URL用戶訪問的敏感功能和數(shù)據(jù)

2022-06-01 分類：網(wǎng)站建設

在許多的訪問控制下不完善情況下，敏感功能和數(shù)據(jù)可被任何知道相關URL的用戶訪問。比如在許多應用程序中，任何人只需訪問一個特定的URL就能夠完全控制它的管理功能：
https://wahh-app.com/admin/
在這種情況下，應用程序通常僅實施如下訪問控制：以管理員的身份登錄的用戶在他們的用戶界面上看到一給該URL的鏈接，而其他用戶無法看到這個鏈接。這種細微的差別是應用程序用于“防止”敏感功能被未授權使用的唯一機制。
有時候，允許用戶訪問強大的功能的URL可能很難猜測，相當隱蔽，這種情況下，開發(fā)者假設攻擊者無法知道或發(fā)行這個URL，管理功能就會因此受到保護。
一些應用程序的敏感功能隱藏在各種不太同意猜測的URL之后，但攻擊者通過仔細檢查客戶端代碼還是可以發(fā)現(xiàn)這些URL。許多應用程序使用JavaScript在客戶端動態(tài)建立用戶界面。它一般建立各種與用戶狀態(tài)有關的標記，然后根據(jù)這些標記在用戶界面中增加不同的元素。
如果其他功能不由Web應用程序客戶端直接調用，這些功能也可以調用，并不受任何控制的保護。一般情況下，用戶只需能夠訪問某些特定的方法，但他們卻擁有范圍所有的權限。

本文標題：URL用戶訪問的敏感功能和數(shù)據(jù)
文章路徑：http://jinyejixie.com/news25/162075.html

成都網(wǎng)站建設公司_創(chuàng)新互聯(lián)，為您提供網(wǎng)站制作、網(wǎng)站收錄、小程序開發(fā)、企業(yè)網(wǎng)站制作、動態(tài)網(wǎng)站、ChatGPT

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉載內(nèi)容為主，如果涉及侵權請盡快告知，我們將會在第一時間刪除。文章觀點不代表本網(wǎng)站立場，如需處理請聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉載，或轉載時需注明來源：創(chuàng)新互聯(lián)

猜你還喜歡下面的內(nèi)容

成人午夜视频全免费观看高清-秋霞福利视频一区二区三区-国产精品久久久久电影小说-亚洲不卡区三一区三区一区

URL用戶訪問的敏感功能和數(shù)據(jù)