网络安全领域各种资源，学习文档，以及工具分享、前沿信息分享、POC、EXP分享。不定期分享各种好玩的项目及好用的工具，欢迎关注。
目录
逻辑漏洞
说出至少三种业务逻辑漏洞，以及修复方式？ 越权访问(水平/垂直/未授权) 谈谈水平/垂直/未授权越权访问的区别? 越权问题如何自动化检测？一、业务逻辑漏洞分析与修复方案
（一）典型业务逻辑漏洞类型及案例
1. 越权访问漏洞（水平/垂直/未授权）
案例：某电商平台通过URL参数
?uid=123获取用户订单，攻击者修改uid值即可查看他人订单 本质原因：未对请求主体与资源所属主体进行绑定验证2. 支付金额篡改漏洞
案例：某票务系统前端限制最低票价100元，但后端未校验导致修改POST参数
amount=0.01完成低价购票 核心漏洞点：关键业务参数未在后端进行二次校验3. 验证码体系缺陷
子类型及案例：
- 爆破漏洞：某银行4位纯数字短信验证码，通过自动化脚本可暴力破解
- 复用漏洞：某社交平台验证码在会话周期内可重复使用
- 逻辑绕过：某政务系统在修改手机号时未验证原手机号状态
4. 条件竞争漏洞
经典案例：
- 余额提现接口未加锁导致重复提现
- 限量商品库存校验与扣减不同步
- 优惠券发放未使用原子操作
5. 业务流程绕过
典型场景：
- 跳过实名认证步骤直接访问核心功能
- 修改订单状态参数绕过支付流程
- 利用界面跳转漏洞绕过OTP验证
（二）漏洞修复方案深度扩展
1. 越权访问修复
java// 垂直越权修复示例（Spring Security） @PreAuthorize("hasRole('ADMIN')") public void deleteUser(String userId) { // 同时校验操作者权限与目标资源归属 if(!userService.isOwner(SecurityContextHolder.getContext().getAuthentication().getName(), userId)){ throw new AccessDeniedException(); } // 业务逻辑... }2. 支付系统加固方案
四层防御体系：
- 参数签名：使用HMAC-SHA256对金额、订单号等关键参数生成数字签名
- 状态机控制：采用有限状态机管理订单生命周期（created -> paid -> completed）
- 异步校验：支付成功后向支付渠道发起异步订单验证
- 审计日志：记录完整操作流水（包含原始请求参数和客户端指纹）
3. 验证码体系改造
增强方案对比表：
维度 传统方案 增强方案 验证码类型 4位数字 行为验证（滑动拼图等） 有效期 10分钟 单次有效+使用后立即失效 错误处理 简单计数限制 梯度延迟+设备指纹关联 传输方式 明文传输 加密令牌+一次性签名 4. 条件竞争防护
分布式锁实现方案：
pythondef deduct_inventory(item_id): # 使用Redis分布式锁 lock = redis.lock(f"inventory_lock:{item_id}", timeout=3000) try: if lock.acquire(blocking=True, timeout=2): current = get_inventory(item_id) if current > 0: update_inventory(item_id, current-1) return True return False finally: lock.release()5. 业务流程完整性验证
防御模式：
- 关键步骤令牌：每个流程节点生成JWT包含上一步操作哈希
- 上下文绑定：将会话ID与设备指纹、网络特征绑定
- 反向验证机制：对已完成步骤进行二次确认（如支付前的地址确认）
（三）进阶防护策略
- 威胁建模：在系统设计阶段使用STRIDE模型进行攻击面分析
- 混沌工程：通过故障注入测试验证异常处理能力
- 运行时保护：采用RASP技术实时阻断异常业务请求
- 业务风控系统：基于用户行为分析建立异常操作识别模型
二、越权访问类型深度解析
（一）核心差异对比表
维度 水平越权 垂直越权 未授权访问 权限层级 同等级用户之间 不同等级用户之间 无任何认证要求 认证要求 需要合法身份认证 需要低权限账户认证 完全不需要认证 攻击目标 横向数据资源 纵向功能权限 开放接口/配置错误 检测难度 ★★★☆☆（需同类账户） ★★★★☆（需权限差异环境） ★★☆☆☆（直接访问测试） 典型案例 查看他人订单 普通用户访问管理后台 直接访问API无需Token （二）攻击场景深度分析
1. 水平越权攻击模式
参数篡改型：
- 直接ID替换：
/api/user/1024/profile→/api/user/2048/profile- 间接关联泄露：通过手机号、邮箱等唯一标识进行查询
数据关联型：
- 利用业务关联关系遍历数据（如通过订单号获取用户信息）
- 基于时间序列的预测（生成符合规则的新资源ID）
2. 垂直越权升级路径
功能伪装：
- 伪造管理员Cookie中的role字段
- 修改请求头
X-User-Type: admin接口猜测：
- 通过API文档发现管理接口
- 利用Swagger等暴露的管理端点
3. 未授权访问成因
六大常见场景：
- 测试环境接口暴露在公网
- 接口鉴权中间件配置错误
- 白名单IP校验逻辑缺陷
- 默认凭证未修改（如admin/admin）
- 文件权限配置不当（如Nginx目录遍历）
- 服务组件未授权访问（如Redis未设密码）
（三）渗透测试方法论
1. 水平越权检测流程
1. 获取两个同权限测试账户A、B 2. 用A登录后记录关键请求参数 3. 在B的会话中重放A的请求 4. 观察是否返回A的数据 5. 尝试通过A的资源ID推算其他ID格式2. 垂直越权验证步骤
1. 准备低权限账户和已知的高权限功能URL 2. 使用低权限账户直接访问高权限接口 3. 修改请求参数伪装权限标识 4. 检查是否绕过前端控制 5. 尝试通过参数污染获取更高权限3. 未授权访问检测矩阵
