程序员征服安全 OWASP API 安全十大风险系列 - 大规模赋值

大规模赋值漏洞的产生，源于许多现代框架鼓励开发者使用自动将客户端输入绑定到代码变量和内部对象的函数。这样做是为了简化代码并加快操作速度。

攻击者可以利用这种机制强制修改本不应由客户端更新的对象属性。这通常会导致业务层面的问题，例如用户为自己添加管理员权限，而非导致网站瘫痪或窃取商业机密。攻击者还必须了解对象之间的关系以及所攻击应用程序的业务逻辑。

然而，这并不会降低大规模赋值漏洞在精明且心怀恶意的用户手中的危险性。

在深入阅读完整指南之前，先来挑战一下我们的游戏化测试，看看你的表现如何：

攻击者如何利用大规模赋值漏洞？

OWASP 提出的场景（经我们稍作修改）假设了一个共享乘车应用程序，其中包含通过大规模赋值绑定到代码对象的不同属性。这些属性包括用户可以更改的权限相关属性，以及仅应由应用程序在内部设置的流程相关属性。两者都使用大规模赋值将属性绑定到对象。

在此场景中，共享乘车应用程序允许用户更新个人资料，这在许多面向用户的应用程序中很常见。这是通过发送到 PUT 的 API 调用完成的，该调用返回以下 JSON 对象：

{"user_name":"SneakySnake", "age":17, "is_admin":false}

由于攻击者（本例中的 SneakySnake 先生）已经摸清了属性与对象之间的关系，他可以重新发送原始请求，用以下字符串更新他的个人资料：

{"user_name":"SneakySnake","age":24,, "is_admin":true}

由于该端点存在大规模赋值漏洞，它将新的输入视为有效。我们的黑客不仅在个人资料中增加了年龄，还为自己分配了管理员权限。

消除大规模赋值漏洞

尽管在某些框架中使用大规模赋值函数很方便，但为了确保 API 安全，应避免这样做。建议解析请求值，而不是将其直接绑定到对象。你也可以使用精简的数据传输对象，它能提供与直接绑定对象几乎相同的便利性，且没有相关风险。

作为额外的预防措施，可以拒绝接收上述示例中管理员权限等敏感属性，确保服务器在 API 调用中永远不会接受它们。更好的做法是默认拒绝所有属性，仅允许用户更新或更改特定的非敏感属性。采取这些措施有助于加固 API，从环境中消除大规模赋值漏洞。

请查看 Secure Code Warrior 博客页面，深入了解此漏洞，以及如何保护您的组织和客户免受其他安全漏洞的侵害。您还可以 申请演示 Secure Code Warrior 培训平台，以保持您的网络安全技能精进且与时俱进。