TangGo测试平台 | 身份切换轻松搞定越权测试

在涉及多用户体系的相关功能的测试中（比如多用户交互的业务流程测试、垂直越权漏洞测试），经常需要频繁切换多个不同的账号，需要频繁地输入账号密码和验证码进行登陆、修改账号Cookie测试越权。这样的测试过程非常繁琐，大大降低了测试的效率。

上个版本我们上线了“身份切换模块”，点这里看教程（身份切换测试模块）。最近我们对其进行了更新：

● 在历史记录模块，重放数据包时可直接切换身份；

● 增加会话身份的展示，指示当前数据包使用的身份会话具体来源。

具体应用请看下面的实操。

本文中主要讲述如何在“历史记录”中使用身份切换来测试靶场是否存在越权漏洞，测试流程如下：

步骤 1 和 2 的配置过程不做详细描述，详细描述可以参考上一篇文章“身份切换测试模块使用”。

获取不同权限的用户

此处已经注册两个权限不同的用户，普通用户“pikachu”和管理员用户“admin”。普通用户只有拥有查看用户列表的权限，管理员用户可以对用户进行添加和删除。

登录并记录身份信息

通过配置已经记录登录身份信息，并且对用户进行了保活设置。

不同权限的身份访问页面

在 HTTP抓包测试工具，在身份切换中选择使用普通用户“pikachu”，打开右上角内置浏览器：

在内置浏览器中直接访问普通用户的后台，在“历史记录”中可以查看到访问的用户会话身份为“pikachu”，页面为普通用户登录页面：

在内置浏览器中直接访问管理员用户的后台，在“历史记录”中可以查看到访问的用户会话身份为“admin”，页面为管理员用户登录页面：

根据页面显示可以分析出，管理员用户的权限高于普通用户，接下来先使用管理员身份创建用户，之后再历史记录中直接使用普通用户的身份创建用户，查看是否存在越权漏洞。

当前身份会话属于“admin”账号权限，该账号拥有对普通用户的“添加、删除”功能，点击添加用户，会跳转到一个新页面，在该页面中填入需要添加用户的必要信息：

点击创建按钮后，回到管理员后台界面查看是否成功：

成功创建新建用户“test”，回到 HTTP抓包测试工具中查看“历史记录”，其中最上面的两条记录分别对应的是管理员页面和创建用户页面，大多数数据包的判断的方法为：根据命名规则、查看数据包具体信息以及在浏览器中访问页面时候 url 的地址。

查看请求路径为“/pikachu/vul/overpermission/op2/op2_admin_edit.php”的数据包，内容如下：

接下来分别使用去除 cookies 重放和切换身份重放测试是否存在越权漏洞：

测试去除 cookies 重放是否存在越权：

使用“去除 cookies ”直接重放，查看是否能不用 cookies 直接创建用户，操作流程为：

找到该数据包，单击右键 -->“重放该请求数据”-->“去除 cookies 重放”。如下图：

历史记录中，最上面会有一条成功的记录，该记录的会话身份为空：

点击该数据包查看原始请求数据和修改后的请求数据，对比后发现原始请求数据中含有 “Cookie”，但是修改后的请求数据并没有“Cookie”，使用“去除 cookies ”重放数据包成功：

回到浏览器中，刷新当前页面，发现成功创建了新用户“test”。

至此成功测试出不需要使用管理员的 cookies 也能成功创建用户，说明存在越权漏洞。

测试切换身份重放是否存在越权：

使用普通用户“pikachu”身份重放此数据包，查看是否能用低权限用户创建用户，操作流程为：

找到该数据包，单击右键-->“以指定身份重放数据包”-->“pikachu”。如下图：

历史记录中，最上面会有一条成功的记录，该记录的会话身份是“pikachu”：

回到浏览器中，刷新当前页面，发现成功创建了新用户“test”。

至此成功测试出使用低权限用户的 cookies 也能成功创建用户，说明存在越权漏洞。