越权 on SoulJian小站

业务逻辑漏洞实战

Sat, 29 Aug 2026 15:20:00 +0800

写在前面：合法学习边界

业务逻辑测试只允许在自建靶场或授权环境进行。对真实系统篡改支付、刷优惠券可能触犯法律。

一、漏洞原理

业务逻辑漏洞不是技术缺陷，而是业务流程/规则本身没被校验。攻击者不绕防火墙，而是“顺着业务规则钻空子”。

常见形态：

1
2
3
4
5
6


支付逻辑：改金额、负数、改数量、改价格参数
验证码：不校验、可重放、前端校验、短信轰炸
优惠券/积分：重复领取、并发领取、越权使用
越权：他人订单/支付操作
重放：同一请求重复生效
并发：同一操作并发执行多次

漏洞本质：客户端可影响业务关键参数，服务端没做服务端校验。

二、影响与危害

1
2
3
4


资金损失（改价、刷单）
账号/订单被篡改
短信/邮件轰炸
业务数据污染

风险等级：高（直接影响钱和业务）。

三、利用 / 复现

支付篡改

1
2
3


1. 下单抓包，把 price/amount 改成负数或 0.01
2. 或改数量导致金额异常
3. 观察支付/订单状态

重点参数：

1

price、amount、quantity、total、discount、couponId

验证码绕过

1
2
3
4


前端校验 → 直接抓包重放
验证码不绑定手机/请求 → 复用
验证码不过期 → 重复使用
短信接口无频率限制 → 轰炸

越权与重放

1
2
3


改订单/支付单 ID 操作他人订单
同一支付回调重放多次到账
优惠券接口并发请求重复领取

复现操作步骤

1
2
3
4


第 1 步：抓支付/优惠券/验证码/越权接口
第 2 步：改金额/数量/重放/并发请求
第 3 步：看金额是否变化、是否重复生效 —— 变化即确认
第 4 步：验证码复用、越权 ID 替换测试

四、检测

1
2
3
4


对订单/支付/优惠/验证码接口做参数篡改测试
并发测试（多请求同时）验证竞态
检查服务端是否信任前端传的价格/角色
对比不同账号的操作边界

五、防御

1
2
3
4
5


关键金额/数量由服务端计算，不信任前端
验证码绑定会话+有效期+频率限制
接口幂等与去重（订单号、nonce）
并发控制（乐观锁/分布式锁）
所有敏感操作服务端校验权限与归属

六、修复

1
2
3
4


服务端重算金额，删除可改价格参数
验证码服务端校验并限频
订单支付加唯一约束与回调去重
修复后复测：改价/重放/并发均被拦截

七、小结

逻辑漏洞没有“万能 payload”，靠的是理解业务。测试时把每个关键业务流程拆开：参数能不能改、能不能重放、能不能并发、归属有没有校验。它比技术漏洞更考验人。

越权访问与 IDOR 入门

Sat, 29 Aug 2026 06:55:00 +0800

写在前面：合法学习边界

本文讲解越权访问和 IDOR（Insecure Direct Object Reference）。所有测试都必须在自建靶场或明确授权环境中进行。请不要对真实系统进行改 ID、越权读取、越权修改或未授权枚举。

