拓冰网站定制 
文件上传漏洞挖掘思路与常见绕过方式总结前言文件上传漏洞是 Web 安全里最经典、考频最高的漏洞之一不管是 CTF Web 赛题、SRC 漏洞挖掘还是企业渗透测试文件上传点都是我们必须优先测试的位置。简单来说文件上传功能几乎在所有 Web 业务中都能见到头像上传、附件上传、简历上传、图片素材上传、文件管理模块。它的业务作用是接收用户上传的文件并保存在服务器。如果后端校验逻辑存在缺陷攻击者就可以上传可执行脚本文件php、asp、aspx、jsp 等直接在服务器执行命令拿下 Web 权限这也是文件上传漏洞被归为高危漏洞的原因。很多新手在学习文件上传的时候只会记住几个简单的后缀绕过 Payload遇到稍微复杂一点的校验就无从下手。本文会从漏洞原理、挖掘思路、前端校验绕过、MIME 类型绕过、黑名单绕过、白名单绕过、文件内容检测绕过、解析漏洞配合上传、条件竞争上传等方式系统梳理全套测试思路附带 Payload、测试方法、原理说明同时补充漏洞危害、修复方案和实战测试注意事项。⚠️ 免责声明本文所有内容仅用于本地靶场、获得书面授权的安全测试环境学习研究。严禁在任何未授权的网站、业务系统进行文件上传测试未经授权上传脚本、木马文件属于违法行为所有违规操作带来的法律责任由操作者自行承担。一、文件上传漏洞基础原理1.1 什么是文件上传漏洞Web 系统提供文件上传接口用户上传文件到服务器。正常业务只允许上传图片、文档这类静态文件当后端校验不严格攻击者成功上传脚本文件并且服务器能够解析执行该脚本就会产生文件上传漏洞。漏洞成立需要同时满足两个核心条件缺一不可成功上传脚本文件文件保存到服务器可访问目录服务器 Web 容器Apache、Nginx、IIS 等可以解析这个文件执行脚本代码。重点提醒仅仅上传文件成功不算漏洞如果上传的 php 文件服务器当成普通文本直接下载无法解析执行那就不存在上传漏洞。很多新手容易踩这个误区。1.2 漏洞成因只在前端做校验后端没有二次校验后端校验规则存在缺陷使用黑名单过滤后缀校验文件 MIME 类型直接信任客户端提交的 MIME 值仅校验文件头部文件幻数没有完整校验文件内容上传文件名可控可修改文件名后缀服务器 Web 容器存在解析漏洞上传文件重命名逻辑存在缺陷上传接口存在条件竞争文件在被检测删除前被访问执行。1.3 文件上传漏洞危害上传一句话木马执行系统命令获取网站 Webshell读取服务器本地敏感配置文件、数据库账号密码进一步提权拿下服务器操作系统权限上传恶意文件挂黑页、植入挖矿程序、窃取网站数据植入后门持久化控制服务器横向渗透内网。二、实战挖掘思路怎么找到上传点渗透测试过程中不能只盯着明显的 “上传图片” 按钮需要系统性梳理所有上传入口这是实战第一步。2.1 寻找上传功能点用户中心头像上传、背景图上传、个人附件后台管理素材上传、文章图片上传、批量导入 Excel前台业务简历上传、工单附件、反馈图片隐藏上传接口部分上传功能只在管理员页面存在但接口对外暴露低权限用户可直接调用接口上传API 接口小程序、H5、APP 配套上传接口这类接口经常缺少严格校验。小技巧有些上传按钮在页面上被隐藏前端 JS 禁用直接抓包构造 POST 请求仍然可以调用上传接口。2.2 拿到上传点后的标准测试流程先上传正常合法文件如 jpg 图片观察数据包、返回信息、文件保存路径、文件名规则尝试上传脚本文件观察拦截提示判断是前端校验还是后端校验根据拦截提示判断校验类型后缀校验 / MIME 校验 / 文件内容校验针对性尝试各类绕过手段上传成功后访问文件地址验证是否可以解析执行记录文件路径、文件命名规则判断是否存在解析漏洞、重命名逻辑。2.3 抓包基础文件上传数据包结构文件上传一般使用 POST 请求请求头Content-Type: multipart/form-data。数据包包含文件名称 filename、文件类型 Content-Type以及文件二进制内容。所有这几个字段都可以在 Burp Suite 里任意修改后端如果直接信任这些客户端可控字段就很容易出现漏洞。三、前端 JS 校验绕过最简单原理开发者通过 JavaScript 在浏览器端校验文件后缀在点击上传的时候判断扩展名如果不是图片就直接弹窗阻止上传。前端 JS 校验完全是客户端限制后端没有任何校验。绕过方式两种常用手段Burp 抓包先准备合法图片上传在发包前修改文件名为shell.php替换文件内容为一句话木马浏览器禁用 JSF12 开发者工具禁用 JavaScript直接提交脚本文件前端校验直接失效。特点这种校验是最容易绕过的属于最低级防护。判断特征弹窗提示文件类型错误数据包还没有发送到服务器就拦截。四、MIME 类型校验绕过原理后端读取请求头中的Content-Type字段判断文件类型。比如只允许image/jpeg、image/png。但是 Content-Type 是客户端可控Burp 可以随意修改。测试 Payload准备一句话木马文件shell.php抓包上传修改 Content-Type 值为图片类型Content-Type: image/jpeg后端只判断这个字段不去读取真实文件内容直接放行。区分点MIME 校验是后端收到数据包之后判断前端不会弹窗。哪怕文件内容是 php 代码只要 Content-Type 改成图片类型就可以上传。缺陷防护力度弱只能防御新手很容易被抓包修改绕过。五、黑名单校验绕过高频考点黑名单后端维护一个禁止上传的后缀列表拦截 php、asp、jsp 等脚本后缀。黑名单的通病很难把所有脚本后缀写全容易漏掉变种后缀也可以利用特殊字符截断绕过。5.1 后缀变种绕过PHP 环境常用黑名单禁止.php尝试这些后缀php3、php4、php5、php7、phtml、phar前提Apache 配置中开启了对应后缀解析AddType application/x-httpd-php .php5这类配置。如果 Web 容器支持解析即可执行。5.2 大小写绕过Windows 系统文件名不区分大小写。黑名单拦截.php上传文件名改为Shell.PHP、shell.Php。服务器 Windows 环境会把大写后缀当成 php 文件解析。Linux 区分大小写该方法无效。5.3 特殊字符绕过空格、点、::$DATA文件名末尾加空格shell.php注意 php 后面有空格Windows 会自动去掉文件名末尾空格文件名末尾加点shell.php.Windows 自动删除末尾的点Windows ADS 流::(DATAshell.php::\)DATAIIS 环境下会把::$DATA 前面部分作为文件名保存为 shell.php适用环境Windows IIS/Apache现在新版本服务器大部分已经修复该漏洞旧靶场经常出现。