第四章 越权漏洞分类与危害：水平越权、垂直越权、未授权访问、实际案例损失分析

4.1 本章概述

越权漏洞是动态权限审计的核心检测对象。本章系统定义三种典型越权类型的结构、攻击模式与危害等级，并结合实际案例量化经济损失与数据泄露风险，为后续检测规则设计与修复策略提供客观依据。

4.2 适用场景

• Web 应用、API、微服务架构的权限边界评审阶段
• IAM（身份与访问管理）体系风险评估
• 安全审计团队编写越权检测用例前
• 开发团队进行权限模型重构或接口改造时

4.3 前置条件

• 已完成系统角色划分与权限矩阵初稿
• 具备可访问的测试环境或审计日志源
• 审计人员了解 HTTP 请求/响应、JWT/Session 基本机制
• 已收集至少 3 个典型业务场景（如订单查看、用户资料编辑、管理员操作）

4.4 越权分类与危害对照表

4.5 操作步骤（分类检测验证流程）

1. 识别资源标识：找出 URL、请求体、Header 中的用户/订单/文件 ID 字段。
2. 构造边界请求：使用另一用户的合法 替换目标 ID，发送等价请求。
3. 重复检测水平越权：若返回非授权数据，则确认水平越权。
4. 角色降级测试：将高权限接口的请求 Cookie/ 替换为低权限用户凭证，若操作成功则为垂直越权。
5. 无凭证测试：直接访问目标接口，去掉所有认证 Header，观察响应状态码与内容。
6. 记录详细请求和响应：保存完整的 HTTP 交互用于证据固定。

# 水平越权测试：替换目标用户ID
curl -X GET "https://api.example.com/order/1001" \
  -H "Authorization: Bearer {userA_}"  # 预期仅能访问自己的订单

# 修改ID为他人订单
curl -X GET "https://api.example.com/order/1002" \
  -H "Authorization: Bearer {userA_}"  # 若返回200且包含1002数据 --> 水平越权

4.6 核心结构：越权攻击关系图

4.7 输入输出物

4.8 责任边界

• 安全审计团队：负责确认漏洞分类、危害评级，输出可复现的攻击请求。
• 开发团队：负责修复资源访问控制逻辑、添加权限校验中间件。
• 运维团队：负责配置 WAF 规则、限制敏感 API 的外网暴露。
• 合规/法务团队：评估数据泄露涉及的法律风险（GDPR、等保）。

4.9 记录材料

每次越权检测必须留存以下材料：

• 证据包：包含原始请求的 cURL 命令或 Burp Suite 导出文件
• 截图/日志：显示成功绕过认证的响应内容
• 影响范围：涉及的数据库表、用户数、敏感字段
• 漏洞复现步骤清单（至少包含以下要素）

GET /api/v2/user/profile/{userId}

userId: 1003 → 1004

4.10 异常处理

4.11 验收标准

• 分类覆盖率：水平越权、垂直越权、未授权访问三类均被测过。
• 危害量化：每个发现的漏洞已使用 CVSS 3.1 计算基本分并记录。
• 证据完整：每个漏洞的请求/响应报文、时间戳、登录凭证均存档。
• 修复验证闭环：修复后至少通过 3 次以上不同角度的绕过测试确认不再可越权。
• 文档可追溯：输出物中的漏洞编号与 Jira/禅道中的工单一一对应。