一、什么是越权访问

越权访问的核心是：系统没有正确判断“这个用户能不能操作这个对象”。

常见类型有：

1
2
3


横向越权：访问同级别其他用户的数据
纵向越权：低权限用户访问高权限功能
对象级越权：直接访问不属于自己的资源

二、IDOR 是什么

IDOR 就是“不安全的直接对象引用”。

当接口使用用户可控的对象标识时，如果服务端没有再次校验归属关系，就可能出现问题。

典型接口：

1
2
3


GET /api/orders/123
GET /api/profiles/1001
DELETE /api/files/77

如果 123 这个订单不属于当前用户，但系统仍然返回，就可能是 IDOR。

三、常见触发点

1
2
3
4
5
6
7


用户 ID
订单 ID
文件 ID
发票 ID
聊天记录 ID
项目 ID
会话 ID

这些 ID 如果直接来自 URL 或参数，都要重点检查授权。

四、为什么前端不够

前端隐藏按钮、隐藏菜单并不等于安全。真正有效的授权判断必须在服务端完成。

前端只做展示，后端才做控制。

五、如何发现

典型验证方法：

1
2
3
4


1. 获取 A 用户接口
2. 替换成 B 用户对象 ID
3. 观察是否返回数据
4. 观察是否能修改或删除

但必须强调：这些步骤只能在授权范围内做。

影响与危害

越权/IDOR 能造成：

1
2
3


查看/修改他人数据
水平越权（平级用户）与垂直越权（提升权限）
数据泄露与业务受损

风险等级：高。

六、防御方法

1. 服务端对象级鉴权

每次访问对象前，都检查归属关系。

2. 对象 ID 不可枚举

避免连续、可预测、可遍历的 ID。

3. 最小权限

只给当前用户最小可见集合。

4. 角色与资源绑定

用户角色和可访问资源要绑定检查。

5. 审计日志

记录越权尝试、失败访问和异常对象请求。

修复

1
2
3
4


服务端统一鉴权，不信任前端/ID 参数
对象访问前校验归属与权限（对象级授权）
ID 使用不可预测值或做随机化
修复后复测：替换他人 ID 无法访问

七、报告中的正确写法

示例：

1
2
3


发现：用户 A 将订单 ID 改成用户 B 的订单 ID 后，接口仍返回订单详情。
风险：可能导致敏感订单、支付信息或业务数据泄露。
建议：服务端增加对象归属校验；不可信任客户端对象 ID；增加访问审计。

八、小结

越权和 IDOR 的本质不是“会不会改 URL”，而是“后端有没有真正校验归属”。它是 Web 安全里最基础也最容易被忽视的一类问题。

Linux 基础：用户、权限与文件系统

Sat, 29 Aug 2026 04:05:00 +0800

写在前面：合法学习边界

Linux 是安全学习、渗透测试和应急响应中最常见的操作系统。本文内容用于理解用户权限、文件系统和服务运行身份。请不要在没有授权的情况下修改他人系统、尝试提权、读取他人隐私数据、绕过访问控制或使用漏洞工具。所有权限测试、配置审计和应急响应动作都应在自己设备、本地靶场、公司授权测试环境或已获书面授权的系统上完成。

一、为什么安全学习必须懂 Linux

很多 Web 服务、数据库、反向代理、日志系统和云主机都运行在 Linux 上。安全人员需要知道：服务以哪个用户运行、配置文件谁能修改、上传目录是否可写、日志记录在哪里、关键系统文件是否被替换、某个进程是否消耗异常资源。

对零基础学习者来说，Linux 基础可以从四个问题开始：

1
2
3
4


这台机器有哪些用户？
当前我以谁的身份运行？
文件属于谁，谁可以读、写、执行？
进程以谁的身份运行，访问了哪些文件和资源？

这些问题贯穿 Web 安全、提权排查、日志分析、服务器加固和应急响应。

二、用户与组：操作系统中的身份

Linux 中几乎每个动作都需要身份。用户代表“谁在操作”，组代表“用户之间的共同权限集合”。一个用户可以属于多个组，组权限可以让同一批用户访问同一批资源。

1. 查看当前用户

1
2
3


whoami
id
groups

whoami 输出当前用户名；id 输出用户 ID、组 ID 和所属组；groups 输出用户属于哪些组。

常见输出示例：

1
2


ubuntu
uid=1000(ubuntu) gid=1000(ubuntu) groups=1000(ubuntu),27(sudo),33(www-data)