5.4 点号双写绕过过滤单个 php使用shell.pphphp。原理后端代码使用字符串替换把php替换为空。pphphp替换一次 php 之后剩下php。例如过滤函数str_replace(php,,$filename)原始文件名shell.pphphp第一次替换删除 php → shell.php最终文件后缀为 php。六、白名单校验相对安全但仍存在绕过白名单只允许指定后缀例如仅允许 jpg、png、gif。白名单本身比黑名单安全很多绕过一般不攻击后缀而是结合解析漏洞、文件名截断。6.1 0x00 空字符截断老版本 PHP适用条件PHP 版本 5.3.4且 magic_quotes_gpc 关闭原理%00是空字符C 语言底层遇到 0x00 直接截断字符串。文件名构造shell.php%00.jpg后端白名单校验读到.jpg校验通过保存文件时遇到 %00 截断保存为 shell.php。注意新版 PHP 已经修复 00 截断真实环境现在很少见CTF 旧题目经常出现。6.2 路径截断类似 00 截断利用文件名中的特殊字符截断路径。例如上传文件名../shell.php%00.jpg还能实现路径穿越上传到网站根目录。七、文件内容校验绕过图片马很多上传点不仅校验后缀还校验文件头部幻数判断文件是不是图片。图片文件头部标识幻数jpgFF D8 FFpng89 50 4E 47gif47 49 46 38后端读取文件前几个字节匹配图片幻数如果匹配就放行。此时单纯改后缀不行需要制作图片马。制作图片马两种方式cmd 命令拼接copy 1.jpg /b shell.php 2.jpg将图片和一句话木马合并文件头部是 jpg 幻数后端检测是图片成功上传。此时文件后缀是 jpg正常访问只是图片需要搭配服务器解析漏洞才能执行 php 代码。例如 Apache 解析漏洞xxx.jpg/.php服务器把 jpg 文件当成 php 解析执行。图片马配套解析漏洞Apache 解析漏洞文件名xxx.jpg/.phpApache 从后向前识别后缀遇到 php 就解析前面文件Nginx 解析漏洞旧版本xxx.jpg/xxx.phpNginx 畸形解析文件名xxx.jpg%00.php老版本。重点单独图片马无法执行代码必须配合 Web 容器解析漏洞这是很多新手踩坑点。八、条件竞争上传竞争条件原理后端处理逻辑先把文件上传保存到服务器再进行安全检测如果检测是恶意脚本再删除文件。文件先落地后检测在文件保存到服务器和被删除的极短时间窗口内多次并发请求访问该文件抢先执行脚本。测试方法Burp Intruder 模块两个 payload 组持续发送上传数据包不断上传 shell.php并发访问上传后的 shell.php 地址只要在删除前访问成功脚本执行生成持久化后门。特点很难通过看页面返回判断上传页面返回可能提示文件非法但是文件短暂落地。CTF 和部分后台上传接口会遇到。九、其他小众绕过方式文件内容检测过滤标签绕过后端扫描?php标签过滤 php 起始标记。可以使用短标签、script 标签写法script languagephpeval($_POST[cmd]);/script前提服务器支持 php 短标签。EXIF 信息注入部分后端读取图片 EXIF 信息存在二次解析漏洞配合图片马使用。文件名二次重命名缺陷部分系统会保留原始文件名后缀只是随机生成前缀例如12345_shell.php如果没有过滤后缀直接解析执行。十、各 Web 容器解析漏洞汇总解析漏洞是文件上传漏洞的重要搭档就算上传的是 jpg 图片马利用解析漏洞也可以执行代码。Apachexxx.jpg/.php从右往左解析后缀IIS 6.0xxx.asp;.jpg分号后面内容忽略当做 asp 解析Nginx 旧版本xxx.jpg/xxx.php。新版本 Nginx、Apache 已经修复大部分解析漏洞现实环境出现概率变低靶场和老旧系统容易遇到。十一、漏洞修复方案渗透报告必备文件上传漏洞的修复要遵循多层防护原则不能只靠单一校验。使用白名单禁止黑名单只允许业务需要的文件后缀拒绝所有其他后缀不要维护黑名单。后端全面校验永远不要相信前端校验前端校验仅提升用户体验所有文件类型、文件名、文件内容校验必须在服务端实现。重命名上传文件消除文件名可控风险上传文件不要保留用户原始文件名使用随机字符串 白名单后缀例如uuid.jpg。彻底杜绝后缀篡改、解析漏洞利用。严格校验文件真实内容不只校验幻数不能只校验文件头部幻数可增加文件内容检测查杀 Webshell。上传目录禁止脚本执行权限将上传文件夹配置为不支持脚本解析哪怕上传 php 文件服务器也不会执行只能当做静态文件下载。这是最有效的兜底防护。Nginx上传目录单独配置禁止 php 解析Apache上传目录增加.htaccess禁止脚本执行。限制文件大小防止上传超大恶意文件存储上传文件使用独立存储对象存储 OSS和 Web 服务器分离增加 WAF 防护拦截 Webshell 上传同时增加操作日志告警异常上传行为禁止上传文件目录可执行、禁止目录写执行权限。十二、测试注意事项与常见误区❌ 误区 1前端弹窗拦截 存在上传漏洞。前端 JS 校验后端校验严格就算前端绕过后端依旧拦截不存在漏洞。❌ 误区 2文件上传成功就一定是高危漏洞。必须确认文件可以被 Web 容器解析执行仅上传无法执行的文件危害很低。❌ 误区 3图片马上传成功就可以直接执行。图片后缀 jpg 默认不会被 php 解析必须搭配解析漏洞。❌ 误区 4MIME 校验可以作为安全防护。MIME 来自客户端完全可控不能作为安全校验依据。✅ 实战小技巧测试的时候循序渐进优先测试简单绕过前端、MIME再尝试后缀绕过最后图片马、竞争条件。观察每次上传返回的报错信息判断后端是在过滤文件名还是文件内容。十三、漏洞报告模板参考漏洞类型文件上传漏洞漏洞描述网站头像上传接口后端校验存在缺陷攻击者可上传 php 脚本文件访问该文件即可执行服务器代码获取 Webshell控制网站服务器。复现步骤访问头像上传页面抓包构造上传数据包修改文件后缀为 php文件内容为一句话木马提交数据包文件上传成功访问上传文件地址脚本成功执行。漏洞危害攻击者可上传 Webshell执行系统命令读取网站配置文件接管网站服务器进一步横向渗透内网。修复建议后端使用白名单限制上传后缀上传文件使用随机名称重命名上传目录取消脚本执行权限校验文件真实内容。结尾文件上传漏洞是一套组合测试思路不是死记硬背 Payload。核心思路是先判断校验位置前端 / 后端判断校验对象MIME / 文件名 / 文件内容再针对性选择绕过手段最后验证文件是否能够解析执行。随着 WAF、现代 Web 容器普及简单的后缀绕过在真实业务中越来越少现在 SRC 里更多见到的是组合型漏洞白名单 解析漏洞、条件竞争、文件名重命名缺陷。