pentest-authentication-authorization-review

身份认证与授权审查

适用场景

• 主要问题涉及会话重放、令牌生命周期、多因素认证行为、账户接管、租户隔离或身份边界验证。
• 任务需要针对对象、功能或工作流授权进行成对角色测试。
• 下一步需要区分身份认证失败与授权失败。

移交标准

• 若需深入测试 IDOR、BOLA、BFLA、RBAC 或所有权测试矩阵，请移交给 pentest-advanced-access-control-auditor。
• 当解析器行为或请求修改成为主要阻碍时，请移交给 pentest-input-protocol-manipulation。
• 完成实时验证后，请移交给 pentest-evidence-structuring-report-synthesis。

输出模式

• 访问控制矩阵：actor、resource、action、expected、observed
• 会话／令牌生命周期发现：issued、replayed、revoked、result
• 已确认的边界突破及攻击者能力说明

指令

1. 测试前定义身份角色和预期权限。
2. 通过成对角色对比，验证水平和垂直边界。
3. 跨接口和时间窗口测试会话及令牌失效情况。
4. 在对象、功能和工作流层面确认授权。
5. 在输出中区分身份认证弱点与授权弱点。
6. 仅将已确认的边界失效升级为漏洞利用链。

验证关卡

• 使用明确的角色到操作测试用例。
• 收集控制路径获准和被拒绝时的完整证据。
• 验证撤销行为，而不仅是签发行为。
• 不要仅凭 UI 行为推断访问控制问题。
• 不要将数据缺失与访问被拒绝混为一谈。
• 只有在有确定性证据证明边界被突破时，才标记为权限提升。

情境感知

• 使用其他角色、对象、方法或接口，交叉验证影响重大的授权声明。
• 分别追踪已确认、已否决和未知的角色／操作组合。