機(jī)械工業(yè)出版社《網(wǎng)絡(luò)空間安全實(shí)驗(yàn)教程》第3章

認(rèn)證與授權(quán)攻擊實(shí)訓(xùn)要點(diǎn)認(rèn)證授權(quán)1認(rèn)證與授權(quán)認(rèn)證（Authentication）：是指驗(yàn)證你是誰(shuí),一般需要用到用戶名和密碼進(jìn)行身份驗(yàn)證。授權(quán)（Authorization）：是指你可以做什么,而且這個(gè)發(fā)生在驗(yàn)證通過后，能夠做什么操作。比如對(duì)一些文檔的訪問權(quán)限、更改權(quán)限、刪除權(quán)限，需要授權(quán)。1常見授權(quán)類型自主訪問控制DAC(DiscretionaryAccessControl)基于角色的訪問控制RBAC(Role-BasedAccessControl)基于規(guī)則的訪問控制Rule-Based(Rule-BasedAccessControl)數(shù)字版權(quán)管理DRM(DigitalRightsManagement)基于時(shí)間的授權(quán)TBA(TimeBasedAuthorization)實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份缺陷標(biāo)題：網(wǎng)站/在地址欄加admin可

進(jìn)入管理員頁(yè)面測(cè)試平臺(tái)與瀏覽器：Windows10+IE11或Chrome45.0瀏覽器測(cè)試步驟：打開網(wǎng)站:/。在地址欄后追加admin，回車。期望結(jié)果：瀏覽器提示無(wú)法找到網(wǎng)頁(yè)，或者出現(xiàn)管理員登錄頁(yè)面。

實(shí)際結(jié)果：跳轉(zhuǎn)到管理員頁(yè)面，點(diǎn)擊Users鏈接能看到系統(tǒng)中所有用戶名與密碼實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)缺陷標(biāo)題：CTFPostBook網(wǎng)站>用戶A登錄后，可以修改其他用戶的數(shù)據(jù)測(cè)試平臺(tái)與瀏覽器：Windows10+IE11或Chrome瀏覽器測(cè)試步驟：打開國(guó)外安全奪旗比賽網(wǎng)站主頁(yè):/ctf，如果已有賬戶直接登錄，沒有賬戶請(qǐng)注冊(cè)一個(gè)賬戶并登錄。登錄成功后，請(qǐng)進(jìn)入到Postbook網(wǎng)站項(xiàng)目/ctf/launch/7。點(diǎn)擊signup鏈接注冊(cè)兩個(gè)賬戶，比如：admin/admin,abcd/bacd。用admin/admin登錄，然后創(chuàng)建2個(gè)帖子，再用abcd/abcd登錄創(chuàng)建2個(gè)帖子。觀察abcd用戶修改帖子的鏈接：XXX/index.php?page=edit.php&id=5。篡改上一步URL中的id為1，2等，以abcd身份修改admin或其他用戶的帖子。期望結(jié)果：因身份權(quán)限不對(duì)，拒絕訪問。實(shí)際結(jié)果：用戶abcd能不經(jīng)其他用戶許可，任意修改其他用戶的數(shù)據(jù)，成功捕獲Flag。實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)實(shí)驗(yàn)CTFPostbook用戶A能用他人身份創(chuàng)建數(shù)據(jù)缺陷標(biāo)題：CTFPostBook網(wǎng)站>用戶A登錄后，可以用他人身份創(chuàng)建數(shù)據(jù)測(cè)試平臺(tái)與瀏覽器：Windows10+IE11或Chrome瀏覽器測(cè)試步驟：打開國(guó)外安全奪旗比賽網(wǎng)站主頁(yè):/ctf，如果已有賬戶直接登錄，沒有賬戶請(qǐng)注冊(cè)一個(gè)賬戶并登錄。登錄成功后，請(qǐng)進(jìn)入到Postbook網(wǎng)站項(xiàng)目/ctf/launch/7。點(diǎn)擊signup鏈接注冊(cè)兩個(gè)賬戶，比如：admin/admin,abcd/bacd，如果已有賬戶請(qǐng)忽略此步。用abcd/abcd登錄，點(diǎn)擊鏈接：”WriteanewPost”,在這個(gè)頁(yè)面右擊鼠標(biāo)，選擇“檢查(Inspect)”。觀察右端源代碼，發(fā)現(xiàn)Title(title)字段是必填項(xiàng)required，Post(body)字段也是必填項(xiàng)required，當(dāng)前的帖子是登錄用戶user_id為3。篡改上一步中的源代碼，將Title后面的required刪除，將Post后的required刪除，將user_id改為1。期望結(jié)果：因必填字段未填，并且因身份權(quán)限不對(duì)，拒絕訪問。實(shí)際結(jié)果：用戶abcd能繞過客戶端必填字段檢查，同時(shí)以系統(tǒng)第一個(gè)