学习推荐靶场DVWA 文件上传模块、Upload-Labs 全套靶场Upload-Labs 包含各种上传绕过场景非常适合系统练习。掌握文件上传之后再结合文件包含、解析漏洞就可以处理很多 Web 组合漏洞。一次简单越权漏洞复现带你看懂权限控制缺陷前言在 Web 安全漏洞中越权漏洞属于业务逻辑类漏洞没有复杂的内存操作、不需要特殊的 Payload却是各类 SRC、渗透测试、CTF Web 题目里高频出现的一类漏洞。很多新手刚接触 Web 安全时会优先学习 SQL 注入、XSS 跨站脚本、文件上传这类有明显特征的漏洞很容易忽略越权。越权漏洞本质不是语言、框架本身的底层漏洞而是开发者在做业务权限校验时考虑不周没有在服务端做严格的身份与权限校验仅仅依靠前端控制页面展示、依靠客户端传参判断用户身份。很多人觉得越权很难理解其实一句话概括A 用户可以直接访问、查看、修改 B 用户才有权限操作的数据这就是越权。越权分为两大类型水平越权、垂直越权这也是本文重点讲解的核心。本文会搭建简易测试环境完整复现水平越权拆解漏洞原理、漏洞成因、复现步骤、漏洞危害、修复方案同时区分水平越权和垂直越权还会补充实战中挖掘越权的常用思路。适合零基础入门 Web 安全、准备 SRC 漏洞挖掘、学习业务逻辑漏洞的同学阅读。⚠️ 免责声明本文所有内容仅用于本地自建靶场学习、安全授权环境测试文中演示的漏洞环境仅限内网本地搭建。严禁在未授权的网站、业务系统上进行漏洞测试未经授权的渗透测试、越权访问属于违法行为一切违规行为由操作者自行承担法律责任。一、越权漏洞基础概念1.1 什么是越权Web 系统在设计时会给不同用户分配不同权限普通用户只能看自己的数据管理员可以查看全部用户数据。越权就是用户绕过系统权限判断访问超出自己身份允许范围的数据或者功能。越权分为两大类这是面试、SRC 提交漏洞报告里必须分清的水平越权同级别越权同角色、同权限等级的用户互相访问对方的数据。举例用户 Aid1001、用户 Bid1002都是普通会员。A 修改请求参数直接读取 B 的个人订单、个人资料A 和 B 权限级别相同只是数据归属不同这就是水平越权。垂直越权高低权限越权低权限账号直接使用高权限管理员功能。举例普通用户直接访问后台管理员页面、新增用户、删除数据普通用户没有管理员权限直接拿到管理员功能属于垂直越权。简单记忆水平越权 平级之间偷看别人的数据垂直越权 低权限账号拿到管理员功能1.2 越权漏洞产生的根本原因一句话只在前端做权限判断后端没有二次校验用户身份和数据归属关系。很多开发的错误写法前端页面隐藏按钮认为用户看不到就不能操作页面请求使用user_id、order_id这类参数直接从客户端 GET/POST 传入后端拿到参数后直接去数据库查询这条记录没有校验这条记录是不是当前登录用户拥有的数据。前端的所有内容、参数用户都可以通过 Burp Suite 修改。前端隐藏按钮、灰色输入框仅仅是视觉上的限制不能作为安全防护。任何权限校验必须在服务端完成。1.3 越权漏洞的危害越权漏洞看起来没有执行代码、拖库那么震撼但业务危害往往很大水平越权泄露其他用户手机号、收货地址、订单信息、身份证等隐私数据修改他人订单、取消别人业务申请。垂直越权普通用户直接新增、删除账号修改全站配置接管整个后台系统。企业场景越权可批量爬取大量用户隐私数据造成大量信息泄露违反《网络安全法》《个人信息保护法》。漏洞上报越权漏洞在 SRC 平台属于中高危漏洞根据影响范围定级。二、靶场环境准备为了方便复现我们搭建简易 PHPMySQL 靶场模拟一个订单查询系统。环境说明本地搭建使用 PHPStudy / XAMPPMySQL 数据库浏览器 Burp Suite 抓包工具。2.1 数据库表设计创建用户表user_infoidusernamepasswordrole1userA123456user2userB123456user3adminadmin123admin创建订单表order_listorder_idorder_contentowner_userid1001手机订单11002耳机订单2业务逻辑用户登录之后通过传入 order_id 查看订单详情正常逻辑用户 userAid1只能查看 owner_userid1 的订单order_id1001用户 userBid2只能查看 owner_userid2 的订单order_id10022.2 存在漏洞的后端代码存在水平越权缺陷?php session_start(); // 获取前端传过来的订单id $order_id $_GET[order_id]; $conn mysqli_connect(localhost,root,root,test); // 直接根据order_id查询订单没有校验订单归属 $sql select * from order_list where order_id $order_id; $result mysqli_query($conn,$sql); $row mysqli_fetch_assoc($result); echo 订单内容.$row[order_content]; echo 订单所属用户ID.$row[owner_userid]; ?漏洞关键点后端拿到 order_id 之后仅仅查询 order_id 对应的记录没有判断当前登录 session 里的用户 id是否等于订单的 owner_userid。只要修改 order_id 参数任何人都能读取任意订单。正确安全代码逻辑拿到 order_id 之后额外增加条件where order_id$order_id and owner_userid 当前登录用户id双重限制。三、水平越权完整复现步骤步骤 1登录 userA 账号打开系统登录页面输入账号 userA密码 123456登录成功。登录之后服务端 session 记录当前用户 id1。访问订单页面查询自己订单请求 URLhttp://127.0.0.1/order.php?order_id1001页面返回 userA 自己的手机订单正常访问。步骤 2抓包修改参数尝试越权访问 userB 订单打开 Burp Suite开启代理抓包保持 userA 账号处于登录状态Cookie、Session 不变依然是 userA 身份。修改 URL 参数把 order_id 改为 1002http://127.0.0.1/order.php?order_id1002发送请求页面直接返回耳机订单所属用户 ID2。✅ 漏洞复现成功userA 在自己账号登录状态下直接查看 userB 的订单数据。重点全程没有切换账号Session 还是 userA仅仅修改 GET 请求里的 order_id 参数就读取其他用户数据典型水平越权。