PiKachu靶场实战：从原理到利用，剖析水平与垂直越权漏洞

1. PiKachu靶场环境搭建与越权漏洞初探第一次接触PiKachu靶场时我就被它清晰的漏洞分类吸引了。这个用PHP开发的漏洞练习平台特别适合新手理解Web安全中的经典漏洞。搭建过程比想象中简单只需要具备基础的LAMP/WAMP环境。我在本地测试时用的是XAMPP把下载的靶场源码直接放到htdocs目录就能运行。记得第一次访问时看到那个皮卡丘的logo还觉得挺亲切的。水平越权和垂直越权是Web应用中常见的权限控制问题。简单来说水平越权就像小区门禁卡 - 你能刷开邻居家的门同级别用户数据互访而垂直越权则是用普通门禁卡刷开了物业经理的办公室低权限用户获取高权限操作。这两种漏洞在OWASP Top 10中都属于访问控制失效的典型案例。2. 水平越权漏洞深度解析2.1 漏洞原理与靶场演示在PiKachu的Over Permission模块我们先登录kobe账户。查看个人信息时注意到URL中的username参数直接暴露了查询条件。这就是典型的水平越权风险点 - 后端仅验证了登录状态却没校验当前用户是否有权访问目标数据。我尝试把username参数改为lucy页面竟然返回了lucy的完整个人信息。这说明后端代码可能长这样$username $_GET[username]; $sql SELECT * FROM users WHERE username$username;这种直接使用前端传入参数且不做权限校验的代码就是水平越权的温床。在实际开发中正确的做法应该是$current_user $_SESSION[username]; $sql SELECT * FROM users WHERE username$current_user;2.2 实战利用与防御方案通过Burp Suite抓包我发现这个请求连基本的CSRF Token都没有。这意味着攻击者只需诱导受害者点击构造好的链接就能窃取其他用户数据。更可怕的是如果系统使用连续的数字ID攻击者可以通过脚本批量爬取所有用户信息。防御水平越权有这几个关键点始终使用会话中的用户标识而非前端参数对敏感操作添加二次验证实施基于角色的数据访问控制关键操作记录详细日志3. 垂直越权漏洞全面剖析3.1 权限体系与漏洞成因PiKachu靶场准备了admin和pikachu两个账号来演示垂直越权。admin拥有用户管理全权限而pikachu只能查看信息。登录admin添加用户时我用Burp截获了这个POST请求POST /pikachu/add_user.php HTTP/1.1 Cookie: PHPSESSIDadmin_session_id ... usernametestpassword123456actioncreate退出admin后用pikachu账号登录并修改Cookie重放这个请求居然成功创建了新用户这说明后端只验证了登录状态完全没检查用户角色权限。3.2 漏洞利用的高级技巧更隐蔽的攻击方式是权限提升。比如普通用户通过修改请求参数访问管理员接口GET /admin/delete_user.php?id3即使页面没有管理员入口攻击者仍可能通过猜测路径实施操作。我曾在一个真实项目中发现将普通用户的修改资料请求方法从POST改为PUT竟然能触发管理员专属的用户封禁功能。防御垂直越权需要严格的RBAC权限控制系统敏感接口的二次鉴权前后端统一的权限校验定期权限矩阵审计4. 越权漏洞的自动化检测4.1 使用Burp Suite进行扫描配置Burp Scanner时我特别关注以下参数修改用户ID等标识参数替换Cookie和Session值尝试不同HTTP方法测试未公开的API端点在Intruder模块中可以设置多组payload同时测试水平和垂直越权。比如同时替换用户名参数和权限级别参数。4.2 自定义脚本检测对于大型系统我常用Python写自动化检测脚本import requests def check_vertical_privilege(url, cookies): admin_endpoints [/admin/user/add, /admin/config/update] for endpoint in admin_endpoints: res requests.get(urlendpoint, cookiescookies) if res.status_code 200: print(f垂直越权漏洞发现: {endpoint})5. 开发层面的修复指南5.1 权限校验最佳实践在最近的一个电商项目中我们采用了这样的安全方案所有API请求必须携带JWT令牌后端实现注解式权限控制数据访问层增加租户隔离敏感操作记录完整审计日志Spring Security的配置示例PreAuthorize(hasRole(ADMIN) or #userId principal.id) public User getUserById(Long userId) { // 查询逻辑 }5.2 代码审计要点审查代码时要特别注意直接使用前端传入的ID参数缺少PreAuthorize等注解的接口通配符权限配置硬编码的测试账号未经验证的重定向有次代码审计中我发现一个危险的SQL查询String sql SELECT * FROM orders WHERE user_id request.getParameter(userId);这简直是水平越权的教科书案例。修复后改为String sql SELECT * FROM orders WHERE user_id? AND user_id currentUserId;6. 企业级防御体系建设在生产环境中仅靠代码规范是不够的。我们还需要定期红蓝对抗演练全链路监控异常行为实施零信任架构关键操作多因素认证最近帮客户设计的安全方案中我们在API网关层增加了实时权限校验任何请求都要经过JWT签名验证权限矩阵检查请求频率分析行为基线比对这套方案成功拦截了多次越权尝试包括一次精心设计的垂直权限提升攻击。