漏洞类型垂直越权 / 访问控制失效Broken Access Control 靶场Pikachu本机 127.0.0.1 危害SRC 高危可导致管理员账号接管一、什么是垂直越权垂直越权指的是低权限用户访问了本该只有高权限用户才能使用的功能。水平越权是同级之间偷看垂直越权是往上爬。二、原理垂直越权的根因是服务端只校验了你是谁没校验你是什么角色。一个常见陷阱前端隐藏 ≠ 后端校验有些网站会按角色渲染不同界面普通用户看到的是「您只有查看权限」管理员才显示编辑入口。看起来做了控制其实只是把入口藏起来。只要文件路径被猜到或被ls列出来直接敲 URL 就能绕过。前端判断 ≠ 后端校验安全必须由后端逐个接口兜底。三、复现环境Pikachu 靶场本机 127.0.0.1使用靶场自带测试账号。1. 确认用户角色2. 用普通用户登录访问Over Permission 垂直越权用pikachu登录。密码通过弱哈希字典破解得到这本身也是一条独立结论密码用无盐 MD5 存储同一密码永远算出同一哈希可被彩虹表秒解。3. 观察矛盾点登录后进入op2_user.php页面显示页面自称管理中心又说只有查看权限且没有任何编辑入口。同时已经把全站 7 个用户的手机号、邮箱、住址全部列出。光是能进这个页面就已经是漏洞了。4. 绕过前端直接访问管理接口列出模块文件找到真实接口名界面上没有入口但文件确实存在。直接访问op2_admin.php和op2_admin_edit.php?id1两个页面都能正常打开。页面顶部写着hi,pikachu,欢迎来到后台管理中心并给出一个可提交的表单字段包括用户、密码、性别、电话、邮箱、地址。四、越权成立不靠感觉靠对比结论前端您只有查看权限这句话毫无安全作用后端接口完全没做角色校验普通用户获得了管理员级别的用户管理能力。五、危害完整杀伤链关键点不能只在op2_user.php校验要在op2_admin.php、op2_admin_edit.php等每一个入口单独校验。攻击者总是直接访问最深层那个文件。七、总结垂直越权的本质验证了身份没验证角色。它比水平越权更危险水平越权偷看一行数据垂直越权拿到整个后台的入口。前端隐藏不是防护界面没有按钮文件依然可直接访问。合规声明本次测试全部在本地虚拟机靶场 Pikachu 内完成使用靶场自带测试账号未访问任何真实网站或他人系统。所有资料仅用于学习与授权测试。