水平 / 垂直 / 未授權越權訪問的區別

L水平越權,普通用戶越權訪問普通用戶;垂直越權,普通用戶越權訪問管理用戶;未授權訪問,權限控制不嚴，導致無需登錄訪問已登錄用戶頁面。

水平越權訪問

水平越權訪問是一種“基于數據的訪問控制”設計缺陷引起的漏洞。由于服務器端在接收到請求數據進行操作時沒有判斷數據的所屬人/所屬部門而導致的越權數據訪問漏洞。

假設用戶A和用戶B屬于同一角色，擁有相同的權限等級，他們能獲取自己的私有數據（數據A和數據B），但如果系統只驗證了能訪問數據的角色，而沒有對數據做細分或者校驗，導致用戶A能訪問到用戶B的數據（數據B），那么用戶A訪問數據B的這種行為就叫做水平越權訪問。

垂直越權訪問

垂直越權是一種“基于URL的訪問控制”設計缺陷引起的漏洞，又叫做權限提升攻擊。

由于后臺應用沒有做權限控制，或僅僅在菜單、按鈕上做了權限控制，導致惡意用戶只要猜測其他管理頁面的URL或者敏感的參數信息，就可以訪問或控制其他角色擁有的數據或頁面，達到權限提升的目的。

未授權訪問

未授權訪問，嚴格意義上這個不屬于越權漏洞，但是在日常測試中常常會遇見。即只要輸入正確的網址就可以訪問，例如admin默認是登錄，登錄后跳轉到user.php,然后直接訪問user.php，發現直接有后臺的權限。

就是在沒有任何授權的情況下對需要認證的資源進行訪問以及增刪改查。

區別

1.水平越權,普通用戶越權訪問普通用戶;垂直越權,普通用戶越權訪問管理用戶;未授權訪問,權限控制不嚴，導致無需登錄訪問已登錄用戶頁面。

2.未授權訪問在沒有任何授權的情況下對需要認證的資源進行訪問以及增刪改查。垂直越權通過低權限向高權限跨越形成垂直越權訪問。水平越權同等用戶權限之下，不用進入其他用戶的賬戶也可以對別的用戶資料或者訂單等信息進行增刪改查操作的目的。

回答所涉及的環境：聯想天逸510S、Windows 10。