这说明当前用户是 ubuntu，属于 sudo 组，也能看到 www-data 这个组。

2. 查看用户列表

1

cat /etc/passwd

/etc/passwd 中每一行通常包含：用户名、密码占位符、UID、GID、用户描述、家目录和登录 shell。重点看 UID：

1
2


UID=0：root，拥有最高权限
UID=1000 以上：通常是一般用户

安全排查时，可以关注是否新增 UID 为 0 的账户，或者是否存在异常登录 shell。

3. 创建普通用户和组

以下命令通常由管理员在授权环境中执行：

1
2
3


sudo groupadd devteam
sudo useradd -m -G devteam alice
sudo passwd alice

说明：

1
2
3
4


groupadd：创建用户组
useradd -m：创建用户并创建家目录
-G：加入附加组
passwd：设置密码

实际生产环境中，还需要考虑密码复杂度、SSH 密钥、登录限制、账户过期和审计日志。

三、权限：rwx 和数字权限

Linux 文件权限主要分为三类：读、写、执行。对应字母是 r、w、x。

权限	含义
r read	读取文件内容或列出目录内容
w write	修改文件内容或在目录中创建、删除、重命名文件
x execute	执行文件或进入目录

常见权限示例：

1
2
3


-rw-r--r--：所有者可读写，组和其他人可读
-rwxr-xr-x：所有者可执行，组和其他人可读和执行
-rw-------：只有所有者可读写

数字权限表示方式：

1
2
3
4


r = 4
w = 2
x = 1
--- = 0

所以：

1
2
3


755 = rwxr-xr-x
644 = rw-r--r--
600 = rw-------

常用命令：

1
2
3
4
5


ls -l
chmod 755 deploy.sh
chmod 600 private.key
chown ubuntu:ubuntu notes.txt
chgrp devteam notes.txt

安全提示：私钥、口令文件、配置文件不应该开放给所有人读写。Web 目录也要避免被非必要用户随意写入。

四、目录权限的特殊含义

目录权限容易被新手误解。文件需要 x 才能执行，但目录需要 x 才能进入，需要 r 才能列出内容。

例子：

1

rwxr-xr-x /var/www

意味着其他用户可以进入并读取目录内容；如果目录没有 x，即使用户知道文件路径，也可能无法进入该目录。

如果目录有写和执行权限：

1

rwx------

通常只有所有者可以在目录中创建、删除、重命名文件。生产 Web 服务器通常不应让上传目录同时可写、可执行、可被外部用户修改。

五、文件系统常见路径

了解常见目录能帮助理解服务和日志位置。

1
2
3
4
5
6
7
8
9


/bin 常用命令
/usr/bin 大量用户命令
/etc 配置文件
/var/log 日志文件
/var/www Web 根目录常见位置，具体取决于站点配置
/home 普通用户家目录
/root root 用户家目录
/tmp 临时文件目录
/dev 设备文件

常用查看命令：

1
2
3
4


pwd
ls -lah
find /etc -maxdepth 1 -type f -name '*.conf'
find /var/log -maxdepth 2 -type f | sort | head -100

安全排查时，可以重点看 Web 根目录、配置文件、日志目录和临时目录。但不要盲目读取包含密钥、令牌或个人信息的文件，必须确认授权范围。

六、常用文件查看和搜索命令

1. 查看文件内容

1
2
3
4


cat small.txt
head -50 access.log
tail -100 access.log
tail -f /var/log/syslog

tail -f 会持续显示新写入日志。应急响应中常用它观察实时变化。

2. 搜索关键字

1
2


grep -n '404' /var/log/nginx/access.log
grep -R 'password=' /etc/nginx/conf.d/

-n 显示行号，-R 递归搜索目录。搜索敏感词时不要随意把结果复制到公共文档中，可能会泄露凭据、路径或用户信息。

3. 查找文件

1
2


find /home -name 'config.env'
find /var/www -type f -name '*.php'

find 适合按文件名、类型、时间、权限和所有者查找文件。学习时应先控制搜索范围，避免在生产系统上执行耗时过大的全盘搜索。

4. 查看文件属性

1
2


stat app.py
ls -la /etc/nginx/nginx.conf

stat 会显示文件大小、权限、所有者、组、创建和修改时间。应急响应中，文件修改时间常常是判断是否被篡改的重要线索。

七、进程与运行身份

服务以哪个用户运行，是 Linux 安全中的重要问题。Web 服务通常不应直接以 root 身份长时间运行，而应由低权限用户处理请求，例如 www-data。

查看进程：

1
2


ps aux | grep nginx
ps -ef | grep java

查看端口和进程对应关系：

1
2


sudo ss -tulnp
sudo lsof -i :80

查看某个进程详细信息：

1
2
3


ps -p 1234 -o pid,user,comm,args
ls -l /proc/1234/exe
cat /proc/1234/status

应急响应中，如果发现未知进程，应记录 PID、用户、启动参数、可执行文件路径、网络连接、文件修改时间和父进程关系。不要先删除现场证据，应优先保存、复制和备份相关数据。

八、用户权限与安全设计

1. 最小权限原则

最小权限原则意味着：一个用户、进程或服务只拥有完成任务所需的最低权限。例如：

1
2
3
4


Web 服务只需要读取 Web 文件和写入临时上传目录
普通用户不应拥有随意修改系统配置的权限
自动化脚本不应默认使用 root 长期运行
数据库连接账号不应拥有全局管理权限

