使用 REST API 配置損壞的存取控制測試
當應用程式未正確強制執行對經過身份驗證的使用者允許執行之操作的限制時，就會發生損壞的存取控制。攻擊者可以利用這些漏洞獲得對敏感資料或功能的未經授權的存取。
開始之前
在配置損壞的存取控制測試之前，請確定您符合以下需求：
- 處於非「執行中」或「已完成」狀態的現有 DASTConfig 工作。
- 您要測試之角色的基準流量檔案。支援的檔案格式：
.har、.seqe、.exd和.dast.config（涵蓋由 Activity Recorder 和 Traffic Recorder 產生的 FIPS 和非 FIPS 加密檔案）。 - 與基準流量檔案 URL 完全相符的目標 URL。
- 每個角色不超過 200 MB 的檔案大小。
註：
標準
.scan 檔案不支援此功能。執行這項作業的原因和時機
此測試識別兩個主要情境：
- 垂直存取控制：較低權限的使用者存取保留給較高權限使用者使用的功能或資料 （例如，標準使用者存取管理儀表板）。
- 水平存取控制：使用者存取屬於具有相同權限等級之另一個使用者的資料 （例如，使用者 A 檢視使用者 B 的私人帳戶詳細資訊）。
為了防止在公開頁面（無需身份驗證即可存取的頁面）上出現誤判， AppScan Enterprise 使用增量機制。它將經過身份驗證的使用者流量與未經身份驗證的使用者基準進行比較。如果頁面可供未經身份驗證的使用者存取， 則它充當排除清單，並且不會被標記為損壞的存取控制漏洞。