垂直越权漏洞

某天下午，垂直我接到一位朋友的越权电话，说他们公司的漏洞后台被“黑”了。一个普通客服账号，垂直居然能直接读取所有用户的越权身份证号和银行卡信息。排查后发现，漏洞没有SQL注入，垂直没有暴力破解，越权问题出在一个看似不起眼的漏洞ID参数上——客服在浏览器地址栏里把“userId=1001”改成了“userId=1”，就看到了管理员的垂直全部数据。

这就是越权垂直越权，也叫水平越权？漏洞不，你记反了。垂直垂直越权是越权指低权限用户尝试访问高权限功能。水平越权是漏洞同级用户互看数据。但现实中，两者经常同时出现。我那位朋友的公司，客服账号本应只能处理工单，却通过修改参数触达了管理员的接口——这是典型的垂直越权。

漏洞的根源往往不在代码逻辑，而在对“信任”的滥用。很多开发者在写接口时，默认前端已经做好了权限控制，后端就懒得校验。他们觉得，按钮都隐藏了，普通用户看不到管理入口，自然就安全了。可HTTP请求是可以任意构造的，Postman、Burp Suite，甚至浏览器自带的开发者工具，都能轻松绕过前端限制。

我见过一个更离谱的案例。某SaaS平台的“导出报表”功能，前端只对VIP用户开放。但后端接口只检查了是否登录，没检查角色。一个免费版用户，直接构造请求，就能导出全平台的企业数据。那家公司后来被监管罚了几十万——不是被黑客入侵，是被人用脚本爬走了所有客户名单。

修复方式其实很简单：在每个需要权限的接口上，加一个角色校验。但麻烦在于，很多老系统接口多如牛毛，漏掉一个就前功尽弃。更隐蔽的是，有些接口会复用内部管理功能，比如“重置密码”接口同时服务用户端和运维端，运维端逻辑没做区分，就成了攻击面。

还有一类垂直越权藏在“隐藏功能”里。比如，某个后台有个“调试模式”，只有开发者在本地才会开启。但部署到生产环境时，忘了关闭这个开关。普通用户如果猜到路径，就能直接访问调试面板，执行任意SQL语句。这种漏洞，代码审计都难发现，因为它是配置问题，不是代码问题。

说到底，垂直越权是“信任边界”的失控。开发人员太相信“前端隐藏=安全”，太相信“用户不会改参数”，太相信“内部接口没人知道”。可真实的攻击者，比谁都更愿意翻代码、猜路径、试参数。他们不靠运气，靠的是耐心。

给个实操建议：每次写接口时，先问自己三个问题——这个接口是给谁用的？他应该能做什么？如果他把请求里的所有字段都改成最大值，会发生什么？想清楚这三件事，垂直越权基本就能堵住大半。剩下的，靠定期的权限扫描和日志监控来兜底。

别等到被爬了数据、被删了库、被罚了款，才想起后端校验。那会儿，可就不只是改一行代码的事了。