缺少函式級訪問控制

大多數Web應用程式在向用戶提供功能之前會驗證函式級別的訪問許可權。但是，如果伺服器上沒有執行相同的訪問控制檢查，則駭客能夠在未經授權的情況下滲透到應用程式中。

讓我們藉助簡單的圖表瞭解此缺陷的威脅代理、攻擊媒介、安全弱點、技術影響和業務影響。

示例

這是一個缺少函式級訪問控制的經典示例：

駭客只需強制目標URL。通常，管理員訪問需要身份驗證，但是，如果未驗證應用程式訪問，則未經身份驗證的使用者可以訪問管理員頁面。

' Below URL might be accessible to an authenticated user
http://website.com/app/standarduserpage

' A NON Admin user is able to access admin page without authorization.
http://website.com/app/admin_page

動手操作

步驟1 - 讓我們首先檢視使用者及其訪問許可權列表，然後以賬戶管理員身份登入。

步驟2 - 透過嘗試各種組合，我們可以發現Larry可以訪問資源“賬戶管理員”。

預防機制

• 身份驗證機制應預設拒絕所有訪問，併為每個功能提供對特定角色的訪問。

• 在基於工作流的應用程式中，在允許使用者訪問任何資源之前，請驗證使用者的狀態。