OWASP方法论-授权篇

:::info 💡 根据 遗忘曲线：如果没有记录和回顾，6天后便会忘记75%的内容
笔记正是帮助你记录和回顾的工具，不必拘泥于形式，其核心是：记录、翻看、思考 :::

思维导图

用思维导图，结构化记录本书的核心观点。

授权

目录遍历/文件包含

为什么和目录遍历和文件包含放一起了，因为从本质上来说，这两个其实差不多，都是对文件资源的访问，都是由于对目录的访问控制不当引起的，当然修复也都是一样。

一般在载入文件处测试，有些图片是从互联网链接的，比如src=，img=，home=，file= 目录遍历就是扫描二级目录，或者回退，比如a/b/c/d，一层层回退a/b/c，a/b看看。 或者如果限制了.和/，可以编码试试，url编码，双重url编码，UTF-8编码。 工具：dirsearch

授权绕过

还是未授权和越权的问题。

测试未认证能不能访问一些需要认证的页面。 测试拿普通用户的cookie去访问管理员的页面。

不安全的对象直接引用

这个可以换个名字叫做参数遍历，就是当程序是通过一个参数id来提供资源给用户，那么用户可以去遍历这个参数，看能不能得到其他内容，或其他用户的信息。

查看个人的信息，看能不能看到别人的信息。 可以结合文件包含文件读取来测试。 看到参数是数字，就改数字，看到字母就乱输。