一、水平越权
1.1、原理
通过更换某个ID之类的身份标识,从而使得A账号获取(修改,删除等)B账号的数据;
1.2、容易出现的地方:
一般越权漏洞容易出现在权限页面(需要登陆的页面)增,删,改,查的地方,当用户对权限页面内的信息进行这些操作时,后台需要对当前用户的权限进行校验,看其是否具备操作权限,从而给出响应,而如果校验的规则过于简单则容易出现越权漏洞;
1.3、案例演示
1)我们登陆到pikachu靶场,首先看一下提示:
2)一共两个用户,我们登陆到kobe用户,来测试越权到luck用户,我们首先登录到kobe账户里面,点击查看个人信息,抓到包;
3)我们将这里的kobe改为lucy,放包;
4)成功越权到lucy用户
1.4、危害
在游戏中,假如我们是平民玩家,我们仅仅通过修改ID,就变成了其他玩家,甚至有可能变成氪金大佬;
二、垂直越权
2.1、原理
使用低权限身份的账号,发送高权限账号才能有的请求,获得其高权限的操作;
2.2、容易出现的地方
看看低权限用户是否能越权使用高权限用户的功能,比如普通用户可以使用管理员的功能;
2.3、案例演示
1)我们首先用admin/123456,进行登陆;
2)我们添加用户进行抓包,然后放在重发器;
3)我们紧接着用pikachu/000000,进行登陆,抓包,将pikachu的cookie替换admin用户的cookie;
4)我们发送包;
利用pikachu用户利用admin的cookie成功创建了test账户;
2.4、危害
信息泄露,篡改用户信息,严重者可修改密码等等;
三、墨者靶场演示
1)打开靶场
2)登录给出的test用户
3)我们这里通过抓包进行分析,对card_id进行分析
4)发到测试器进行爆破
通过前端分析,他可能是31
6
5)看响应
输入账号,对密码进行MD5解密
6)登录成功
四、越权漏洞检测-burp插件-autorize使用
Autorize是一个旨在帮助渗透测试人员检测授权漏洞的扩展,这是Web应用程序渗透测试中比较耗时的任务之一;
将低权限用户的cookie提供给扩展程序并使用高权限用户浏览网站就足够了,该扩展会自动重复每一个请求与低权限用户的会话并检测授权漏洞;
除了授权漏洞之外,还可以在没有任何cookie的情况下重复每一个请求,以检测身份验证漏洞;
该插件无需任何配置即可工作,但也是高度可定制的,允许配置授权执行条件的粒度以及插件必须测试那些请求,那些不需要,可以保存插件的状态并以HTML或CSV格式导出授权测试报告;
报告的执行状态如下:
-
绕过!-红色
-
强制执行!-绿色
-
强制执行???(请配置强制检测器) -黄色
4.1、安装
1)首先我们需要下载Jython Standalone:https://www.jython.org/download
我们需要选择红框里面的进行下载:
2)配置如下:
3)我们配置好之后,接着安装!
