网站越权

凌晨两点，网站越权我盯着后台订单记录，网站越权后背发凉。网站越权一个普通用户的网站越权账号，居然能调出全站所有用户的网站越权收货地址——包括那位刚下单的明星。这不是网站越权黑客入侵，不是网站越权SQL注入，只是网站越权URL里一个数字ID，从order_id=10086改成order_id=1，网站越权就这么简单。网站越权

这叫越权漏洞。网站越权说白了，网站越权系统没分清“你是网站越权谁”和“你能碰什么”。开发时只验证了你登录没有，网站越权没验证你要操作的网站越权数据是不是你的。就像酒店门卡能开自己房间，但电梯按钮没锁，你按了顶层，门就开了——顶层那间总统套房的门卡，居然跟你的一模一样。

我见过最离谱的案例，是某电商平台促销活动。一个学生写了个脚本，循环遍历活动ID，把每张未领取的优惠券都薅了一遍。他一个人领走了价值80万的券，平台三天后才发现。技术团队查日志时傻眼了：这学生用的是官网正常接口，只是没限制访问频率，也没校验券归属。你说他坏吗？他不过是试了试——把ID加一，看能不能拿到别人的券。结果能。

越权的根源，往往不是安全团队不努力，而是产品逻辑太粗心。很多系统设计时，把“登录用户”和“数据所有者”划了等号。用户A登录了，就以为他能操作所有数据。真实世界哪有这种事？你进了银行大门，不代表你能开别人的保险柜。但代码里，很多人就把大门钥匙当成了万能钥匙。

有个细节特有意思。越权漏洞分两种，水平越权和垂直越权。水平的是你平级用户之间乱窜——看别人的订单、改别人的资料。垂直的更狠，普通用户直接提权成管理员，删库跑路那种。水平越权好修，加个WHERE user_id = 当前用户就完事。垂直越权麻烦，因为后台管理页面往往藏在角落，没做权限拦截，你猜到路径就能进。

前阵子帮朋友审计一个内部系统，发现他们后台地址是/admin，连个验证都没有。我问运维为什么，他说“内网用，外网访问不到”。我说那你为什么要映射到公网？他沉默五秒，说“方便在家加班”。第二天，那个后台被扫描器扫到，弱口令直接登进去了。这不是技术问题，是懒。

说句难听的，越权漏洞是安全界最“丢人”的漏洞——它不需要高深技巧，不依赖0day，纯粹是开发时少写一行判断。但它的危害比很多花哨攻击都大。数据泄露、账号篡改、资金损失，往往都从这一个小小的ID遍历开始。

怎么防？没捷径。后端每个接口都校验资源归属，前端隐藏按钮不算数。权限模型用RBAC（基于角色的访问控制），别嫌麻烦。定期做越权测试，拿两个普通账号互相试探。最土的办法也最有效：每个数据请求，都问一句“这数据是你的吗”。不是，就拒绝。

写代码的人常犯一个错：觉得用户都按规矩玩。可互联网上，永远有人会试着把那个数字改成0，改成负数，改成别人的ID。你堵住一次，他会换种方式再试。这不是恶意，是人性——总想看看墙后面有什么。

最后说个真事。某大厂修复越权漏洞后，安全团队在周报里写：“本次漏洞导致部分用户信息被越权访问，影响范围已控制。”但没人提，那个发现漏洞的“攻击者”，其实是该公司一个实习生——他只是在测试环境里，顺手把URL参数改了一下。你看，漏洞离你比想象中近得多。