在本文中，我们将讨论一些新兴的攻击媒介，它们可能会对Web应用程序的安全性产生巨大影响。我们将介绍攻击向量简介，不安全的直接对象引用，相对路径覆盖，目录暴力破解。让我们一一讨论。
攻击向量：
- 攻击媒介基本上是黑客或安全分析人员用来侵入目标应用程序以进行某种恶意使用或检查应用程序安全性的方法。
- 每个道德黑客都有自己独特的攻击媒介来检查目标应用程序的安全性，该应用程序可能会成为Web应用程序或android应用程序，但在本文中，我们主要关注Web应用程序。
- 在本文中，您可以了解一些新兴的攻击媒介及其影响。当且仅当您具有检查其安全功能的合法许可时，才可以在应用程序上使用任何攻击媒介。未经应用程序所有者的许可，请勿在应用程序上应用任何攻击媒介，未经法律许可而侵入应用程序是完全违法的。
不安全的直接对象参考：
- 不安全的直接对象引用通常称为IDOR ，它基本上是基于权限的漏洞，它使攻击者可以修改或访问属于应用程序其他用户的资源。
- IDOR漏洞背后的基本概念是应用程序的端点尝试授予访问权限以修改和访问用户数据，数据可能包含图像，地址，文件，并且在某些情况下主要包含用户名和密码。
- 如今，IDOR成为Web应用程序的常见和新兴攻击媒介，因为IDOR漏洞是访问权限，并且与权限相关的问题无法自动修复或默认情况下解决，因为Web应用程序中的权限因用户而异。
- 例如，在任何应用程序上，普通用户和主要用户具有不同的访问权限，普通用户和管理员具有对数据修改的不同权限。
- 基本上 此类漏洞无处不在，事实上，它是如此普遍，以至于大多数Web应用程序都受到此漏洞的影响。
相对路径覆盖：
- 安全研究员Gareth Heyes发现了新的攻击媒介，即相对路径覆盖(RPO)。 RPO利用浏览器的方式在将CSS文件导入DOM(文档对象模型)时解释相对路径，因此这种攻击也称为路径相对样式表导入(PRSSI)。
Relative Path -
Absolute Path -
- 例子 –
例如，如果文档是从https://example.com / database加载的，则CSS是从相对路径https://example.com /database/xyz.css加载的。如果网站具有URL：https://example.com /index.html，并且它们链接 html文件中的路径。在这种情况下，如果我们访问https://example.com /index.html此URL，则网站可以通过给定路径导入其CSS文件，但是如果攻击者将URL更改为https://example.com /index.htm/random/payload由于服务器端编程语言和Web框架具有灵活的特性，因此它也可以工作，但是这次CSS不会从html文件中给出的路径中加载。并且通过在易受攻击的端点处添加有效负载，攻击者可以控制Web应用程序的CSS。
目录暴力破解：
- 这是一种非常流行且简单的攻击媒介，大多数有道德的黑客都使用此媒介在Web应用程序中查找隐藏的敏感目录。可以使用各种自动化工具来测试此攻击媒介。
- 很多时候，开发人员忘记隐藏敏感文件和目录，例如包含数据库用户名，密码，网站源代码等的文件，由于此信息可能会在特定端点泄漏，并且通过强行强制目录攻击可能会找到隐藏的数据和敏感文件Web应用程序的信息。
- 作为开发人员，良好的做法是将所有敏感目录都对用户隐藏。