介绍 BrokenAuthorization（也称为破坏访问控制或特权升级）是由于用于指定用户访问特权的授权检查的无效而产生的一系列缺陷的简称。 根据用户指定的角色和相应的特权，在经过设计和实现的授权框架中允许或拒绝不同的用户访问各种内容和功能。例如，在web应用程序中，授权主要用于身份验证和会话管理。然而，跨动态系统设计授权就比较复杂了，并且可能会随着应用程序的发展而导致各系统的机制不一致：身份验证库和协议发生变化、用户角色发生变化、新用户的注册、老用户注销，用户权限删除等等。访问控制设计不仅仅是由技术决定的，而是由人决定的，因此发生错误的可能性很高，而且一直存在。 这种性质的漏洞可能会影响很多现有的web应用程序、数据库、操作系统和其他依赖于授权控制的技术基础设施中的各类软件。 影响及危害 攻击成功后黑客可能能够访问未经授权的内容，更改或删除内容，执行恶意代码，甚至完全控制管理站点。一旦遭受到这种程度的入侵，攻击的损失往往取决于被冒充的受害者账号赋予的特权范围有多大。 之前有一家名为CloudPets的玩具制造公司，他们发生的信息泄露事件就是由于上述人的为错误造成的。在这案例中，没有对授权进行控制导致了儿童语音信息的泄露，而且随后发生还发生勒索时间，这些语音信息是通过云记录的，并直接被存储在云中。 场景 从用户的角度来看，有两大类授权控件需要考虑：横向授权控件垂直授权控件 横向授权控件绕过 横向授权控制绕过描述了无特权用户访问拥有同等权限的其他用户帐户的行为。 例如，想象一个应用程序在方法调用下游中接受未经验证的数据以检索帐户信息。攻击者可以很容易地修改HTTPRequest中的accountId参数，用一个甚至多个其他用户的帐户检索数据。 应用程序在方法调用下游中使用未经验证的数据来检索帐户信息：http：vulnerablexxx。comuseraccount？accountId7800001http：vulnerablexxx。comuseraccount？accountId7800002etc。 另外一个场景是不安全的直接对象引用（IDOR），指的是使用用户提供的输入直接访问对象。 垂直授权控件绕过 垂直授权控制绕过描述用户提权访问不被允许的数据或应用。也就是说，具有特定级别特权的用户越权访问了需要拥有更高级别访问权限（如管理级别访问权限）才能访问的数据或应用。 在本例中，攻击者作为一个普通用户却浏览到一个管理URL，在这里需要管理员权限才能访问管理页面。http：vulnerablexxx。comuseraccounthttp：vulnerablexxx。comadminpanel 如果应用程序不检查会话用户的角色是否与访问资源所需的角色匹配，那么没有管理特权的用户将能够通过知道猜测目标URL并浏览到它来访问页面。 如何防护 开发人员可以采取许多基本步骤来防止破坏授权控制攻击，首先对应用程序的访问控制需求进行评估，然后根据评估结果制定适当的安全策略。这应该包括一个访问控制矩阵，明确哪些类型的用户可以访问系统，以及这些用户可以或不可以做什么。使用基于角色的访问控制（RBAC）在适当的边界上强制执行。 对于web应用程序，确保在服务器端每个页面和API端点上正确执行访问控制机制。用户不应该通过请求直接访问页面或对象来访问任何未经授权的功能或信息。 代码示例（JAVA） 例如，应用程序在方法调用下游中使用未经验证的数据来检索帐户信息，导致了水平授权绕过：http：vulnerablexxx。comuseraccount？accountId7865000321http：vulnerablexxx。comuseraccount？accountId7865000321 攻击者可以修改HTTP请求中的accountId参数，伪装成任何用户的帐户，发起检索信息请求。 防护措施 Spring SpringSecurity在web和method级别都支持授权语义。