2. sudo 的正确使用

普通用户需要临时执行管理命令时，可以加入 sudoers 并按需使用 sudo：

1
2


sudo ls /root
sudo systemctl status nginx

安全配置要避免不必要的：

1
2
3


NOPASSWD
ALL=(ALL) ALL 过度授权
root 权限脚本对任意用户开放

3. 敏感文件权限

私钥和配置应限制访问：

1
2


chmod 600 ~/.ssh/id_rsa
chown ubuntu:ubuntu ~/.ssh/id_rsa

数据库密码、API Token、JWT Secret 等不应放在公开可读的配置文件或 Git 仓库中。

九、文件系统层面的安全排查思路

当怀疑服务器被入侵或配置被篡改时，Linux 文件系统可以提供很多线索。

1. 查看最近修改的文件

1
2
3


find /var/www -type f -mtime -1
find /etc -type f -mtime -1
find /tmp -type f -mtime -1

注意：这个命令只适合在授权环境中使用，且不要假设结果一定代表攻击。系统更新、正常发布、定时任务和日志轮转也会产生新文件。

2. 检查 Web 目录异常文件

1

find /var/www -type f \( -name '*.php' -o -name '*.jsp' -o -name '*.jsp.tmp' \) -mtime -7

如果 Web 根目录突然出现非业务人员创建、无法解释来源、权限异常的可执行脚本，需要保留证据并进入应急响应流程。

3. 检查 SUID 和 SGID 文件

1
2


find / -perm -4000 -type f 2>/dev/null
find / -perm -2000 -type f 2>/dev/null

SUID 文件执行时会以文件所有者身份运行，是合法提权排查和攻击者横向移动中都可能关注的点。检查时应确认文件是否为系统正常文件、版本是否可信、权限是否符合预期。

4. 检查用户增加和异常账户

1
2
3


getent passwd
grep 'uid=0' /etc/passwd
last -n 50

新增 UID=0 账户、异常 shell、异常登录记录，都是需要结合上下文分析的高优先级线索。

十、和 Web 安全的联系

理解 Linux 权限后，很多 Web 安全问题更容易解释：

1
2
3
4
5


文件上传漏洞是否危险，要看上传目录能否被执行
WebShell 是否被触发，要看 Web 服务身份和目录权限
SQL 注入后能否读文件，要看应用和数据库账号权限
上传配置被改后为什么服务重启，要看 Web 服务运行身份和部署方式
日志为什么被删，要看操作者权限和日志轮转机制

所以 Web 安全不能只停留在浏览器和参数层，最终还要理解服务器如何接收请求、以什么身份执行代码、把数据写到哪里、把日志记录到哪里。

十一、小结

Linux 基础的核心不是背命令，而是理解身份、权限、资源和证据。安全人员需要知道当前是谁、以什么权限访问了什么、文件归谁所有、进程以谁的身份运行、日志在哪里。

下一阶段可以进入 Web 安全主题，例如 SQL 注入和 XSS。但在学习漏洞原理前，先理解 Linux 用户和权限，会让你更容易看懂真实环境中的影响边界：一个漏洞到底能影响网页展示，还是能读取敏感数据，甚至影响服务器安全。

Mysql DCL语句使用

Wed, 30 Apr 2025 23:29:55 +0800

DCL语句(数据控制语言，用来创建数据库用户，控制数据库的访问权限)

用户管理

查询用户
- use mysql;
- select * from user;
创建用户
- create user '用户名'@'主机名' identified by '密码';
修改用户密码
- alter user '用户名''@主机名' identified with mysql_native_password by '新密码';
删除用户
- drop user '用户名'@'主机名';

注意:

主机名可以使用通配符(%)
DCL语句一般用语数据库管理人员使用

权限说明

Mysql中定义了很多种权限,但常用的就以下几种:

权限	说明
`ALL` / `ALL PRIVILEGES`	所有权限
`SELECT`	查询数据
`INSERT`	插入数据
`UPDATE`	修改数据
`DELETE`	删除数据
`ALTER`	修改表结构
`DROP`	删除数据库/表/视图
`CREATE`	创建数据库/表

权限控制

查询权限
- show grants for '用户名'@'ip白名单'
授予权限
- grant 权限列表 on 数据库名.表名 to '用户名'@'ip白名单'
撤销权限
- revoke 权限列表 on 数据库名.表名 from '用户名'@'ip白名单'

注意:

多个权限之间,使用逗号分开
授权时,数据库名和表名可以是用通配符*,代表所有