WebSocket协议漏洞02_IDOR越权与DoS拒绝服务实战

导语：上篇拆了握手那一刻的八大致命风险，这篇聊握手之后。WebSocket 一旦升级成功，后续每条消息帧都是红队的游乐园——聊天/通知里的 IDOR 越权读写，能让 A 看见 B 的私信；连接洪泛 DoS 能把网关内存打满。本文基于 harsh-bothra/learn365 day14 实战清单展开。

一、IDOR 越权：换个 sid 就把别人私信翻出来

WebSocket 通道一旦建立，服务端靠”业务参数”识别”你是谁、要看哪条消息”。这些参数往往写在帧 payload 的 JSON 里，和 HTTP 参数一样可改——这就是 WebSocket 版的 IDOR（Insecure Direct Object Reference，不安全直接对象引用）。

1.1 测试步骤

harsh-bothra 给的红队清单非常直接，落到 Burp 里就是这套动作：

浏览器里打开应用，登录攻击者账号 A，找到 WebSocket 通信端点。
在 Burp Suite 拦截 WebSocket 消息（Burp 1.6+ 已原生支持 WS 拦截和修改）。
在消息帧里翻 payload，找形如 "sid": "用户A的ID"、"uuid": "..."、"role": "user"、"orderId": "10086" 之类的字段——任何能唯一定位一个实体/对象的参数都是目标。
把这个字段值改成目标受害者 B 的 ID，重放帧。
看 A 的客户端有没有收到”按理只该 B 收到”的消息——收到就是 IDOR。

1.2 真实攻击链：聊天室的 sid 越权

原文给的典型场景：聊天应用里，攻击者给受害者发一条消息。帧里带 "sid": ""。改成受害者的 sid 重放——A 的客户端收到”来自 B 的消息”，但 B 啥也没干。这就是经典的 IDOR。

更狠的还有：

读取类越权：帧里带 "orderId": "1001"，改成 1002、1003 顺序遍历，把别人的订单详情全部拉下来。
写类越权：金融场景里把 "accountId": "self" 改成 "accountId": "victim"，转账消息照常发出。
角色提升：帧里 "role": "user" 改成 "role": "admin"，后台可能就直接放行管理操作。
跨租户越权：SaaS 多租户系统里 "tenantId": "tnt_A" 改成 "tnt_B"，直接读别人租户的数据。

1.3 和 HTTP IDOR 一样套路

所有 HTTP 工作流里 IDOR 的检查项，全部用一遍就行：

水平越权：同权限用户之间 ID 互换。
垂直越权：低权限 ID 改高权限 ID。
遍历枚举：自增 ID 顺序遍历。
UUID 类：UUID v1 可推断时间戳，v4 也可能被泄露泄露的会话表反查。
加密 token 类：JWT/session ID 改成别人的。

工具配合：

工具	用途
Burp Suite	WS 拦截 + 修改 + 重放
WebSocket Turbo Intruder	高速批量重放帧
mitmproxy + WS 插件	命令行抓包改包
wsfuzzer / WS-Attacker	协议级模糊测试

二、DoS 拒绝服务：把网关内存打到 OOM

WebSocket 设计上是长连接，服务端要为每个连接分配 fd、内存、状态机资源。攻击者只要能批量起连接，就能把服务端资源吃满。

2.1 连接洪泛

原文里第一条：”WS allows any number of connections to the target server.”

这就是连接洪泛的根因。攻击者开一台机器，挂上万条空闲长连接，服务端就得上万份 socket buffer + 状态表。Web 应用网关常见连接上限在 1k-10k，几秒就能打满。

实测套路：

# 用 Python 一行起 5000 个空闲 WS 连接
python3 -c "
import asyncio, websockets
async def hold():
    while True:
        try:
            async with websockets.connect('wss://target/chat') as ws:
                await ws.recv()  # 阻塞等消息
        except: pass
async def main():
    await asyncio.gather(*[hold() for _ in range(5000)])
asyncio.run(main())
"

或用现成工具：