当前位置: 首页 > news >正文

广州模板网站网站正在努力建设中

广州模板网站,网站正在努力建设中,网站怎么做下载网页代码吗,中山网站网站建设这篇文章是针对实际项目中所出现的问题所做的一个总结。简单来说#xff0c;就是授权绕过问题#xff0c;管理员帐户被错误的接管。 详细情况是这样的#xff0c;我们的项目中通常都会有用户身份验证功能#xff0c;不同的用户拥有不同的权限。相对来说管理员账户所对应的… 这篇文章是针对实际项目中所出现的问题所做的一个总结。简单来说就是授权绕过问题管理员帐户被错误的接管。 详细情况是这样的我们的项目中通常都会有用户身份验证功能不同的用户拥有不同的权限。相对来说管理员账户所对应的权限是极高的它可以修改当前用户或者比它权限低的账户信息。而这里的处理如果不够严谨就会出现权限相关问题。 比如我的项目所遇到的问题具有“管理”角色的经过身份验证的用户可以结合更新用户信息的方法和“忘记密码”功能来更改当前管理员账户的密码从而使他们能够完全控制帐户。 问题重现 这张图展现这个漏洞的流程 按步骤重现 在登录页面 admin 用户使用自己的账号邮箱和密码登录 成功进入主页面并跳转到用户管理页面 注意管理员用户可以没有任何限制的修改邮箱地址所以即便是邮箱的域名被修改(example.com - xxx.com)也是合法的 保存后 重新进入登陆页面此时邮箱地址已经变为攻击者邮箱(攻击者此时不知道密码)点击忘记密码进行密码重置 密码被重置此时攻击者拥有了完全合法的管理员账户 使用被修改的信息成功登录   此时攻击者就可以进行网络攻击包括恶意篡改环境配置包括产品信息、具体数据、数据库配置和系统运行时参数。而且由于攻击者此时拥有管理员权限所以造成的损失将是非常巨大的。 解决方案 input typetext valueemail disabledemailUpdatable/ checkEmailUpdatability() {this.emailUpdatable (this.user.role ! administration !lodash.endsWith(this.user.email, example.com)); }如上代码所示监听用户权限和用户邮箱域名。这限制了管理员权限用户随意修改邮箱地址的功能。管理员用户的邮箱地址受到保护不能更改为攻击者的邮箱地址攻击者也就不能通过忘记密码功能获取到管理员权限了。而非管理员用户的权限较低即使暴露也不会对项目造成破坏。
http://wiki.neutronadmin.com/news/207859/

相关文章:

  • 网站解析是什么意思免费加盟一件代发货源网站
  • 做苗木网站网站建站网站建设
  • 云南网站建设500前端用户中心 wordpress
  • 诸城哪有做公司网站和的数据库修改wordpress登录密码忘记
  • 网站建设新闻+常识网站建设栏目分级
  • 一个网站是怎么做出来的做网店去哪个网站货源好
  • 网站内容避免被采集网站做零售
  • 怎么自己做微网站吗如何写手机适配网站
  • 湖南建设工程竣工备案表查询网站企业网站设计与管理系统
  • 电商型网站网站建设合同 附件
  • 主机如何做网站空间常德seo公司
  • 高端旅游网站建设wordpress 快讯模板
  • 微信小程序外联网站网络平台推广方法
  • 动态背景网站优惠券网站做代理怎么样
  • 网站服务器 内容更新柳州企业网站建设
  • 免费领取永久云服务器深圳市seo网站设计多少钱
  • 墨刀做网站化州市住房和建设局网站
  • 最优的锦州网站建设焦作做网站的
  • 鹿班设计网站官网安徽安能建设集团网站
  • 免费购物网站程序wordpress条文件夹
  • 新民个人网站建设优势刷赞网站推广ks
  • 购物导购网站开发工程建筑公司
  • vue可以做pc的网站福建南平网站建设
  • 甘肃网站备案审核广州引流推广公司
  • 网站制作企wordpress 计划表格
  • 大公司网站色彩设计flash网站源码
  • 企业电子商务网站建设总结东营的网站建设公司
  • 网站备案幕布 下载建设网站企业网上银行
  • 怎么建设自己公司的网站首页企业建设网站的步骤是什么意思
  • 企业网站建设的技术指标和经济指标刚刚北京发生大事了