金融行业信息安全培训课程（三）: 越权访问漏洞详解-文末考试

原创

H
H

401 Unauthorized

2026年7月1日 18:10
安徽

在小说阅读器读本章

去阅读

写在前面

如果说注入漏洞是\"从数据库偷数据\"，认证漏洞是\"偷钥匙进屋\"，那么越权漏洞就是——你已经拿到钥匙进了屋，但你本应该只能进客厅，结果发现卧室、书房、甚至楼上邻居家的门你都能打开。在银行业务系统中，越权漏洞是最常见、最高发、却最容易被忽视的漏洞类型。它不需要高超的技术手段，往往只需要修改一个 URL 参数、一个请求里的用户 ID，就能看到别人的账户、别人的交易、别人的贷款审批信息。本文将从一张银行存单的比喻入手，带你理解越权的本质，再逐一拆解银行业务中每一类越权漏洞的成因、场景和防御方案。

一、越权访问漏洞到底是什么？

1.1 一个比喻帮你彻底理解越权

你去银行柜台，想查一下自己的账户余额。柜员问了你的名字，然后就去后台查了。但你突然说：\"诶，顺便帮我也看看隔壁老王的账户余额呗？\"——如果柜员不核实你和老王的关系，直接就把老王的账户信息给你了，这就是越权。

在技术世界里，\"柜员\"就是后端服务器，\"账户编号\"就是请求里的参数。如果服务器收到\"查询账户编号=138\"的请求时，不验证\"当前用户是否有权访问账户138\"，仅凭账户编号就返回数据，任何人都可以随意修改这个编号来查看他人的信息。

越权漏洞的核心本质：服务端没有校验\"当前操作者\"对\"当前操作对象\"的访问权限。

1.2 越权漏洞与其他漏洞的区别

1.3 越权漏洞的三大类型

二、水平越权（平行越权）详解

2.1 什么是水平越权

同一角色、同一权限等级的 A 和 B 两个用户，A 能访问 B 的私有数据——这就是水平越权。

场景化理解：

你和同事都住同一栋公寓楼，每人有自己的房间钥匙。你的钥匙本应该只能开你的门。但如果你发现你的钥匙居然能打开同事的房门——这就是水平越权。在银行系统里，\"钥匙\"就是你登录后的身份凭证，\"房门\"就是别人的账户数据。

2.2 水平越权的技术根源

银行系统中最典型的越权代码模式：

❌ 危险的写法：

-- 前端请求：GET /api/account/detail?accountId=138 -- 后端直接执行： SELECT * FROM accounts WHERE account_id = 138 -- ❌ 没有任何用户归属校验！任何人改 accountId 就能查任何账户

✅ 安全的写法：

-- 前端请求：GET /api/account/detail?accountId=138 -- 后端先验证归属，再查询： SELECT * FROM accounts  WHERE account_id = 138    AND user_id = CURRENT_USER_ID()  -- ✅ 加上了归属条件

核心问题就一句话：查询条件里有没有加上\"当前用户\"的限制？

2.3 银行业务中水平越权的六大高发场景

2.4 水平越权攻击链路演示

以查看他人账户余额为例，一个完整的攻击链路：

攻击者只需要写一个简单的脚本，从 10001 遍历到 99999，就能批量获取所有用户的账户信息。一个接口 + 一个循环 = 一次数据泄露事故。

三、垂直越权（权限提升）详解

3.1 什么是垂直越权

低权限用户（如普通用户、普通柜员）能够执行高权限用户（如管理员、审批人）才能执行的操作。本质是权限校验缺失或可绕过。

场景化理解：

公司办公楼有门禁系统。普通员工的门禁卡只能开 1-3 楼的办公室，高管的卡能开所有楼层包括机房。但如果一个普通员工发现，只要把电梯按钮\"用力按两下\"就能直接到机房——这就是垂直越权。门禁系统看起来有，但存在绕过方式。

3.2 银行业务中垂直越权的五种典型表现

3.3 垂直越权攻击链路演示

以普通用户绕过审批直接放款为例：

四、未授权访问详解

4.1 什么是未授权访问

不需要任何身份凭证（不需要登录），直接通过 URL 就能访问本应受保护的页面或接口。这是越权的最极端形式——权限校验被完全跳过。

场景化理解：

银行后台管理系统通常需要用户名+密码+U盾才能登录。但如果有人发现，在浏览器直接输入 https://bank.com/admin/dashboard 就能直接进入后台——不需要登录——这就是未授权访问。

4.2 银行业务中未授权访问的高发位置

4.3 一个典型的未授权访问攻击链路

五、越权漏洞在银行业务系统中的高发功能点

本节将所有越权漏洞类型与银行真实业务模块做一一对应，帮助业务人员快速定位自己负责的系统是否存在风险。

5.1 按业务模块分类

用户认证与账户管理模块

支付转账与资金清算模块

信贷审批与账务核算模块

积分权益与营销活动模块

内部管理与后台运维模块

第三方合作与开放接口模块

5.2 按请求参数特征快速识别越权风险

六、如何判断业务系统是否存在越权漏洞

6.1 黑盒测试方法

水平越权测试

垂直越权测试

未授权访问测试

6.2 白盒代码审计方法

六步代码审计法

代码审计检查清单

6.3 越权漏洞的典型 HTTP 响应特征

七、越权漏洞的防御方法

7.1 核心防御原则：三层校验模型

三层缺一不可。每一层都必须独立校验，不能依赖上一层已经校验过就跳过。

7.2 水平越权防御方案

方案一：查询条件强制绑定当前用户（推荐）

✅ 正确模式：  // 用户查询自己的账户 @GetMapping(\"/api/account/{accountId}\") public Account getAccount(@PathVariable Long accountId) {     // 从 Token/Session 中获取当前登录用户     Long currentUserId = SecurityContext.getCurrentUserId();     // 查询时必须带上当前用户 ID 作为条件     return accountService.findByAccountIdAndUserId(accountId, currentUserId);     // ✅ 即使前端传了他人的 accountId，由于不匹配 currentUserId，     //    查询不到任何数据，自然无法越权 }

方案二：统一数据权限过滤器（高级）

使用 AOP 切面或 MyBatis 拦截器，自动为所有查询追加归属条件：

7.3 垂直越权防御方案

方案一：基于角色的接口权限控制（RBAC）

✅ 正确的权限模型：  @RestController @RequestMapping(\"/api/admin\") public class AdminController {      // 只有 ADMIN 角色可以调用     @PreAuthorize(\"hasRole('ADMIN')\")     @PostMapping(\"/approveLoan\")     public Result approveLoan(@RequestBody ApprovalRequest req) {         // ...     }      // 只有 ADMIN 或 APPROVER 角色可以查看     @PreAuthorize(\"hasAnyRole('ADMIN', 'APPROVER')\")     @GetMapping(\"/applications\")     public List listApplications() {         // ...     } }

关键要求： 权限判断必须在服务端完成。前端隐藏菜单只是 UI 层的便利，不能作为安全控制手段。

方案二：权限判断规则

7.4 未授权访问防御方案

7.5 防御架构总览图

八、银行业务人员自查清单

8.1 开发人员自查清单

8.2 测试人员自查清单

8.3 运维/安全人员自查清单

九、总结

扫码参与考试

下篇预告： 模块四将讲解 跨站脚本（XSS）与跨站请求伪造（CSRF） 漏洞。这两种漏洞虽然不直接攻击数据库，但可以劫持用户的浏览器、冒用用户身份发起操作，在银行支付、转账等场景中危害极大。