谈谈水平越权

什么是水平越权

• 是指攻击者尝试访问与当前用户具有相同权限的其他用户资源
• 比如过uid查询用户信息（包括用户手机号、家庭住址等敏感信息），且uid为数据库自增主键。此时攻击者可用自己的uid向下递减或向上递增试探性查询其他用户信息，导致用户信息泄露。
• 我们需要对攻击者的攻击成本进行放大来进行一定程度的防范

解决方案

1. 参数以post方式提交，攻击者需要抓包才能看到参数
2. 关键参数进行加密混淆（主要手段）
   1. 散列算法：MD5，不安全，彩虹表有可能继续破解
   2. 对称加密：AES，通过服务器密钥进行加密解密，长度固定且较长（有点像脱敏）
3. 限制ip、当前uid在单位时间内的请求频次
4. 主要字段，如uid，避免用自增ID生成