步骤 3思考拓展POST 型参数越权很多业务不是 GET 传参而是 POST 表单提交原理完全一样。比如修改个人资料接口POST 参数userid1。登录 userA抓包把 POST 参数 userid 改成 2提交请求如果后端直接修改 id2 用户资料就产生水平越权可以修改别人资料。四、垂直越权简单演示思路同样这套系统普通用户角色为 user管理员角色 admin管理员地址/admin/user_list.php功能查看所有账号。如果系统仅仅在前端判断角色后端没有校验角色权限。普通用户登录后直接在浏览器访问/admin/user_list.php成功进入管理员页面查看全部账号就是垂直越权。垂直越权常见场景后台管理页面、用户新增接口、数据删除接口。五、实战挖掘越权的常用思路渗透测试实战技巧学会复现之后我们来看真实 SRC 挖漏洞时怎么寻找越权寻找可控 ID 类参数URL、POST 请求里面常见参数userid、id、uid、order_id、goods_id、article_id、card_id、record_id这类数字 ID 是越权最高发位置。拿到 A 用户的 ID替换成 B 用户 ID 尝试访问。准备两个测试账号挖掘水平越权必备注册两个普通账号 A、B。先用 A 操作产生一条业务数据拿到数据 ID保持 A 登录修改 ID 为 B 的数据 ID看是否能读取 / 修改。观察 Cookie 与 Session权限是依托 Session/Cookie 识别身份。只要 Cookie 不变代表当前用户身份不变只修改请求参数测试越权。增删改查接口全部测试不仅仅是查询接口读数据修改、删除、提交类接口越权危害更大查询越权 → 信息泄露修改 / 删除越权 → 篡改他人业务数据。测试垂直越权注册低权限普通账号直接尝试访问后台管理地址、管理员接口抓包查看管理员接口请求用普通账号 Cookie 重放请求。注意 Cookie 中存放用户 ID 的情况部分系统直接把 uid 写在 Cookie 里面修改 Cookie 内 uid 值重放请求也可能触发越权。越权测试常见误区❌ 误区 1页面看不到按钮代表没有漏洞页面按钮是前端渲染Burp 可以直接构造请求调用接口。❌ 误区 2需要登录就不存在越权越权前提就是登录登录之后访问不属于自己的数据。❌ 误区 3参数是 POST 就不会越权GET 和 POST 只是传参方式权限校验缺陷和提交方式无关。六、越权漏洞的修复方案开发必看漏洞报告必备越权的核心修复思路一句话所有接口在服务端校验两层权限角色权限 数据归属权限。水平越权修复每次查询、修改、删除数据接口时在 SQL 语句增加当前登录用户 ID 的限制条件。示例安全 SQLselect * from order_list where order_id ? and owner_userid 当前登录用户ID无论前端传入什么 order_id数据库只会查询属于当前登录用户的数据。不要信任前端传入的 userid、ownerid用户身份必须从 Session、Token 里面获取不能由客户端提交。垂直越权修复接口访问前在服务端校验当前用户角色。访问管理员接口先读取 Session 里用户角色如果角色不是 admin直接拒绝访问返回 403 无权限不能只前端隐藏入口。通用安全加固建议用户身份信息用户 ID、角色保存在服务端 Session 或者 JWT Token不能由前端可控参数传入禁止直接使用前端传递的 ID 作为唯一查询条件必须校验数据归属统一权限中间件所有接口统一做权限拦截不要每个接口手写权限容易漏写权限校验放在后端前端仅做页面展示优化前端不承担安全控制上线前业务逻辑测试使用多账号交叉测试覆盖增删改查所有接口日志记录敏感操作当出现越权访问行为能够告警溯源。七、越权和其他漏洞对比容易混淆的知识点越权 vs 未授权访问未授权访问不需要登录直接访问页面接口越权需要登录登录之后访问超出权限的数据。两者容易混淆漏洞报告描述要区分清楚。越权 vs SQL 注入SQL 注入是控制 SQL 语句执行越权是业务逻辑缺陷没有注入语句SQL 语句本身没有问题缺少业务权限判断。八、实战漏洞报告简单模板SRC 提交参考漏洞类型水平越权漏洞漏洞描述系统订单查询接口后端未校验订单数据归属普通用户可修改 order_id 参数读取其他用户订单信息造成用户隐私泄露。复现步骤使用账号 userA 登录系统Burp 抓包访问订单接口修改 order_id 参数为其他用户订单 ID服务端返回其他用户订单详情漏洞危害攻击者可遍历 order_id 批量获取大量用户订单、个人隐私信息修复建议后端增加校验查询订单时校验订单 ownerid 与当前登录用户 ID 一致。结尾越权漏洞属于业务逻辑漏洞没有复杂 Payload但是在真实渗透、SRC 挖掘中出现频率极高。很多开发很容易忽略 “数据归属校验” 这个点只做登录校验却不校验这条数据是不是当前用户的。记住核心判断逻辑登录成功不等于有权操作这条数据必须校验数据归属关系。水平越权看同账号之间的数据隔离垂直越权看高低角色功能隔离。新手学习 Web 安全一定要重视业务逻辑漏洞。很多时候防火墙、WAF 可以拦截注入、XSS但是很难拦截越权因为越权请求都是正常业务请求只是访问了不属于自己的数据。读完本文大家可以在 DVWA、WebGoat 靶场找到越权模块练习自己搭建多账号环境亲手抓包修改参数复现加深理解。如果对你有帮助欢迎点赞、收藏后续会持续更新 Web 安全漏洞复现系列文章。如何系统学习网络安全网络安全作为数字时代的核心技术基石已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。构建稳固的网络安全能力是一个体系的工程需要从夯实基础理论出发持续深化到攻防对抗与应急响应的实战层面。如果你是准备学习网络安全黑客或者正在学习我可以把我自用的360独家内部资料分享给你包含以下内容你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】 文件上传漏洞挖掘思路与常见绕过方式总结
