OWASP WebGoat---安全测试学习笔记（二）---访问控制缺陷

访问控制缺陷（Access Control Flaws)

按：访问控制模型 

第一部分：访问控制模型的使用

        在基于角色的访问控制方案中，角色代表了一组访问权限和特权。一个用户可以被分配一个或多个角色。一个基于角色的访问控制方案通常有两个部分组成：

角色权限管理 和 角色分配。一个错误的基于角色的访问控制方案可能允许用户执行未分配角色的权限项（平行权限漏洞），或允许特权升级到未授权的角色。

        平行权限越权漏洞：用户 A 可以利用来访问用户 B 的敏感资源的漏洞。

        垂直权限越权漏洞：低权限的用户可以利用来访问高权限的用户的漏洞。