《網(wǎng)絡(luò)空間安全實(shí)驗(yàn)教程》課件第3章

機(jī)械工業(yè)出版社《網(wǎng)絡(luò)空間安全實(shí)驗(yàn)教程》第3章

認(rèn)證與授權(quán)攻擊實(shí)訓(xùn)要點(diǎn)認(rèn)證授權(quán)1認(rèn)證與授權(quán)認(rèn)證（Authentication）：是指驗(yàn)證你是誰,一般需要用到用戶名和密碼進(jìn)行身份驗(yàn)證。授權(quán)（Authorization）：是指你可以做什么,而且這個發(fā)生在驗(yàn)證通過后，能夠做什么操作。比如對一些文檔的訪問權(quán)限、更改權(quán)限、刪除權(quán)限，需要授權(quán)。1常見授權(quán)類型自主訪問控制DAC(DiscretionaryAccessControl)基于角色的訪問控制RBAC(Role-BasedAccessControl)基于規(guī)則的訪問控制Rule-Based(Rule-BasedAccessControl)數(shù)字版權(quán)管理DRM(DigitalRightsManagement)基于時間的授權(quán)TBA(TimeBasedAuthorization)實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份缺陷標(biāo)題：網(wǎng)站/在地址欄加admin可

進(jìn)入管理員頁面測試平臺與瀏覽器：Windows10+IE11或Chrome45.0瀏覽器測試步驟：打開網(wǎng)站:/。在地址欄后追加admin，回車。期望結(jié)果：瀏覽器提示無法找到網(wǎng)頁，或者出現(xiàn)管理員登錄頁面。

實(shí)際結(jié)果：跳轉(zhuǎn)到管理員頁面，點(diǎn)擊Users鏈接能看到系統(tǒng)中所有用戶名與密碼實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份實(shí)驗(yàn)Zero網(wǎng)站能獲得管理員身份實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)缺陷標(biāo)題：CTFPostBook網(wǎng)站>用戶A登錄后，可以修改其他用戶的數(shù)據(jù)測試平臺與瀏覽器：Windows10+IE11或Chrome瀏覽器測試步驟：打開國外安全奪旗比賽網(wǎng)站主頁:/ctf，如果已有賬戶直接登錄，沒有賬戶請注冊一個賬戶并登錄。登錄成功后，請進(jìn)入到Postbook網(wǎng)站項(xiàng)目/ctf/launch/7。點(diǎn)擊signup鏈接注冊兩個賬戶，比如：admin/admin,abcd/bacd。用admin/admin登錄，然后創(chuàng)建2個帖子，再用abcd/abcd登錄創(chuàng)建2個帖子。觀察abcd用戶修改帖子的鏈接：XXX/index.php?page=edit.php&id=5。篡改上一步URL中的id為1，2等，以abcd身份修改admin或其他用戶的帖子。期望結(jié)果：因身份權(quán)限不對，拒絕訪問。實(shí)際結(jié)果：用戶abcd能不經(jīng)其他用戶許可，任意修改其他用戶的數(shù)據(jù)，成功捕獲Flag。實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)實(shí)驗(yàn)CTFPostbook用戶A能修改用戶B數(shù)據(jù)實(shí)驗(yàn)CTFPostbook用戶A能用他人身份創(chuàng)建數(shù)據(jù)缺陷標(biāo)題：CTFPostBook網(wǎng)站>用戶A登錄后，可以用他人身份創(chuàng)建數(shù)據(jù)測試平臺與瀏覽器：Windows10+IE11或Chrome瀏覽器測試步驟：打開國外安全奪旗比賽網(wǎng)站主頁:/ctf，如果已有賬戶直接登錄，沒有賬戶請注冊一個賬戶并登錄。登錄成功后，請進(jìn)入到Postbook網(wǎng)站項(xiàng)目/ctf/launch/7。點(diǎn)擊signup鏈接注冊兩個賬戶，比如：admin/admin,abcd/bacd，如果已有賬戶請忽略此步。用abcd/abcd登錄，點(diǎn)擊鏈接：”WriteanewPost”,在這個頁面右擊鼠標(biāo)，選擇“檢查(Inspect)”。觀察右端源代碼，發(fā)現(xiàn)Title(title)字段是必填項(xiàng)required，Post(body)字段也是必填項(xiàng)required，當(dāng)前的帖子是登錄用戶user_id為3。篡改上一步中的源代碼，將Title后面的required刪除，將Post后的required刪除，將user_id改為1。期望結(jié)果：因必填字段未填，并且因身份權(quán)限不對，拒絕訪問。實(shí)際結(jié)果：用戶abcd能繞過客戶端必填字段檢查，同時以系統(tǒng)第一個