攻击访问控制

1.一个应用程序可能经过使用HTTP Referer消息头实施访问控制，但它的正常行为并无公开表露这一点。如何检测出这种缺陷？   选择一系列你有权访问的重要应用程序功能。经过提交通过修改的Referer消息头或不带该消息头的请求访问以上每一项功能。若是应用程序拒绝这些请求，则说明它极可能易于受到攻击。而后，尝试经过另外一个不具备相关权限的用户提出相同的请求，但每次提交原始的Referer消息头。

>>阅读原文<<