security - 评估在查询字符串中暴露行身份的安全风险

Question

暴露 SQL 行的 ID 号是否存在安全风险？

例如，有一个 ID 为 12 的事件。

如果有人通过 http://example.com/events/12 访问它，或者有人向 http://example.com/events 发送 POST，是否存在安全问题/12 为了更新该记录(当然假设我允许这样做)？

Answer 1

在网络安全上下文中，向用户公开 ID 的问题通常被称为“不安全的直接对象引用”。

来自OWASP :

防止不安全的直接对象引用需要选择一种方法来保护每个用户可访问的对象(例如对象编号、文件名):

1. 使用每个用户或 session 的间接对象引用。这可以防止攻击者直接针对未经授权的资源。为了例如，不使用资源的数据库键，而是使用下拉菜单为当前用户授权的六种资源列表可以使用数字 1 到 6 指示用户选择的值。这应用程序必须将每个用户的间接引用映射回服务器上的实际数据库 key 。 OWASP 的 ESAPI 包括两者开发人员可以使用的顺序和随机访问引用图消除直接对象引用。
2. 检查访问权限。每次使用来自一个的直接对象引用不受信任的来源必须包括访问控制检查以确保用户被授权使用所请求的对象。

深度防御方法是同时执行 1 和 2。