文件上传漏洞挖掘思路与常见绕过方式总结前言文件上传漏洞是 Web 安全里最经典、考频最高的漏洞之一不管是 CTF Web 赛题、SRC 漏洞挖掘还是企业渗透测试文件上传点都是我们必须优先测试的位置。简单来说文件上传功能几乎在所有 Web 业务中都能见到头像上传、附件上传、简历上传、图片素材上传、文件管理模块。它的业务作用是接收用户上传的文件并保存在服务器。如果后端校验逻辑存在缺陷攻击者就可以上传可执行脚本文件php、asp、aspx、jsp 等直接在服务器执行命令拿下 Web 权限这也是文件上传漏洞被归为高危漏洞的原因。很多新手在学习文件上传的时候只会记住几个简单的后缀绕过 Payload遇到稍微复杂一点的校验就无从下手。本文会从漏洞原理、挖掘思路、前端校验绕过、MIME 类型绕过、黑名单绕过、白名单绕过、文件内容检测绕过、解析漏洞配合上传、条件竞争上传等方式系统梳理全套测试思路附带 Payload、测试方法、原理说明同时补充漏洞危害、修复方案和实战测试注意事项。⚠️ 免责声明本文所有内容仅用于本地靶场、获得书面授权的安全测试环境学习研究。严禁在任何未授权的网站、业务系统进行文件上传测试未经授权上传脚本、木马文件属于违法行为所有违规操作带来的法律责任由操作者自行承担。一、文件上传漏洞基础原理1.1 什么是文件上传漏洞Web 系统提供文件上传接口用户上传文件到服务器。正常业务只允许上传图片、文档这类静态文件当后端校验不严格攻击者成功上传脚本文件并且服务器能够解析执行该脚本就会产生文件上传漏洞。漏洞成立需要同时满足两个核心条件缺一不可成功上传脚本文件文件保存到服务器可访问目录服务器 Web 容器Apache、Nginx、IIS 等可以解析这个文件执行脚本代码。重点提醒仅仅上传文件成功不算漏洞如果上传的 php 文件服务器当成普通文本直接下载无法解析执行那就不存在上传漏洞。很多新手容易踩这个误区。1.2 漏洞成因只在前端做校验后端没有二次校验后端校验规则存在缺陷使用黑名单过滤后缀校验文件 MIME 类型直接信任客户端提交的 MIME 值仅校验文件头部文件幻数没有完整校验文件内容上传文件名可控可修改文件名后缀服务器 Web 容器存在解析漏洞上传文件重命名逻辑存在缺陷上传接口存在条件竞争文件在被检测删除前被访问执行。1.3 文件上传漏洞危害上传一句话木马执行系统命令获取网站 Webshell读取服务器本地敏感配置文件、数据库账号密码进一步提权拿下服务器操作系统权限上传恶意文件挂黑页、植入挖矿程序、窃取网站数据植入后门持久化控制服务器横向渗透内网。二、实战挖掘思路怎么找到上传点渗透测试过程中不能只盯着明显的 “上传图片” 按钮需要系统性梳理所有上传入口这是实战第一步。2.1 寻找上传功能点用户中心头像上传、背景图上传、个人附件后台管理素材上传、文章图片上传、批量导入 Excel前台业务简历上传、工单附件、反馈图片隐藏上传接口部分上传功能只在管理员页面存在但接口对外暴露低权限用户可直接调用接口上传API 接口小程序、H5、APP 配套上传接口这类接口经常缺少严格校验。小技巧有些上传按钮在页面上被隐藏前端 JS 禁用直接抓包构造 POST 请求仍然可以调用上传接口。2.2 拿到上传点后的标准测试流程先上传正常合法文件如 jpg 图片观察数据包、返回信息、文件保存路径、文件名规则尝试上传脚本文件观察拦截提示判断是前端校验还是后端校验根据拦截提示判断校验类型后缀校验 / MIME 校验 / 文件内容校验针对性尝试各类绕过手段上传成功后访问文件地址验证是否可以解析执行记录文件路径、文件命名规则判断是否存在解析漏洞、重命名逻辑。2.3 抓包基础文件上传数据包结构文件上传一般使用 POST 请求请求头Content-Type: multipart/form-data。数据包包含文件名称 filename、文件类型 Content-Type以及文件二进制内容。所有这几个字段都可以在 Burp Suite 里任意修改后端如果直接信任这些客户端可控字段就很容易出现漏洞。三、前端 JS 校验绕过最简单原理开发者通过 JavaScript 在浏览器端校验文件后缀在点击上传的时候判断扩展名如果不是图片就直接弹窗阻止上传。前端 JS 校验完全是客户端限制后端没有任何校验。绕过方式两种常用手段Burp 抓包先准备合法图片上传在发包前修改文件名为shell.php替换文件内容为一句话木马浏览器禁用 JSF12 开发者工具禁用 JavaScript直接提交脚本文件前端校验直接失效。特点这种校验是最容易绕过的属于最低级防护。判断特征弹窗提示文件类型错误数据包还没有发送到服务器就拦截。四、MIME 类型校验绕过原理后端读取请求头中的Content-Type字段判断文件类型。比如只允许image/jpeg、image/png。但是 Content-Type 是客户端可控Burp 可以随意修改。测试 Payload准备一句话木马文件shell.php抓包上传修改 Content-Type 值为图片类型Content-Type: image/jpeg后端只判断这个字段不去读取真实文件内容直接放行。区分点MIME 校验是后端收到数据包之后判断前端不会弹窗。哪怕文件内容是 php 代码只要 Content-Type 改成图片类型就可以上传。缺陷防护力度弱只能防御新手很容易被抓包修改绕过。五、黑名单校验绕过高频考点黑名单后端维护一个禁止上传的后缀列表拦截 php、asp、jsp 等脚本后缀。黑名单的通病很难把所有脚本后缀写全容易漏掉变种后缀也可以利用特殊字符截断绕过。5.1 后缀变种绕过PHP 环境常用黑名单禁止.php尝试这些后缀php3、php4、php5、php7、phtml、phar前提Apache 配置中开启了对应后缀解析AddType application/x-httpd-php .php5这类配置。如果 Web 容器支持解析即可执行。5.2 大小写绕过Windows 系统文件名不区分大小写。黑名单拦截.php上传文件名改为Shell.PHP、shell.Php。服务器 Windows 环境会把大写后缀当成 php 文件解析。Linux 区分大小写该方法无效。5.3 特殊字符绕过空格、点、::$DATA文件名末尾加空格shell.php注意 php 后面有空格Windows 会自动去掉文件名末尾空格文件名末尾加点shell.php.Windows 自动删除末尾的点Windows ADS 流::(DATAshell.php::\)DATAIIS 环境下会把::$DATA 前面部分作为文件名保存为 shell.php适用环境Windows IIS/Apache现在新版本服务器大部分已经修复该漏洞旧靶场经常出现。5.4 点号双写绕过过滤单个 php使用shell.pphphp。原理后端代码使用字符串替换把php替换为空。pphphp替换一次 php 之后剩下php。例如过滤函数str_replace(php,,$filename)原始文件名shell.pphphp第一次替换删除 php → shell.php最终文件后缀为 php。六、白名单校验相对安全但仍存在绕过白名单只允许指定后缀例如仅允许 jpg、png、gif。白名单本身比黑名单安全很多绕过一般不攻击后缀而是结合解析漏洞、文件名截断。6.1 0x00 空字符截断老版本 PHP适用条件PHP 版本 5.3.4且 magic_quotes_gpc 关闭原理%00是空字符C 语言底层遇到 0x00 直接截断字符串。