空值手动填入其他用户UID、管理员UID后端未做非空校验与归属校验触发垂直/水平越权。场景3已有合法鉴权值直接替换为他人凭证拿自己账号的Token、Session替换为其他用户凭证观察接口返回数据属于典型会话绑定缺失越权。四、实战渗透测试标准执行流程信息收集子域名、目录结构、JS文件、爬虫抓取全站接口未授权探测dirsearch扫目录、批量无Cookie重放所有接口登录低权限账号抓取全量业务数据包前端层面修改URL参数、F12篡改页面限制、ffuf爆破参数后端层面逐个接口修改uid/token/id新增鉴权参数、清空鉴权参数测试区分漏洞类型判定为未授权 / 水平越权 / 垂直越权复现漏洞、截图留存证据整理漏洞详情与修复建议。五、漏洞成因与安全防御方案1. 核心漏洞成因开发依赖前端做权限控制后端无接口鉴权逻辑接口复用过度内部后台接口对外开放无访问白名单增删改查接口只校验登录状态不校验数据归属关系身份凭证Session、Token未绑定用户设备与用户唯一ID测试环节缺少越权、未授权专项安全用例。2. 后端开发防御规范统一鉴权中间件所有后台接口强制走身份校验拦截器未携带合法凭证直接拦截数据行级权限校验查询/修改数据时SQL语句强制拼接where user_id 当前登录用户ID后台管理接口配置内网白名单公网无法直接访问管理路由前端隐藏限制仅做体验优化禁止作为唯一安全校验手段定期扫描历史接口、下线废弃无用API减少攻击面上线前加入安全测试用例专项测试未授权与越权场景。六、工具清单汇总测试方向推荐工具用途目录未授权扫描dirsearch网站后台路径、目录爆破URL参数FUZZ越权ffuf、arjun自动化枚举参数与参数值数据包批量测试Burp Suite抓包改包、批量重放、自动替换参数JS接口提取LinkFinder、JSFinder从JS文件提取隐藏API路由结语未授权与越权属于入门门槛较低、漏洞产出率极高的权限类漏洞不需要复杂漏洞利用链仅依靠信息搜集数据包修改即可大量发现问题。渗透测试中建议养成固定思维能不登录就访问的页面先试一遍未授权登录低权限账号后所有参数能改则改、能删则删、能加则加按照本文思维导图思路系统化遍历测试就能覆盖绝大多数权限类安全风险。