检测对象 测试方法 风险等级 API接口 直接curl访问无需认证 高危 管理后台 访问/admin路径是否跳转登录 严重 文件资源 尝试下载敏感路径文件 中高危 数据库服务 使用nmap扫描开放端口尝试空密码登录 严重
三、越权漏洞自动化检测体系
（一）检测技术栈分层
1. 静态检测层
- 代码审计工具：Semgrep规则示例
yamlrules: - id: horizontal-privilege pattern: | User.find($ID).data message: "直接使用用户输入参数查询数据" languages: [ruby] severity: WARNING2. 动态检测层
自动化测试框架设计：
pythonclass PrivilegeTest(unittest.TestCase): def test_horizontal(self): # 初始化两个测试账户 user1 = create_user(role='user') user2 = create_user(role='user') # 获取user1的资源ID with session(user1) as s: res = s.get('/api/data') target_id = res.json()[0]['id'] # 使用user2访问该ID with session(user2) as s: response = s.get(f'/api/data/{target_id}') self.assertEqual(response.status_code, 403)3. 智能检测层
机器学习检测模型特征工程：
pythonfeatures = [ 'request_path_depth', 'parameter_variation_degree', 'response_similarity_score', 'session_privilege_level', 'access_sequence_anomaly' ]（二）核心检测策略
1. 参数变异引擎
变异规则库示例：
json{ "target_params": ["id", "uid", "userid"], "mutation_types": [ {"type": "increment", "step": 1}, {"type": "decrement", "step": 1}, {"type": "replace", "values": ["admin", "root"]} ] }2. 上下文感知检测
会话状态跟踪矩阵：
会话属性 检测点 认证状态 未认证访问需认证资源 权限标签 低权限账户访问高权限API 资源归属 跨用户ID访问同类资源 业务时序 未完成前置步骤直接跳转 3. 智能去误报机制
五维误报过滤模型：
- 响应码分析：过滤404/500等非业务性响应
- 内容相似度：对比正常/异常响应的文本差异
- 业务规则校验：结合OpenAPI规范验证参数合法性
- 流量基线学习：建立正常参数范围模型
- 人工验证接口：疑似漏洞自动生成验证用例
（三）企业级解决方案
1. 商业工具对比
工具名称 核心优势 局限 Burp Suite 插件生态丰富，支持自定义开发 需要手动配置扫描策略 AppScan 支持完整业务流录制 对现代SPA应用支持较弱 Acunetix 深度参数分析能力强 高并发场景性能不足 2. 开源方案实践
检测流水线架构：
GitLab CI/CD Pipeline │ ├─ 代码审计阶段：Semgrep静态扫描 ├─ 单元测试阶段：自动化权限测试用例 ├─ 动态测试阶段：ZAP主动扫描 └─ 生产环境监测：Elasticsearch异常日志分析3. 云原生检测体系
Serverless检测函数示例：
javascriptexports.handler = async (event) => { const { path, params, user } = event; // 实时权限校验 const requiredRole = getRequiredRole(path); if(user.role < requiredRole) { logSecurityEvent('privilege_escalation', event); return { statusCode: 403 }; } // 资源归属校验 if(params.userId && params.userId !== user.id) { logSecurityEvent('horizontal_attempt', event); return { statusCode: 403 }; } // 正常处理逻辑... };（四）检测效能提升策略
- 智能爬虫技术：基于Headless Chrome实现SPA应用深度遍历
- API指纹库：集成Swagger/OpenAPI规范自动生成测试用例
- 变异算法优化：采用遗传算法生成高效测试参数
- 上下文保持：维护完整会话状态实现多步骤业务流测试
- 结果可视化：自动生成攻击路径图展示漏洞关联性
四、深度扩展与趋势分析
（一）新兴攻击手法
- GraphQL越权：通过别名查询绕过权限检查
- 微服务间越权：服务网格中未正确传递身份上下文
- Serverless函数越权：错误配置IAM角色导致权限扩散
（二）防御体系演进
- 零信任架构：基于持续验证的动态权限控制
- 策略即代码：使用Rego语言定义细粒度权限策略
- 区块链审计：关键操作上链实现不可篡改记录
（三）合规性要求
- GDPR第32条：要求实现适当的访问控制措施
- 等保2.0：第三级系统需具备访问控制审计功能
- PCI DSS：要求严格隔离用户数据访问权限
（四）未来研究方向
- 基于API语义理解的智能权限校验
- 结合UEBA的用户行为基线分析
- 量子安全加密在权限令牌中的应用
- 跨系统权限联邦学习模型