文件名构造shell.php%00.jpg后端白名单校验读到.jpg校验通过保存文件时遇到 %00 截断保存为 shell.php。注意新版 PHP 已经修复 00 截断真实环境现在很少见CTF 旧题目经常出现。6.2 路径截断类似 00 截断利用文件名中的特殊字符截断路径。例如上传文件名../shell.php%00.jpg还能实现路径穿越上传到网站根目录。七、文件内容校验绕过图片马很多上传点不仅校验后缀还校验文件头部幻数判断文件是不是图片。图片文件头部标识幻数jpgFF D8 FFpng89 50 4E 47gif47 49 46 38后端读取文件前几个字节匹配图片幻数如果匹配就放行。此时单纯改后缀不行需要制作图片马。制作图片马两种方式cmd 命令拼接copy 1.jpg /b shell.php 2.jpg将图片和一句话木马合并文件头部是 jpg 幻数后端检测是图片成功上传。此时文件后缀是 jpg正常访问只是图片需要搭配服务器解析漏洞才能执行 php 代码。例如 Apache 解析漏洞xxx.jpg/.php服务器把 jpg 文件当成 php 解析执行。图片马配套解析漏洞Apache 解析漏洞文件名xxx.jpg/.phpApache 从后向前识别后缀遇到 php 就解析前面文件Nginx 解析漏洞旧版本xxx.jpg/xxx.phpNginx 畸形解析文件名xxx.jpg%00.php老版本。重点单独图片马无法执行代码必须配合 Web 容器解析漏洞这是很多新手踩坑点。八、条件竞争上传竞争条件原理后端处理逻辑先把文件上传保存到服务器再进行安全检测如果检测是恶意脚本再删除文件。文件先落地后检测在文件保存到服务器和被删除的极短时间窗口内多次并发请求访问该文件抢先执行脚本。测试方法Burp Intruder 模块两个 payload 组持续发送上传数据包不断上传 shell.php并发访问上传后的 shell.php 地址只要在删除前访问成功脚本执行生成持久化后门。特点很难通过看页面返回判断上传页面返回可能提示文件非法但是文件短暂落地。CTF 和部分后台上传接口会遇到。九、其他小众绕过方式文件内容检测过滤标签绕过后端扫描?php标签过滤 php 起始标记。可以使用短标签、script 标签写法script languagephpeval($_POST[cmd]);/script前提服务器支持 php 短标签。EXIF 信息注入部分后端读取图片 EXIF 信息存在二次解析漏洞配合图片马使用。文件名二次重命名缺陷部分系统会保留原始文件名后缀只是随机生成前缀例如12345_shell.php如果没有过滤后缀直接解析执行。十、各 Web 容器解析漏洞汇总解析漏洞是文件上传漏洞的重要搭档就算上传的是 jpg 图片马利用解析漏洞也可以执行代码。Apachexxx.jpg/.php从右往左解析后缀IIS 6.0xxx.asp;.jpg分号后面内容忽略当做 asp 解析Nginx 旧版本xxx.jpg/xxx.php。新版本 Nginx、Apache 已经修复大部分解析漏洞现实环境出现概率变低靶场和老旧系统容易遇到。十一、漏洞修复方案渗透报告必备文件上传漏洞的修复要遵循多层防护原则不能只靠单一校验。使用白名单禁止黑名单只允许业务需要的文件后缀拒绝所有其他后缀不要维护黑名单。后端全面校验永远不要相信前端校验前端校验仅提升用户体验所有文件类型、文件名、文件内容校验必须在服务端实现。重命名上传文件消除文件名可控风险上传文件不要保留用户原始文件名使用随机字符串 白名单后缀例如uuid.jpg。彻底杜绝后缀篡改、解析漏洞利用。严格校验文件真实内容不只校验幻数不能只校验文件头部幻数可增加文件内容检测查杀 Webshell。上传目录禁止脚本执行权限将上传文件夹配置为不支持脚本解析哪怕上传 php 文件服务器也不会执行只能当做静态文件下载。这是最有效的兜底防护。Nginx上传目录单独配置禁止 php 解析Apache上传目录增加.htaccess禁止脚本执行。限制文件大小防止上传超大恶意文件存储上传文件使用独立存储对象存储 OSS和 Web 服务器分离增加 WAF 防护拦截 Webshell 上传同时增加操作日志告警异常上传行为禁止上传文件目录可执行、禁止目录写执行权限。十二、测试注意事项与常见误区❌ 误区 1前端弹窗拦截 存在上传漏洞。前端 JS 校验后端校验严格就算前端绕过后端依旧拦截不存在漏洞。❌ 误区 2文件上传成功就一定是高危漏洞。必须确认文件可以被 Web 容器解析执行仅上传无法执行的文件危害很低。❌ 误区 3图片马上传成功就可以直接执行。图片后缀 jpg 默认不会被 php 解析必须搭配解析漏洞。❌ 误区 4MIME 校验可以作为安全防护。MIME 来自客户端完全可控不能作为安全校验依据。✅ 实战小技巧测试的时候循序渐进优先测试简单绕过前端、MIME再尝试后缀绕过最后图片马、竞争条件。观察每次上传返回的报错信息判断后端是在过滤文件名还是文件内容。十三、漏洞报告模板参考漏洞类型文件上传漏洞漏洞描述网站头像上传接口后端校验存在缺陷攻击者可上传 php 脚本文件访问该文件即可执行服务器代码获取 Webshell控制网站服务器。复现步骤访问头像上传页面抓包构造上传数据包修改文件后缀为 php文件内容为一句话木马提交数据包文件上传成功访问上传文件地址脚本成功执行。漏洞危害攻击者可上传 Webshell执行系统命令读取网站配置文件接管网站服务器进一步横向渗透内网。修复建议后端使用白名单限制上传后缀上传文件使用随机名称重命名上传目录取消脚本执行权限校验文件真实内容。结尾文件上传漏洞是一套组合测试思路不是死记硬背 Payload。核心思路是先判断校验位置前端 / 后端判断校验对象MIME / 文件名 / 文件内容再针对性选择绕过手段最后验证文件是否能够解析执行。随着 WAF、现代 Web 容器普及简单的后缀绕过在真实业务中越来越少现在 SRC 里更多见到的是组合型漏洞白名单 解析漏洞、条件竞争、文件名重命名缺陷。学习推荐靶场DVWA 文件上传模块、Upload-Labs 全套靶场Upload-Labs 包含各种上传绕过场景非常适合系统练习。掌握文件上传之后再结合文件包含、解析漏洞就可以处理很多 Web 组合漏洞。一次简单越权漏洞复现带你看懂权限控制缺陷前言在 Web 安全漏洞中越权漏洞属于业务逻辑类漏洞没有复杂的内存操作、不需要特殊的 Payload却是各类 SRC、渗透测试、CTF Web 题目里高频出现的一类漏洞。很多新手刚接触 Web 安全时会优先学习 SQL 注入、XSS 跨站脚本、文件上传这类有明显特征的漏洞很容易忽略越权。