4.2、使用(pikachu为例)
1)获取低权限的cookie,我们在垂直越权的目录,首先获取pikachu/000000的cookie;
2)接着我们去访问高权限的账号,这里需要注意,先打开插件的开关,然后再去访问高权限的账号;
3)接着就会出现结果;
左边一列 红色代表存在越权可能;
右边一列 红色代表存在未授权访问可能;
接着点击 三代表响应长度的数字,在右侧查看具
体响应;
如果是 响应中 包含敏感数据,或者一些增删改的post请求,就可以报bug了;
五、支付漏洞
5.1、直接修改商品价格
在支付过程中,购买商品一般分为三个步骤:订购,确认信息,付款,那么这个修改价格具体时修改那一步时的价格?在我看来你可以在这三个步骤中随便一个步骤进行价格的修改,进行测试,如果前面两步有验证机制,那么你可在最后一步付款进行抓包尝试修改金额,如果没有在最后一步做好检验,那么问题就会存在,其修改的金额值,你可以尝试小数目或者负数,去测试;
参考案例:http://wooyun.2xss.cc/bug_detail.php?wybug_id=wooyun-2016-0226613
5.2、修改支付状态
1)这个很好理解,就是假设A商品,我们进行了购买,用bp进行抓包,我们看到某一个字段;
0:表示支付成功
1:表示支付失败
假设我们暂时还未支付,bp显示的是1,我们将1修改为0;
2)还有我们去购买A商品,是10元,B商品是1000元,我们先购买A商品,将A商品的数据包,给B商品,那么我们就能通过10元购买10000元的商品;
我们抓取购买包,放在重放器,这个商品为5400元;
我们将数据包放在重放器,重要的字段,我们做一下记录;
index.php?m=Member&a=gobuy&iscart=0&id=69&name=%E5%A4%A7%E7%B1%B3CMS%E6%89%8B%E6%9C%BA%E5%BC%80%E5%8F%91%E4%B8%93%E7%89%88&qty=1&price=5400>ype=%E7%81%B0%E8%89%B2&pic=/damicms/Public/Uploads/thumb/thumb_1393206337.jpg
我们继续在购买6000元的手机;
抓包,根据经验,我们将5400手机的数据包,放在6000元手机这里;
两个数据包进行对比:
我们将5400元手机的数据包替换掉6000元
手机的数据包;
这里商品的价格就变成了5400;
5.3、修改商品的数量
支付中。假如1个馒头10元钱,那么10个馒头就是100元,那么-1个馒头那?这种会不会产生零元购问题那?
我们可以看到一个手机为6000元,我们进行抓包;
这里qty这个字段非常可疑,我们将它修改为10,放包;
订单金额变成了60000万了,那么我们的猜想完全正确,我们将它的数量改为-1,看看什么情况;
这里的价格变成了-6000,说明漏洞确实存在;
5.4、另类支付
我们在支付的时候,常常会给你一些优惠卷,积分,满减等等,而这些值同样都是由操作的空间
1)修改优惠卷
一般优惠卷进行消费往往出现在第二个步骤当中,确认购买信息,这个页面当中,你可以选择相关的优惠卷,我们直接修改优惠卷的金额,等于商品的价格,或者直接将其改为负数,最后进行支付,如果说没有对这个点加以验证,那么直接可以支付成功;
2)修改优惠卷金额及业务逻辑问题
当你修改其优惠卷值为任意值或负数想要支付的时候,会显示支付失败,或者金额有误等一些提示,可能这个时候,你会选择放弃,但是当你点开个人中心的时候,点击订单详情,如果存在这个逻辑问题,那么此时在你刚刚修改优惠
卷金额后点击下一步支付的时候,其实已经产生了订单,在订单的金额内,你可以看到支付金额为0,然后点击支付就可以支付成功;
这里好友一个小技巧,有可能会支付失败,但是如果你找到的这个问题是一个业务分站点,如果有自带的钱包功能,那么你就可以利用这个自带的钱包功能去支付这个订单,而不要利用其他支付类型,就可以支付成功了;
3)修改积分金额
有些网站的积分,比如你消费了多少,就可以拥有一定量的积分,这个积分可以在你付款的时候进行折扣,如果这个积分的金额没有做好校验,那么你在支付当中将积分减去的金额变成商品本身的价格,或者负数,是不是就可以产生0原购物了;
4)满减修改
我们在双十一的时候,很多会有满300减100,这种功能,我们能不能将金额修改为满101减100那?
参考案例:http://wooyun.2xss.cc/bug_detail.php?wybug_id=wooyun-2016-0214319
5.5、修改支付接口
一些网站支持多种支付的接口,微信,支付宝,还有第三方的支付工具,然后每一个接口的值不一样,如果逻辑设计不当,那我随便选择一个点击时进行抓包,然后修改为一个不存在的支付接口,如果接口的相关处理没有做到位,是不是会支付成功;
5.6、重复支付
淘宝,京东会有很多试用卡。一张卡可以试用一个商品,我们可以将这个试用的商品数据包多次重复提交,如果服务端没有进行严格的校验的话,就会产生很多这样的订单,这时候,我们将这个商品退掉,会怎么样?我们会不会退回很多试用卡?
5.7、最小支付和最大支付
1)最小支付