【网络安全 | 漏洞挖掘】绕过管理员权限撤销的访问控制漏洞

未经许可，不得转载。

前言

该应用程序是一个允许用户创建组织、跟踪其网站并提供多种功能的应用。此外，管理员可以邀请其他用户并为其分配自定义权限。

我不清楚该应用的具体技术栈和开发语言，但我知道它的权限配置可能非常复杂，因为这个漏洞本身就十分奇特。

正文

在研究权限管理的过程中，我尝试像其他安全研究员一样寻找访问控制漏洞。我定期测试不同的权限设置，并尝试以低权限角色访问管理员端的 API 端点。然而，经过测试，我发现大部分尝试都被正确地拦截了，直到我发现了一个奇怪的现象。

当管理员撤销攻击者的某项权限（例如查看组织用户的权限）时，我作为攻击者尝试调用该 API 端点，结果发现请求的响应时间比平常长了许多。

具体来说：

• 在管理员撤销权限之前，API 请求的响应时间大约是 300ms。
• 在管理员撤销权限之后，第一次请求的响应时间超过 1000ms，但之后又恢复到 300ms。

我对此感到疑惑，因为通常权限变更后，系统应当立即生效并拒绝访问。然而，这个延迟让我怀疑后端可能在做某些额外的处理。

于是，我决定进一步