越权漏洞如何排查修复

wen 网络安全 2026-06-29 25

从排查到修复的完整实践指南

📖 目录导读

什么是越权漏洞？——核心概念与危害
越权漏洞的三种常见类型与真实案例
越权漏洞的排查方法论（附检测清单）
越权漏洞的修复策略与代码示例
自动化工具与人工审计的协同方案
QA问答：企业安全团队最关心的5个问题

什么是越权漏洞？——核心概念与危害

越权漏洞（Authorization Bypass）是Web应用安全中风险最高、影响最广泛的漏洞之一，它本质上是权限控制机制失效，导致攻击者能够以低权限身份执行高权限操作,或者访问本不应拥有的数据。

越权漏洞如何排查修复

根据OWASP Top 10（2021版），失效的访问控制已跃升至第一位，而越权漏洞正是其中占比最大的一类,其危害包括：

用户数据泄露（如订单、个人信息）
后台管理系统被接管
敏感操作被未授权执行（如转账、删除记录）

一个真实的行业数据：某安全厂商统计，在已上线的Web应用中，超过60%存在至少一处越权漏洞，而其中90%属于水平越权。

越权漏洞的三种常见类型与真实案例

水平越权（Horizontal Privilege Escalation）

定义：相同权限等级的用户,访问了其他同等级用户的私有数据。

典型案例：某电商平台用户A在查看订单详情时，修改URL中的orderId=10001为orderId=10002，结果成功看到了用户B的订单信息，包含收货地址、联系电话等敏感数据。

代码层面分析：后端仅通过前端传入的参数查询数据,未校验该参数是否属于当前登录用户。

垂直越权（Vertical Privilege Escalation）

定义：低权限用户（如普通会员）执行了高权限用户（如管理员）才能执行的操作。

典型案例：某论坛普通用户通过抓包发现，删除帖子的API接口为/api/admin/deletePost?id=123，普通用户直接调用该接口,成功删除了帖子。

原因：后端未在接口层面校验角色权限,仅依赖前端隐藏按钮。

上下文越权（Context-based Authorization Bypass）

定义：利用业务逻辑中的上下文关系绕过权限检查，用户A发起的某个流程,用户B通过修改流程ID参与进来。

真实场景：某OA系统的报销流程中，用户A提交报销单后，用户B通过修改报销单ID的POST请求，抢占了审批权限,导致流程失控。

越权漏洞的排查方法论（附检测清单）

第一步：全量接口资产梳理

使用爬虫工具（如BurpSuite的Spider、OWASP ZAP）或API文档，列出所有需要鉴权的接口列表。关键点：不要遗漏那些看似“公开”但实际带用户标识的接口。

第二步：设计垂直越权测试用例

测试账户：准备普通用户、VIP用户、管理员、未登录游客四个账户。
测试逻辑：用低权限账户的Cookie或Token，调用高权限接口（/api/admin/userList）。
重点检测：后端是否检查当前会话的role或permission。

第三步：设计水平越权测试用例

准备两个同权限用户（UserA、UserB）。
将UserA的Token用于访问UserB的资源ID（如userId=1001或orderId=9999）。
判断：如果返回了UserB的数据,则存在水平越权。

第四步：工具辅助检测（以BurpSuite为例）

安装扩展：AuthMatrix或AutoRepeater。
配置用户会话：将UserA和UserB的Cookie分别设置。
批量替换测试：将所有请求中的UserA的ID替换为UserB的ID,观察返回差异。

📝 排查清单（可打印）

检测项	是否通过	备注
GET接口是否校验用户身份	□是 □否
POST接口是否校验操作权限	□是 □否
所有ID参数是否来自会话而非用户输入	□是 □否
管理员接口是否只对admin角色开放	□是 □否
下载/导出接口是否校验数据归属	□是 □否

越权漏洞的修复策略与代码示例

核心原则：永远不相信用户输入，永远基于会话（Session/Token）校验身份

修复水平越权：强制绑定用户标识

错误代码（PHP示例）：

$orderId = $_GET['orderId'];
$sql = "SELECT * FROM orders WHERE id = $orderId";
$result = $db->query($sql);

修复后代码：

$currentUserId = $_SESSION['user_id'];
$orderId = (int)$_GET['orderId'];
$sql = "SELECT * FROM orders WHERE id = $orderId AND user_id = $currentUserId";
$result = $db->query($sql);

修复垂直越权：服务端角色校验中间件

Java Spring Boot示例：

@Component
public class PermissionInterceptor implements HandlerInterceptor {
    @Override
    public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) {
        String role = request.getSession().getAttribute("role");
        String requestURI = request.getRequestURI();
        if (requestURI.startsWith("/api/admin") && !"admin".equals(role)) {
            response.setStatus(403);
            return false;
        }
        return true;
    }
}

通用修复建议

参数化查询：避免直接拼接SQL，使用预编译语句（PreparedStatement）。
使用UUID而非自增ID：让攻击者难以猜测资源ID。
最小权限原则：每个接口只提供必要的数据,删除不用的管理接口。
记录日志与告警：对异常访问（如频繁修改用户ID）进行日志审计。

自动化工具与人工审计的协同方案

自动化工具推荐

工具	适用场景	特点
BurpSuite + AuthMatrix	白盒/黑盒测试	支持批量替换Token和用户ID，自动比对响应
SQLMap	检测SQL注入导致的越权	可识别数据库层面的权限绕过
Proxyman (Mac)	移动端API测试	支持重写请求，修改用户参数