越权漏洞本质不是语言、框架本身的底层漏洞而是开发者在做业务权限校验时考虑不周没有在服务端做严格的身份与权限校验仅仅依靠前端控制页面展示、依靠客户端传参判断用户身份。很多人觉得越权很难理解其实一句话概括A 用户可以直接访问、查看、修改 B 用户才有权限操作的数据这就是越权。越权分为两大类型水平越权、垂直越权这也是本文重点讲解的核心。本文会搭建简易测试环境完整复现水平越权拆解漏洞原理、漏洞成因、复现步骤、漏洞危害、修复方案同时区分水平越权和垂直越权还会补充实战中挖掘越权的常用思路。适合零基础入门 Web 安全、准备 SRC 漏洞挖掘、学习业务逻辑漏洞的同学阅读。⚠️ 免责声明本文所有内容仅用于本地自建靶场学习、安全授权环境测试文中演示的漏洞环境仅限内网本地搭建。严禁在未授权的网站、业务系统上进行漏洞测试未经授权的渗透测试、越权访问属于违法行为一切违规行为由操作者自行承担法律责任。一、越权漏洞基础概念1.1 什么是越权Web 系统在设计时会给不同用户分配不同权限普通用户只能看自己的数据管理员可以查看全部用户数据。越权就是用户绕过系统权限判断访问超出自己身份允许范围的数据或者功能。越权分为两大类这是面试、SRC 提交漏洞报告里必须分清的水平越权同级别越权同角色、同权限等级的用户互相访问对方的数据。举例用户 Aid1001、用户 Bid1002都是普通会员。A 修改请求参数直接读取 B 的个人订单、个人资料A 和 B 权限级别相同只是数据归属不同这就是水平越权。垂直越权高低权限越权低权限账号直接使用高权限管理员功能。举例普通用户直接访问后台管理员页面、新增用户、删除数据普通用户没有管理员权限直接拿到管理员功能属于垂直越权。简单记忆水平越权 平级之间偷看别人的数据垂直越权 低权限账号拿到管理员功能1.2 越权漏洞产生的根本原因一句话只在前端做权限判断后端没有二次校验用户身份和数据归属关系。很多开发的错误写法前端页面隐藏按钮认为用户看不到就不能操作页面请求使用user_id、order_id这类参数直接从客户端 GET/POST 传入后端拿到参数后直接去数据库查询这条记录没有校验这条记录是不是当前登录用户拥有的数据。前端的所有内容、参数用户都可以通过 Burp Suite 修改。前端隐藏按钮、灰色输入框仅仅是视觉上的限制不能作为安全防护。任何权限校验必须在服务端完成。1.3 越权漏洞的危害越权漏洞看起来没有执行代码、拖库那么震撼但业务危害往往很大水平越权泄露其他用户手机号、收货地址、订单信息、身份证等隐私数据修改他人订单、取消别人业务申请。垂直越权普通用户直接新增、删除账号修改全站配置接管整个后台系统。企业场景越权可批量爬取大量用户隐私数据造成大量信息泄露违反《网络安全法》《个人信息保护法》。漏洞上报越权漏洞在 SRC 平台属于中高危漏洞根据影响范围定级。二、靶场环境准备为了方便复现我们搭建简易 PHPMySQL 靶场模拟一个订单查询系统。环境说明本地搭建使用 PHPStudy / XAMPPMySQL 数据库浏览器 Burp Suite 抓包工具。2.1 数据库表设计创建用户表user_infoidusernamepasswordrole1userA123456user2userB123456user3adminadmin123admin创建订单表order_listorder_idorder_contentowner_userid1001手机订单11002耳机订单2业务逻辑用户登录之后通过传入 order_id 查看订单详情正常逻辑用户 userAid1只能查看 owner_userid1 的订单order_id1001用户 userBid2只能查看 owner_userid2 的订单order_id10022.2 存在漏洞的后端代码存在水平越权缺陷?php session_start(); // 获取前端传过来的订单id $order_id $_GET[order_id]; $conn mysqli_connect(localhost,root,root,test); // 直接根据order_id查询订单没有校验订单归属 $sql select * from order_list where order_id $order_id; $result mysqli_query($conn,$sql); $row mysqli_fetch_assoc($result); echo 订单内容.$row[order_content]; echo 订单所属用户ID.$row[owner_userid]; ?漏洞关键点后端拿到 order_id 之后仅仅查询 order_id 对应的记录没有判断当前登录 session 里的用户 id是否等于订单的 owner_userid。只要修改 order_id 参数任何人都能读取任意订单。正确安全代码逻辑拿到 order_id 之后额外增加条件where order_id$order_id and owner_userid 当前登录用户id双重限制。三、水平越权完整复现步骤步骤 1登录 userA 账号打开系统登录页面输入账号 userA密码 123456登录成功。登录之后服务端 session 记录当前用户 id1。访问订单页面查询自己订单请求 URLhttp://127.0.0.1/order.php?order_id1001页面返回 userA 自己的手机订单正常访问。步骤 2抓包修改参数尝试越权访问 userB 订单打开 Burp Suite开启代理抓包保持 userA 账号处于登录状态Cookie、Session 不变依然是 userA 身份。修改 URL 参数把 order_id 改为 1002http://127.0.0.1/order.php?order_id1002发送请求页面直接返回耳机订单所属用户 ID2。✅ 漏洞复现成功userA 在自己账号登录状态下直接查看 userB 的订单数据。重点全程没有切换账号Session 还是 userA仅仅修改 GET 请求里的 order_id 参数就读取其他用户数据典型水平越权。步骤 3思考拓展POST 型参数越权很多业务不是 GET 传参而是 POST 表单提交原理完全一样。比如修改个人资料接口POST 参数userid1。登录 userA抓包把 POST 参数 userid 改成 2提交请求如果后端直接修改 id2 用户资料就产生水平越权可以修改别人资料。四、垂直越权简单演示思路同样这套系统普通用户角色为 user管理员角色 admin管理员地址/admin/user_list.php功能查看所有账号。如果系统仅仅在前端判断角色后端没有校验角色权限。普通用户登录后直接在浏览器访问/admin/user_list.php成功进入管理员页面查看全部账号就是垂直越权。