小白程序员必备：轻松掌握网络安全，收藏学习这份漏洞挖掘实战指南！
本文详细介绍了如何发现并利用一个常见的Web平台越权漏洞，通过实际案例，分析了漏洞成因，并提供了相应的防范措施。适合对网络安全感兴趣的小白和程序员学习，助你提升网络安全技能。
免责声明
前言
前几天在网上冲浪的时候无意间看到了一个Edu的站点，是一个很常见的类似MOOC的那种在线学习系统，对外开放，同时有注册和登录功能。对于我这种常年低危的菜鸡来说，这是最愿意看到的，因为一个Web网站有了登录功能，就代表其网站必须要有权限划分，而有了权限划分，在这里的开发就容易出现很多问题，越权便是一种常见的问题。经过测试，发现这个站点就存在越权的问题，例如A账号可以通过发包更改B账号内的数据，但这些数据不是密码，个人信息等数据，而是平台上的评论，收藏，和点赞的数据。尽管这些数据或许不是那么敏感，危害听起来不大，但是也算是水平越权的一种了，因此最终这个漏洞提交EduSRC后被评为中危。接下来我将回到当初的视角，与大家一起复盘，分析这次挖洞经历。
发现过程
- 访问网站之后，看起来就是一个常见的在线平台首页(各位师傅请原谅我厚码，因为这个首页banner就是这个学校的全景，哈)
右上角可以发现有登录，注册功能，于是果断注册一个账号上去看一下都有什么功能，从个人信息修改部分进行一些常规的XSS测试，看看是否能构成存储XSS；在头像上传部分可以进行文件上传的测试，看看是否存在任意文件上传，说到这里不知道为什么，感觉现在的新系统里很少有任意文件上传了。在侧面可以看到有一些“点赞”，“收藏”，“评论”，“笔记”等功能。
点到随意一个视频，可以看到视频的右下角有一个记笔记的功能，我们随意写一点东西，添加一个笔记，此时我们在Burp里面观察分析一下这个笔记是怎么创建的，同时分析一下返回包里面的数据。
抓到的包内容如下，可以看到是json形式进行传输的，请求中三个参数，第一个是笔记内容，第二个是资源id，第三个是视频的id，返回包内容则是返回留言成功与否和时间戳，其中令人疑惑的就是第二个"resourceld"，这个参数不是从1开始的，而是直接跳到133，于是怀疑当用户记笔记的时候，这个id就会自动加1，跟用户是谁无关，只是根据全站的笔记数自动+1，同时这个参数也是用户笔记的“标识码”。此时我马上进入个人中心，测试了一下删除笔记功能。
抓包内容如下，也是对一个接口进行的POST请求，数据格式为json，可以发现删除功能的请求包内容确实存在与创建笔记功能请求包中相同的内容，但是多了一个"id"参数，这是怎么回事？这篇笔记是我账号的第一篇笔记，但是id却不是从1开始的，结合刚才分析，这个id看起来更像是一个全站所有用户的笔记数总数，每次用户一旦创建笔记，这个id就会加一，但是这个id似乎只有在删除的时候抓包才能看到。
综合以上的分析，发现在删除的时候参数中没有判断权限的参数，只是一些删除内容相关的参数，经过测试我们发现若是更改id发包，响应包与删除成功的响应包一致，因此判断可能存在越权问题。观察其他功能的请求包，发现跟上面两个都类似，在删除时差不多都是POST请求表单携带id即可实现删除。
开始验证！再注册一个账号，暂且叫他B账号，我们用B账号发表一个评论。
为了方便测试，此时我们到个人中心里面查看已发表的评论，抓包观察这个评论的id是46。
直接再到Repeater里面，这里还是之前测试用A账号删除评论时的请求包，直接更改id为46，发包，从返回包看可知删除评论成功。
此时登录B账号，点进个人中心，发现之前发送的评论和笔记已经都被删除
成因分析
综合请求包和返回包的内容来看，以笔记为例，可以猜测出背后的创建和删除逻辑分别是:
创建: POST请求接口，直接携带内容，同时后端会给这个笔记直接定义一个id，这个id跟笔记是哪个用户发布的没有关系，不可控，直接强制是全站笔记数+1，比如A账号发布了，这个笔记的id是47，那么无论下一个笔记是谁发的，笔记的id都是48。
删除: POST请求接口，携带要删除的笔记id，其实从上面的请求包我们可以看到，评论的删除确实是POST请求只携带了id，但是笔记的删除请求中是携带了“笔记内容”和“视频id”这类参数，但是测试可以发现，这个参数后端根本没有判断，后端拿到id后就直接对相应的笔记执行了删除操作，没有进行鉴权。因此只要从id向下遍历到0，也就把全站所有用户的笔记都删除了。
总结复盘
在这之前我也挖掘过类似的逻辑漏洞，那个漏洞是越权删除图片库中其他用户上传的图片，实际与此次的成因大同小异，都是因为没有对平台用户的个人“资产”没有进行鉴权而导致的问题，在类似平台的开发过程中，很多开发者为了方便，后端会直接处理请求中的关键信息(例如上面笔记的"id")，从而直接对其执行操作，不会再比较其他的数据，这就导致了水平越权问题的出现。作为安全人员，我们也可以多多关注资产中这类功能点，测试其存在的问题。
互动话题：如果你对网络攻防技术感兴趣，想学习更多网安方面的知识和工具，可以看看以下题外话！
学习资源
为了帮助大家更好的塑造自己，成功转型，我给大家准备了一份网络安全入门/进阶学习资料，里面的内容都是适合零基础小白的笔记和资料，不懂编程也能听懂、看懂这些资料！
网络安全/黑客零基础入门
【----帮助网安学习，以下所有学习资料文末免费领取！----】
> ① 网安学习成长路径思维导图
> ② 60+网安经典常用工具包
> ③ 100+SRC漏洞分析报告
> ④ 150+网安攻防实战技术电子书
> ⑤ 最权威CISSP 认证考试指南+题库
> ⑥ 超1800页CTF实战技巧手册
> ⑦ 最新网安大厂面试题合集（含答案）
> ⑧ APP客户端安全检测指南（安卓+IOS）
大纲
首先要找一份详细的大纲。
学习教程
第一阶段：零基础入门系列教程
该阶段学完即可年薪15w+
第二阶段：技术入门
弱口令与口令爆破
XSS漏洞
CSRF漏洞
SSRF漏洞
XXE漏洞
SQL注入
任意文件操作漏洞
业务逻辑漏洞
该阶段学完年薪25w+
阶段三：高阶提升
反序列化漏洞
RCE
综合靶场实操项目
内网渗透
流量分析
日志分析
恶意代码分析
应急响应
实战训练
该阶段学完即可年薪30w+
面试刷题
最后，我其实要给部分人泼冷水，因为说实话，上面讲到的资料包获取没有任何的门槛。
但是，我觉得很多人拿到了却并不会去学习。
大部分人的问题看似是“如何行动”，其实是“无法开始”。
几乎任何一个领域都是这样，所谓“万事开头难”，绝大多数人都卡在第一步，还没开始就自己把自己淘汰出局了。
如果你真的确信自己喜欢网络安全/黑客技术，马上行动起来，比一切都重要。
资料领取
上述这份完整版的网络安全学习资料已经上传网盘，朋友们如果需要可以微信扫描下方二维码 ↓↓↓或者点击以下链接都可以领取
点击领取 《网络安全&黑客&入门进阶学习资源包》
本文转自 https://blog.csdn.net/chengxuyuanyy/article/details/166778929?spm=1001.2014.3001.5502，如有侵权，请联系删除。