可以限制哪些角色能够执行特定的方法，这是实施垂直授权控制的好方法：ConfigurationEnableWebSecuritypublicclassSecurityConfigextendsWebSecurityConfigurerAdapter｛Overrideprotectedvoidconfigure（HttpSecuritysecurity）throwsException｛http。authorizeRequests（）。antMatchers（admin）。hasRole（ROLEADMIN）；｝。。。｝ 通过使用注释，安全表达式也可以用于在method级别保护业务功能。PreAuthorize和PostAuthorize注解支持Spring表达式语言（SpEL），并提供基于表达式的访问控制：ServicepublicclassAdminService｛PreAuthorize（hasRole（ROLEADMIN））publicListOrganizationfindAllOrganizations（）｛。。。｝。。。｝
2024年前，机关事业单位退休中人养老金将迎来重算补发，补发多少点击上方蓝色按钮，即可收听全文。2024年前，机关事业单位退休中人养老金将迎来重算补发，补发多少按照国发20152号文和人社部发201528号文件规定，2014年10月1日起，机关火上浇油！勇士欲讨论追梦归队，其母又现神助攻，被网友怒喷退网10月12日消息，NBA季前赛还在继续，勇士队今天迎来了对手开拓者，不过球队今天主力全部轮休了。在今天的赛前采访环节，勇士队主教练科尔再次谈到了追梦，当被问到追梦何时回归的时候，科工人从天桥掉下悬空，下一幕网友怒赞男子高空作业掉落悬空危急时刻一辆公交车出现将他稳稳接住近日公交车变成救生垫的一幕火了时间回到10月8日上午江苏淮安公交二分公司33路驾驶员高娟在驾驶公交车途中发现一男子被悬挂在半空人民日报让实体店人气旺起来怎么旺起来？特朗普已给出了答案在今年2月份人民日报发文让实体店人气重新旺起来，为实体店的转型吹响进攻的号角，很多人都对实体店的未来又充满了愿景。这篇文章也道出了当今实体店面临的困境，经过十几年的电商发展，原来属讲述沧海桑田的故事来源人民网人民日报海外版站在红崖台地的边缘，可以凌空远眺人烟稀少又辽阔的草原大地，其与形态各异的红色侵蚀地貌一起，共同形成了令人震撼的自然景观。现在这里已经设立了保护区，禁止破坏剖刘晓庆和妹妹家中聚会，同穿红色韵味大不同一个美艳一个温婉头条创作挑战赛红色明艳张扬喜庆，它不挑肤色，皮肤黑黄的人穿上能提亮气色，而白皮穿上会显得皮肤更加白皙，年轻人穿上显得活力俏皮，中老年人选择红色也显得气质端庄又大气，但红色运用不当的专访大考导演沈严希望让观众看到故事背后的意义9月末，浙江卫视重磅推出新时代剧献特别剧季迎接党的二十大胜利召开。作为领头推出的电视剧大考目前已于9月21日播出。大考由真实事件改编，讲述了接踵而来的困境中，金和县全县人民团结一致从14岁辍学搬砖到成为江苏首富的传奇故事一个处于社会最底层没学历没文凭的人能不能咸鱼翻身，甚至逆袭成为亿万富豪？答案是肯定的。而且他的成功靠的不是中大奖傍富豪巧取豪夺鸡鸣狗盗的手段，而是靠白手起家靠头脑灵活，踏实勤奋敢于今日资讯疯！俄乌冲突骤然升级人民币贬值美国经济衰退预期俄罗斯乌克兰局势恶化，美欧表态日前，俄罗斯总统普京证实，该国国防部使用陆基空基和海基导弹，对乌克兰的能源军事和通讯设施进行了远程打击。随后美国对此表示强烈谴责，并和七国集团领导人举写好剧本直接出片！Google发布首个讲故事的视频生成模型编辑LRS新智元导读刚做完画家，普通人又能当导演了？基于文本的图像生成模型效果惊艳，可以说是时下讨论最火热的AI研究领域了，内行外行都能看个热闹。那要是让照片动起来，效果是不是更赛你就是孩子的最好的玩具父母如何与四到七岁的孩子保持亲密儿童训练中心我们唯有甘心忍耐，才有可能从刻意逃避转为欣然面对。NaomiAldort大家周三好。经常有家长听了读书会的分享后留言，说易妈介绍的方法很好，但真的不容易做到。是的，没有