Imported from zhanglimao/Abyss (skills/broken-access-control/SKILL.md). Install upstream with npx skills add zhanglimao/Abyss --skill broken-access-control. Copyright stays with the author.

Broken Access Control（访问控制失效）渗透测试技能

简介

访问控制失效（Broken Access Control）是 OWASP Top 10:2025 排名第 1 的安全风险。当应用程序的权限验证机制存在缺陷时，攻击者可以未经授权访问敏感信息、修改数据或执行特权操作。

本技能提供系统性的方法论，指导渗透测试人员发现和利用访问控制漏洞，包括 IDOR、强制浏览、权限提升、JWT 篡改等攻击技术。

方法论映射表

1. 渗透过程中遇到什么情况该参考哪个方法论

2. 遇到什么样的业务系统、软件环境、基础设施该参考哪个方法论

3. 遇到什么样的问题该参考哪个方法论

4. 渗透测试决策流程图

                                    ┌─────────────────┐
                                    │   开始渗透测试   │
                                    └────────┬────────┘
                                             │
                                             ▼
                                    ┌─────────────────┐
                                    │   信息收集阶段   │
                                    │  - 识别认证机制  │
                                    │  - 绘制权限矩阵  │
                                    │  - 枚举 API 端点  │
                                    └────────┬────────┘
                                             │
                    ┌────────────────────────┼────────────────────────┐
                    │                        │                        │
                    ▼                        ▼                        ▼
          ┌─────────────────┐      ┌─────────────────┐      ┌─────────────────┐
          │  发现 ID 参数     │      │  发现管理功能   │      │  发现 API 接口   │
          └────────┬────────┘      └────────┬────────┘      └────────┬────────┘
                   │                        │                        │
                   ▼                        ▼                        ▼
          ┌─────────────────┐      ┌─────────────────┐      ┌─────────────────┐
          │  ref/idor-      │      │  ref/force-    │      │  ref/api-       │
          │  detection-     │      │  browsing-     │      │  unauthorized-  │
          │  exploitation.md│      │  attack.md     │      │  access.md     │
          └─────────────────┘      └─────────────────┘      └─────────────────┘

5. 攻击技术思维导图

访问控制失效攻击技术
├── 对象引用攻击
│   ├── IDOR（不安全直接对象引用）
│   ├── 可预测资源标识符
│   └── UUID 枚举攻击
├── 强制浏览攻击
│   ├── 目录/文件枚举
│   ├── 隐藏功能发现
│   └── 备份文件探测
├── 权限提升攻击
│   ├── 水平权限提升（同级别）
│   ├── 垂直权限提升（跨级别）
│   └── 上下文权限提升
├── 令牌攻击
│   ├── JWT 篡改
│   ├── Cookie 修改
│   ├── 会话固定
│   └── 令牌重放
├── API 攻击
│   ├── 未授权 API 访问
│   ├── HTTP 方法绕过
│   └── 参数污染
└── 配置攻击
    ├── CORS 配置错误
    ├── CSRF 防护缺失
    └── 缓存敏感数据

6. 方法论引用清单

7. WordPress 特定访问控制攻击场景

8. Python/FastAPI 应用特定访问控制攻击场景

使用指南

快速开始

1. 确定测试范围 - 识别目标应用的认证机制和权限模型
2. 选择方法论 - 根据上表选择对应的测试方法论
3. 执行测试 - 按照方法论文档中的步骤进行系统化测试
4. 记录结果 - 记录发现的漏洞和利用路径

技能关联

• 与 pt-authentication-failures 技能配合使用，全面测试认证授权体系
• 与 pt-injection 技能配合，在获取权限后深入利用
• 与 pt-security-misconfiguration 技能配合，发现配置相关的访问控制问题

参考资源

OWASP 官方资源

CWE 参考

第三方资源