Shiro--越权控制

傷城~ 2023-02-14 03:20 18阅读 0赞

首发网址：[Shiro--越权控制\_IT利刃出鞘的博客-CSDN博客\_shiro 越权][Shiro--_IT_-CSDN_shiro]

# 其他网址 #

[访问控制--越权\_weixin\_30379973的博客-CSDN博客][--_weixin_30379973_-CSDN]

# **访问控制的含义** #

在互联网安全领域，尤其是web安全领域中，“权限控制”的问题可以归结为“访问控制”。

访问控制广泛应用于各个系统中。抽象地说，都是某个主体对某个客体需要实施某种操作，而系统对这种操作的限制就是权限控制。

在一个安全系统中，确定主体的身份是“认证”解决的问题；而客体是一种资源，是主体发起的请求的对象。在主体对客体进行操作的过程中，系统控制主体不能“无限制”的对客体进行操作，这个过程就是“访问控制”。

# **访问控制的分类** #

在web应用中，根据访问客体的不同，常见的访问控制可以分为“基于URL的访问控制”、“基于方法的访问控制”、“基于数据的访问控制”。

当访问控制存在缺陷时，会如何呢？

## **一、未授权访问** ##

在正常情况下，这些页面是不会被链接到前台页面上来的，但是把需要保护的页面“藏”起来，并不是解决问题的办法。

攻击者会使用一部包含很多后台路径的字典把这些“藏”起来的页面扫出来。

**预防措施：**只需要加上简单的“基于页面的访问控制”就可以解决此问题。

## **二、垂直权限管理** ##

访问控制实际上是建立用户与权限之间的对应关系，现在应用广泛的是一种“基于角色的访问控制”，简称RBAC。

RBAC事先会在系统中定义出不同的角色，不同的角色拥有不同的权限。一个角色实际上就是一个权限的集合。

系统所有用户都会被分配到不同的角色中，一个用户可能拥有多个角色，角色之间有高低之分。

在系统验证权限时，只需要验证用户所属角色，然后就可以根据该角色所拥有的权限进行授权了。

两个框架：Java框架Spring Security、PHP框架Zend Framework

**预防措施：**

> 1、不同角色的权限有高低之分。高权限角色访问低权限角色的资源往往是被允许的，而低权限角色访问高权限角色的资源往往则被禁止。
> 
> 如果一个低权限角色的用户通过一些方法能够获得高权限角色的能力，则发生了“越权访问”
> 
> 2、在配置权限时，应当使用“最小权限原则”，并使用“默认拒绝”的策略，只对有需要的主体单独配置“允许”的策略。

## **三、水平权限管理** ##

用户A和用户B都属于同一个角色，但是用户A和用户B都各自拥有一些私有数据，在正常情况下，应该只有用户自己才能访问自己的私有数据。

在RBAC基于角色访问控制的模型下，系统只会验证用户A和用户B同属于一种角色，而不会判断用户A是否能访问只属于用户B的私有数据。

因此，发生了“越权访问”。称之为“水平权限管理问题”。

相对于垂直权限管理来说，水平权限问题出在同一角色上，系统只验证了能访问数据的角色，既没有对角色内的用户做细分，也没有对数据的子集做细分。因此缺乏一个用户到数据之间的对应关系。因此水平权限管理又可以称为“基于数据的访问控制”。

今天的互联网中，垂直权限的问题已经得到普遍的重视，并已有很多成熟的解决方案。但水平权限的问题还未得到重视。

首先，对于一个大型复杂系统来说，难以通过扫描等自动化测试方法将问题全部找出来。

其次，对于数据的访问控制，与业务结合十分紧密。有的业务有数据访问控制的需要，有的业务没有。

最后，如果在系统上线后再来处理数据级访问控制的问题，可能会涉及到跨表，跨库查询，对系统的改动较大，同时也可能会影响到性能。

**预防措施：**

> 1、一个简单的数据级访问控制，可以考虑使用“用户组”的概念。比如一个用户组的数据只属于该组内的成员，只有同一用户组内的成员才能实现对这些数据的操作。
> 
> 2、可以考虑实现一个规则引擎。将访问控制的规则写在配置文件中，通过规则引擎对数据访问进行控制。

eg：某东商家中心某处可越权取消全量商家的优惠券和越权为任意门店创建优惠券

[Shiro--_IT_-CSDN_shiro]: https://knife.blog.csdn.net/article/details/106463588
[--_weixin_30379973_-CSDN]: https://blog.csdn.net/weixin_30379973/article/details/94896683

