WebGoat笔记三_访问控制缺陷(Access Control Flaws).pdf

《WebGoat笔记三_访问控制缺陷(Access Control Flaws).pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、WebGoat学习笔记WebGoat学习笔记三—访问控制缺陷（AccessControlFlaws）瞿靖东2015/10/19版本号：WebGoat5.42.2访问控制缺陷(AccessControlFlaws)2.2.1使用访问控制模型(UsinganAccessControlMatrix)2.2.1.1技术概念或主题(Concept/TopicToTeach)在一个基于角色的访问控制方案中，角色代表了一组访问权限和特权。一个用户可以被分配一个或多个角色。一个基于角色的访问控制方案通常有两个部分组成:角色权限管理和

2、角色分配。一个被破坏的基于角色的访问控制方案可能允许用户执行不允许他/她的被分配的角色，或以某种方式允许特权升级到未经授权的角色的访问。2.2.1.2技术原理(HowItworks)无2.2.1.3总体目标(GeneralGoals)每个用户都是角色的成员，每个角色只允许访问那些特定的资源。你的目标是浏览本站管理所使用的访问控制规则。只有“Admin”组才能够访问“帐号管理”资源。2.2.1.4操作方法(Solutions)先选择一个用户，再选择一个资源，然后点击【CheckAccess】，出现页面如下图所示:1We

3、bGoat学习笔记红色字体所显示的意思是:公用用户Moe对资源PublicShare有访问权限。接下来，保持用户不变，即Changeuser选项仍是Moe，在Selectresource选项中选中下一个资源TimeCardEntry，然后仍然是点击【CheckAccess】，出现页面如下所示:此时红色字体提示的意思是:公用用户Moe不具有对资源TimeCardEntry的访问权限。依照上述方法直到检测到如下提示时:当显示“用户Larry对资源AccountManager具有访问权限时”，本课程完成。2WebGoat学

4、习笔记2.2.2绕过基于路径的访问控制方案(BypassaPathBasedAccessControlScheme)2.2.2.1技术概念或主题(Concept/TopicToTeach)在一个基于路径的访问控制方案中，攻击者可以通过提供相对路径信息遍历路径。因此，攻击者可以使用相对路径访问那些通常任何人都不能直接访问或直接请求就会被拒绝的文件。2.2.2.2技术原理(HowItworks)大多数操作系统允许在路径中使用某些特征字符，如:2.2.2.3总体目标(GeneralGoals)用户“user”能够访问les

5、son_plans/English目录下所有文件。你需要尝试突破访问控制策略，访问不在下列清单中的文件。选中一个文件后，单击【ViewFile】按钮WebGoat会给出该文件能否被访问的提示信息。一个有趣并值得尝试的是访问Tomcat的配置文件，一般是"tomcat/conf/tomcat-users.xml"。注意:该文件的位置取决于你正在使用的WebGoat版本和环境。2.2.2.4操作方法(Solutions)选中“Choosethefiletoview”列表下的任何一个文件，然后点击【ViewFile】，用W

6、ebScarab工具截获向服务器发送的请求，如图所示:3WebGoat学习笔记在上图中File的Value值就是想要访问的文件名，修改此处，改为tomcatconftomcat-users.xml显示访问出错，因为当前路径为D:??WebGoatWebGoat-5.4tomcatwebappsWebGoatlesson_plansEnglish而目标文件所在路径为tomcat/conf/tomcat-users.xml所以此时正确的路径名为：../../../../conf/tomcat-user

7、s.xml其中“../”表示向上一级4WebGoat学习笔记完成数据篡改后，单击【Acceptchanges】即可。在页面出现如下所示，则表示攻击成功。该文件储存了我的WebGoat口令、用户角色和账号。5WebGoat学习笔记2.2.3基于角色的访问控制(LAB:RoleBasedAccessControl)2.2.3.1技术概念或主题(Concept/TopicToTeach)在一个基于角色访问控制的方案中，角色代表一组访问权限和特权。一个用户可以被分配一个或多个角色，一个基于角色的访问控制通常包括两个部分:角色

8、权限管理和角色分配。一个被破坏的基于角色的访问控制方案，可能允许用户以没有分配他/她的角色或以某种方式获得的未经授权的角色进行访问。2.2.3.2技术原理(HowItworks)很多网站都尝试使用基于角色的方式严格限制资源访问，但开发人员在实现这类解决方案时容易出现疏忽。2.2.3.3总体目标(GeneralGoals)2.2.3.3.1Sta