别再傻傻分不清了！用Pikachu靶场实战演示：水平越权和垂直越权到底怎么测（附完整操作截图）-编程阁

Web安全实战：Pikachu靶场中的水平与垂直越权漏洞深度解析

在数字化浪潮席卷各行各业的今天，Web应用安全已成为开发者必须直面的挑战。权限控制作为安全体系的核心支柱，一旦出现纰漏，往往会导致灾难性的数据泄露。对于刚踏入安全领域的新手而言，"越权漏洞"这个术语可能既熟悉又陌生——我们总能在各类安全报告中看到它的身影，却难以在实际测试中准确识别和验证。这正是Pikachu靶场存在的意义：它将抽象的安全概念转化为可交互的实验场景，让我们在安全环境中获得真实的攻防体验。

1. 权限漏洞的本质与分类

权限系统如同现代建筑的安防体系，需要精确界定每个用户的访问边界。当这层防护出现裂缝时，攻击者便能突破既定权限，访问本应受限的资源或功能。根据突破方式的不同，越权漏洞主要分为两大类型：

水平越权（Horizontal Privilege Escalation）：同级别用户间的非法访问
垂直越权（Vertical Privilege Escalation）：不同权限等级间的非法跨越

理解这两者的区别，是构建有效防御的第一道防线。下面这个对比表揭示了核心差异：

特征	水平越权	垂直越权
权限关系	相同权限级别用户之间	不同权限级别用户之间
典型危害	数据横向泄露	功能纵向突破
检测重点	对象ID可预测性	功能接口未鉴权
防护难点	业务逻辑复杂性	权限体系完整性

实际案例表明，80%的越权漏洞源于开发者在业务逻辑层忽略权限校验，而非技术实现缺陷

2. Pikachu靶场环境搭建

工欲善其事，必先利其器。Pikachu是一个专为Web安全学习设计的漏洞演练平台，集成了多种常见漏洞场景。让我们从环境配置开始：

基础准备：

# 下载靶场源码 git clone https://github.com/zhuifengshaonianhanlu/pikachu # 进入web目录 cd pikachu/pikachu

数据库配置：

-- 创建数据库 CREATE DATABASE pikachu; -- 导入初始化数据 USE pikachu; SOURCE /path/to/pikachu.sql;

账户信息：
- 水平越权测试账户：
  - lucy/123456
  - lili/123456
  - kobe/123456
- 垂直越权测试账户：
  - admin/123456（管理员）
  - pikachu/000000（普通用户）

启动服务后访问http://localhost/pikachu，你会看到清晰的漏洞分类菜单。找到"Over Permission"模块，这就是我们今天的实验场。

3. 水平越权实战演练

水平越权如同现实生活中的身份冒用——攻击者伪装成同级别的其他用户获取敏感信息。在Pikachu靶场中，我们可以通过具体案例理解这种漏洞的运作机制。

3.1 漏洞触发流程

使用lucy账户正常登录，观察URL中的用户标识参数

开启Burp Suite拦截请求，查看关键请求：

POST /pikachu/vul/overpermission/op1/op1_login.php HTTP/1.1 Host: localhost Content-Type: application/x-www-form-urlencoded username=lucy&password=123456&submit=Login

修改username参数为kobe后转发请求
观察响应内容，成功获取kobe的用户信息

3.2 关键漏洞点分析

这种漏洞的根源通常在于：

使用可预测的标识符（如连续数字ID）
服务端未验证请求者与目标资源的归属关系
过度依赖客户端提供的身份信息

以下是一个典型的有缺陷的代码片段：

// 危险示例：未验证当前用户与查询ID的关系 $user_id = $_GET['id']; $query = "SELECT * FROM users WHERE id = $user_id";

3.3 防御方案对比

防御策略	实施方式	优点	局限
会话绑定	从会话获取用户ID	简单直接	需完整会话管理
资源所有权验证	查询前验证资源归属	精准防护	增加数据库查询
不可预测标识符	使用UUID替代自增ID	防止参数猜测	需要改造现有系统
访问控制列表(ACL)	定义细粒度访问规则	灵活全面	维护成本高

4. 垂直越权深度剖析

如果说水平越权是"平级冒用"，那么垂直越权就是"越级访问"。这种漏洞的危害往往更为严重，可能导致整个权限体系崩塌。

4.1 管理员功能越权实验

在Pikachu靶场中，admin账户拥有"添加用户"的特权功能。我们尝试用普通用户pikachu突破这层限制：

登录pikachu账户，确认无管理功能入口

直接访问管理页面URL：

http://localhost/pikachu/vul/overpermission/op2/op2_admin_edit.php

成功加载管理员专属的用户添加界面
提交新用户数据，验证操作有效性

4.2 代码审计视角

查看靶场源码，发现问题出在鉴权逻辑的缺失：

// 仅检查登录状态，未验证用户角色 if(!check_op2_login($link)){ header("location:op2_login.php"); exit(); } // 缺少类似下面的权限检查 // if($_SESSION['role'] != 'admin'){ die('Access Denied'); }

4.3 多维度防御方案

架构层防护：

实现RBAC（基于角色的访问控制）模型
敏感操作要求二次认证
关键功能使用独立权限标识

代码层防护：

# Flask示例：装饰器实现权限检查 def admin_required(f): @wraps(f) def decorated_function(*args, **kwargs): if not current_user.is_admin: abort(403) return f(*args, **kwargs) return decorated_function

运维层防护：

定期权限审计
敏感接口监控告警
最小权限原则部署

5. 自动化检测与进阶技巧

手动测试虽直观，但效率有限。在实际安全评估中，我们常需要借助工具提高检测覆盖率。

5.1 Burp Suite扫描配置

设置自定义扫描检查项：

{ "name": "Vertical Privilege Escalation", "regex": "admin|manager|superuser", "severity": "High" }

使用Auth Analyzer扩展对比不同权限的响应差异
利用Session Handling Rules自动化权限切换

5.2 常见绕过手法防御

攻击者常采用以下方式绕过基础防护：

参数污染：同时提交多个身份参数

POST /update_profile HTTP/1.1 user_id=attacker&user_id=victim

HTTP方法篡改：将GET改为POST绕过基础检查
接口路径猜测：尝试/admin/../user/类路径

防御策略应包含：

// Spring Security示例：多重验证 @PreAuthorize("hasRole('ADMIN') && #userId == principal.id") public void updateUser(Long userId, UserDto dto) { // 业务逻辑 }

6. 从漏洞到修复的全周期管理

发现漏洞只是起点，构建完整的防护体系才是终极目标。建议采用以下流程：

漏洞挖掘阶段：
- 业务流程图梳理
- 权限矩阵绘制
- 接口资产普查

测试验证阶段：

# 自动化测试脚本示例 def test_vertical_privilege(): low_priv_session = login('user', 'pass') response = low_priv_session.get('/admin/dashboard') assert 'Access Denied' in response.text