接口未授权访问/调用测试

接口未授权访问/调用测试

在正常的业务中，敏感功能的接口需要对访问者的身份进行验证，验证后才允许调用 接口进行操作。如果敏感功能接口没有身份校验，那么攻击者无须登录或者验证即可调用 接口进行操作。在安全测试中，我们可以使用Burp Suite作为HTTP代理，在登录状态下记 录所有请求和响应信息，筛选出敏感功能、返回敏感数据的请求。在未登录的情况下，使 用浏览器访问对应敏感功能的请求，如果返回的数据与登录状态后的一致，则存在漏洞或 缺陷。

 

作者：

锦凡歆在 ‘来疯’ 直播唱歌最好听

 

修复建议

（1）采用Token校验的方式，在url中添加一个Token参数，只有Token验证通过才返 回接口数据且Token使用一次后失效。

（2）在接口被调用时，后端对会话状态进行验证，如果已经登录，便返回接口数据；如果未登录，则返回自定义的错误信息