WEB安全新玩法 [5] 防范水平越权之查看他人订单信息

提示：扫一扫查出行
【扫一扫了解最新限行尾号】
复制提示

水平越权是指系统中的用户在未经授权的情况下，查看到另一个同级别用户所拥有的资源。水平越权会导致信息泄露，其产生原因是软件业务设计或编码上的缺陷。 iFlow 业务安全加固平台 可以缓解部分场景下的水平越权问题。

以某电商网站为例，其查看订单功能存在漏洞：仅依靠修改 URL 参数，任意登录用户不仅可以查看自己的订单信息，也可以查看到其他用户的订单信息。我们看看在网站自身存在缺陷的情况下，如何利用 iFlow 阻止水平越权的订单信息访问。

一、原始网站

1.1 正常用户访问

正常用户登录成功之后，进入个人中心的 订单管理 页面显示自己的订单列表。

从订单列表中点击其中一个订单的 订单详情 ，则可以看到订单的具体信息。

HTTP 交互流程如下：

sequenceDiagram
participant 正常用户
participant 浏览器
participant Web服务器
正常用户->>浏览器: 点击【订单管理】
浏览器->>Web服务器: 请求：订单管理
Web服务器->>浏览器: 返回：订单列表
浏览器->>正常用户: 显示：订单列表页面
正常用户->>浏览器: 点击其中一项【订单详情】
浏览器->>Web服务器: 请求：订单详情
Web服务器->>浏览器: 返回：订单详情
浏览器->>正常用户: 显示：订单详情页面

1.2 攻击者访问

电商网站在处理订单详情业务时有个漏洞：它使用提交参数中的订单 ID 在数据库中获取到了订单信息，但没有去检查订单所有者是否与已登录用户为同一用户，而是直接将订单信息返回给了浏览器。

这样，攻击者与正常用户经过同样的操作 (即在订单列表查看自己的订单详情) 后，可以手工修改 URL 中的订单 ID 从而获取到任意用户的订单信息。这个过程可以连续地进行。

下图中，攻击者访问了 ID 为 8 的订单详情，而这个订单本应属于「test01」用户。

HTTP 交互流程如下：

sequenceDiagram
participant 攻击者
participant 浏览器
participant Web服务器
攻击者->>浏览器: 点击【订单管理】
浏览器->>Web服务器: 请求：订单管理
Web服务器->>浏览器: 返回：订单列表
浏览器->>攻击者: 显示：订单列表页面
攻击者->>浏览器: 点击其中一项【订单详情】
浏览器->>Web服务器: 请求：订单详情
Web服务器->>浏览器: 返回：订单详情
浏览器->>攻击者: 显示：自己的订单详情页面
rect rgb(250, 128, 128)
攻击者->>浏览器: 请求参数id修改为任意值
end
浏览器->>Web服务器: 请求：订单详情
Web服务器->>浏览器: 返回：订单详情
rect rgb(250, 128, 128)
浏览器->>攻击者: 显示：他人的订单详情页面
end

二、iFlow虚拟补丁后的网站

我们在 Web 服务器前部署 iFlow 业务安全加固平台 ，它有能力拦截、计算和修改双向 HTTP 报文并具备存储能力，成为 Web 应用的虚拟补丁。在本例中，iFlow 记录订单列表中的所有订单 ID，在用户访问订单详情时进行检查。

2.1 正常用户访问

服务器在返回用户订单列表时，iFlow 解析出每一订单项目的订单 ID 形成用户的 合法id记录 。用户在访问订单详情时，iFlow 检查要访问的订单 ID 是否包含在 合法id记录 中。

正常用户的 HTTP 交互流程如下：

sequenceDiagram
participant 正常用户
participant 浏览器
participant iFlow
participant Web服务器
正常用户->>浏览器: 点击【订单管理】
浏览器->>Web服务器: 请求：订单管理
Web服务器->>iFlow: 返回：订单列表
rect rgb(160, 250, 160)
Note over iFlow: 所有订单id形成合法id记录
end
iFlow->>浏览器: 返回：订单列表
浏览器->>正常用户: 显示：订单列表页面
正常用户->>浏览器: 点击其中一项【订单详情】
浏览器->>iFlow: 请求：订单详情
rect rgb(160, 250, 160)
Note over iFlow: 订单id在合法id记录中
end
iFlow->>Web服务器: 请求：订单详情
Web服务器->>浏览器: 返回：订单详情
浏览器->>正常用户: 显示：订单详情页面

2.2 攻击者访问

如前所示，攻击者自行修改订单 ID 发出请求，iFlow 拦截此请求，发现请求的 ID 不在 合法id记录 中，即终止此过程。

攻击者的 HTTP 协议交互过程如下：

sequenceDiagram
participant 攻击者
participant 浏览器
participant iFlow
participant Web服务器
攻击者->>浏览器: 点击【订单管理】
浏览器->>Web服务器: 请求：订单管理
Web服务器->>iFlow: 返回：订单列表
rect rgb(160, 250, 160)
Note over iFlow: 所有订单id形成合法id记录
end
iFlow->>浏览器: 返回：订单列表
浏览器->>攻击者: 显示：订单列表页面
攻击者->>浏览器: 点击其中一项【订单详情】
浏览器->>iFlow: 请求：订单详情
rect rgb(160, 250, 160)
Note over iFlow: 订单id在合法id记录中
end
iFlow->>Web服务器: 请求：订单详情
Web服务器->>浏览器: 返回：订单详情
浏览器->>攻击者: 显示：订单详情页面
rect rgb(250, 128, 128)
攻击者->>浏览器: 请求参数id修改为任意值
end
浏览器->>iFlow: 请求：订单详情
rect rgb(160, 250, 160)
Note over iFlow: 订单id不在合法id记录中
end
iFlow->>浏览器: 返回：终止访问
rect rgb(250, 128, 128)
浏览器->>攻击者: 终止访问
end

2.3 代码

iFlow 内置的 W2 语言是一种专门用于实现 Web 应用安全加固的类编程语言 。它介于配置和通用语言之间，具备编程的基本要素和针对 HTTP 协议的特有扩展，能为业务系统编写涉及复杂判断和动态修改的逻辑。

考虑到安全产品的使用者通常为非程序员，他们习惯面对配置文件而非一段代码。因此，W2 语言虽包含语言要素，仍以规则文件方式呈现，并采用可以体现层次结构和方便词法校验的 JSON 格式。

用 W2 语言实现上述虚拟补丁的代码如下：

[

	{

        "if": [

			"streq(REQUEST_FILENAME, '/shopx/index.php')",

			"streq(@ARGS.s, '/index/order/index.html')"

		],

		"then": {

            "execution": {

                "directive": "setVariable",

                "variable": "SESSION.valid_ids",

                "value": "rxMatch(RESPONSE_BODY, '<a[^>]+href=\"[^\"].*(/index/order/detail/id.*)\" target=.*\"[^>]*>', -1, 1)",

                "expiry": 3600

            }

        }

    },

    {

        "if": [

            "streq(REQUEST_FILENAME, '/shopx/public/index.php')",

            "contain(@ARGS.s, '/index/order/detail/id')",

            "!contain(SESSION.valid_ids, @ARGS.s)",

        ],

        "then": {

            "verdict": {

                "action": "deny",

                "log": "User access page ${@ARGS.s} NOT in ${SESSION.valid_ids}"

            }

        }

    }

]