垂直越权常见场景后台管理页面、用户新增接口、数据删除接口。五、实战挖掘越权的常用思路渗透测试实战技巧学会复现之后我们来看真实 SRC 挖漏洞时怎么寻找越权寻找可控 ID 类参数URL、POST 请求里面常见参数userid、id、uid、order_id、goods_id、article_id、card_id、record_id这类数字 ID 是越权最高发位置。拿到 A 用户的 ID替换成 B 用户 ID 尝试访问。准备两个测试账号挖掘水平越权必备注册两个普通账号 A、B。先用 A 操作产生一条业务数据拿到数据 ID保持 A 登录修改 ID 为 B 的数据 ID看是否能读取 / 修改。观察 Cookie 与 Session权限是依托 Session/Cookie 识别身份。只要 Cookie 不变代表当前用户身份不变只修改请求参数测试越权。增删改查接口全部测试不仅仅是查询接口读数据修改、删除、提交类接口越权危害更大查询越权 → 信息泄露修改 / 删除越权 → 篡改他人业务数据。测试垂直越权注册低权限普通账号直接尝试访问后台管理地址、管理员接口抓包查看管理员接口请求用普通账号 Cookie 重放请求。注意 Cookie 中存放用户 ID 的情况部分系统直接把 uid 写在 Cookie 里面修改 Cookie 内 uid 值重放请求也可能触发越权。越权测试常见误区❌ 误区 1页面看不到按钮代表没有漏洞页面按钮是前端渲染Burp 可以直接构造请求调用接口。❌ 误区 2需要登录就不存在越权越权前提就是登录登录之后访问不属于自己的数据。❌ 误区 3参数是 POST 就不会越权GET 和 POST 只是传参方式权限校验缺陷和提交方式无关。六、越权漏洞的修复方案开发必看漏洞报告必备越权的核心修复思路一句话所有接口在服务端校验两层权限角色权限 数据归属权限。水平越权修复每次查询、修改、删除数据接口时在 SQL 语句增加当前登录用户 ID 的限制条件。示例安全 SQLselect * from order_list where order_id ? and owner_userid 当前登录用户ID无论前端传入什么 order_id数据库只会查询属于当前登录用户的数据。不要信任前端传入的 userid、ownerid用户身份必须从 Session、Token 里面获取不能由客户端提交。垂直越权修复接口访问前在服务端校验当前用户角色。访问管理员接口先读取 Session 里用户角色如果角色不是 admin直接拒绝访问返回 403 无权限不能只前端隐藏入口。通用安全加固建议用户身份信息用户 ID、角色保存在服务端 Session 或者 JWT Token不能由前端可控参数传入禁止直接使用前端传递的 ID 作为唯一查询条件必须校验数据归属统一权限中间件所有接口统一做权限拦截不要每个接口手写权限容易漏写权限校验放在后端前端仅做页面展示优化前端不承担安全控制上线前业务逻辑测试使用多账号交叉测试覆盖增删改查所有接口日志记录敏感操作当出现越权访问行为能够告警溯源。七、越权和其他漏洞对比容易混淆的知识点越权 vs 未授权访问未授权访问不需要登录直接访问页面接口越权需要登录登录之后访问超出权限的数据。两者容易混淆漏洞报告描述要区分清楚。越权 vs SQL 注入SQL 注入是控制 SQL 语句执行越权是业务逻辑缺陷没有注入语句SQL 语句本身没有问题缺少业务权限判断。八、实战漏洞报告简单模板SRC 提交参考漏洞类型水平越权漏洞漏洞描述系统订单查询接口后端未校验订单数据归属普通用户可修改 order_id 参数读取其他用户订单信息造成用户隐私泄露。复现步骤使用账号 userA 登录系统Burp 抓包访问订单接口修改 order_id 参数为其他用户订单 ID服务端返回其他用户订单详情漏洞危害攻击者可遍历 order_id 批量获取大量用户订单、个人隐私信息修复建议后端增加校验查询订单时校验订单 ownerid 与当前登录用户 ID 一致。结尾越权漏洞属于业务逻辑漏洞没有复杂 Payload但是在真实渗透、SRC 挖掘中出现频率极高。很多开发很容易忽略 “数据归属校验” 这个点只做登录校验却不校验这条数据是不是当前用户的。记住核心判断逻辑登录成功不等于有权操作这条数据必须校验数据归属关系。水平越权看同账号之间的数据隔离垂直越权看高低角色功能隔离。新手学习 Web 安全一定要重视业务逻辑漏洞。很多时候防火墙、WAF 可以拦截注入、XSS但是很难拦截越权因为越权请求都是正常业务请求只是访问了不属于自己的数据。读完本文大家可以在 DVWA、WebGoat 靶场找到越权模块练习自己搭建多账号环境亲手抓包修改参数复现加深理解。如果对你有帮助欢迎点赞、收藏后续会持续更新 Web 安全漏洞复现系列文章。如何系统学习网络安全网络安全作为数字时代的核心技术基石已成为保障各行业安全稳定运行的坚实屏障。筑牢网络安全的防线掌握先进的防护策略和技能正上升为国家与企业发展的战略优先级。构建稳固的网络安全能力是一个体系的工程需要从夯实基础理论出发持续深化到攻防对抗与应急响应的实战层面。如果你是准备学习网络安全黑客或者正在学习我可以把我自用的360独家内部资料分享给你包含以下内容你应该能用得上①网络安全学习路线②20份渗透测试电子书③安全攻防357页笔记④50份安全攻防面试指南⑤安全红队渗透工具包⑥网络安全必备书籍⑦100个漏洞实战案例⑧安全大厂内部视频资源⑨历年CTF夺旗赛题解析一、网络安全黑客学习路线网络安全黑客学习路线形成网络安全领域所有的知识点汇总它的用处就在于你可以按照上面的知识点去找对应的学习资源保证自己学得较为全面。二、网络安全教程视频我们在看视频学习的时候不能光动眼动脑不动手比较科学的学习方法是在理解之后运用它们这时候练手项目就很适合了。三、网络安全CTF实战案例光学理论是没用的要学会跟着一起敲要动手实操才能将自己的所学运用到实际当中去这里带来的是CTFSRC资料HW资料毕竟实战是检验真理的唯一标准嘛~四、网络安全面试题最后我们所有的作为都是为就业服务的所以关键的临门一脚就是咱们的面试题内容所以面试题板块是咱们不可或缺的部分这里我给大家准备的就是我在面试期间准备的资料。网安其实不难难的是坚持和相信自己我的经验是既然已经选定网安你就要相信它相信它能成为你日后进阶的高效渠道这样自己才会更有信念去学习才能在碰到困难的时候坚持下去。机会属于有准备的人这是一个实力的时代。人和人之间的差距不在于智商而在于如何利用业余时间只要你想学习什么时候开始都不晚不要担心这担心那你只需努力剩下的交给时间这份完整版的网络安全学习资料已经上传CSDN朋友们如果需要可以微信扫描下方CSDN官方认证二维码免费领取【保证100%免费】