发表评论取消回复

表情：

评论列表（有 0 条评论，18人围观）

还没有评论，来说两句吧...

相关阅读

相关 Shiro权限控制(六):Shiro按钮权限控制

一、前言前段时间一直在研究如何通过标签方式控制控制的权限，我用HTML做页面的渲染，Shiro标签在HTML中不生效，但还是想用Shiro标签方式控制页面的按钮，有权限则

曾经终败给现在/ 2023年06月04日 09:54/ 0 赞/ 246 阅读

相关 Shiro--越权控制

首发网址：[Shiro--越权控制\_IT利刃出鞘的博客-CSDN博客\_shiro 越权][Shiro--_IT_-CSDN_shiro] 其他网址 [访问控制--越

傷城~/ 2023年02月14日 03:20/ 0 赞/ 19 阅读

相关 shiro实战：接口权限控制，shiro解决数据平行越权安全漏洞

文章目录背景解决方案 JAVA后台变更：前端变更：源码地址：背景昨天被网安大队扫描安全漏铜，提到有个致命的

我不是女神ヾ/ 2022年12月01日 03:46/ 0 赞/ 491 阅读

相关横向越权和纵向越权

横向越权：横向越权指的是攻击者尝试访问与他拥有相同权限的用户的资源纵向越权：纵向越权指的是一个低级别攻击者尝试访问高级别用户的资源如何防止横向越权漏洞： 1.

╰+哭是因爲堅強的太久メ/ 2022年06月06日 10:58/ 0 赞/ 199 阅读

相关权限控制框架 - shiro

一。 shiro简介 Apache Shiro（发音为“shee-roh”，日语“堡垒（Castle）”的意思）是一个强大易用的Java安全框架，提供了认证、授权、加密和会话

深藏阁楼爱情的钟/ 2022年06月03日 07:06/ 0 赞/ 330 阅读

相关 Shiro权限控制（一）

Shiro是Apache下的一个开源的项目，我们称之为Apache Shiro ，他是一个很易用于java项目的安全框架，提供了认证。授权、加密、会话管理，于Spring

古城微笑少年丶/ 2022年05月18日 07:19/ 0 赞/ 299 阅读

相关浅谈横向越权与纵向越权

Java web中的越权问题越权分为横向越权和纵向越权横向越权指两个具有相同权限的用户A和用户B，他们属于同一角色，拥有相同的权限等级，他们都能获取自己的私有数据，如果

古城微笑少年丶/ 2022年03月16日 00:35/ 0 赞/ 578 阅读

相关 Shiro权限控制+整合shiro

Shiro权限控制 0.1传统的权限认证方式 ![1538968548578][] 特点：为每个人单独的分配权限模块，能够实现权限控制，但是当公司人员庞大之后，非

柔情只为你懂/ 2022年03月15日 11:20/ 0 赞/ 398 阅读

相关 Shiro权限控制(一):Spring整合Shiro

一、目标： 1.介绍如何在SpringMVC中整合Shiro权限框架 2.介绍如何使用Shrio进行身份验证，如常见的登录 3.介绍如何控制哪些服务登录后才能访问，

墨蓝/ 2022年02月26日 15:00/ 0 赞/ 468 阅读

相关越权漏洞——管理账户越权

![在这里插入图片描述][watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ub

淩亂°似流年/ 2021年07月25日 14:15/ 0 赞/ 451 阅读