OWASP top 10 （2017） 学习笔记--失效的访问控制

A5:2017 失效的访问控制

漏洞描述：

未对通过身份验证的用户实施恰当的访问控制，攻击者可以利用这些缺陷访问未经授权的功能或数据。

漏洞影响：

技术影响是攻击者可以冒充用户、管理员或拥有特权的用户，或者创建、访问、更新或删除任何记录。业务影响取决于应用程序和数据的保护需求。

检测场景：

越权：

　　横向越权、纵向越权

文件操作：

　　文件上传、文件包含、任意文件下载、任意文件删除

预防思路：

1、加强引用参数的封装、加密

2、利用安全标签，采用强访问控制模型（MAC）