Autorize是一个旨在帮助渗透测试人员检测授权漏洞的扩展，这是Web应用程序渗透测试中比较耗时的任务之一；

将低权限用户的cookie提供给扩展程序并使用高权限用户浏览网站就足够了，该扩展会自动重复每一个请求与低权限用户的会话并检测授权漏洞；

除了授权漏洞之外，还可以在没有任何cookie的情况下重复每一个请求，以检测身份验证漏洞；

该插件无需任何配置即可工作，但也是高度可定制的，允许配置授权执行条件的粒度以及插件必须测试那些请求，那些不需要，可以保存插件的状态并以HTML或CSV格式导出授权测试报告；

报告的执行状态如下：

  • 绕过！-红色

  • 强制执行！-绿色

  • 强制执行？？？(请配置强制检测器) -黄色

4.1、安装

1）首先我们需要下载Jython Standalone：https://www.jython.org/download

我们需要选择红框里面的进行下载：

2）配置如下：

3）我们配置好之后，接着安装!

4.2、使用(pikachu为例)

1）获取低权限的cookie，我们在垂直越权的目录，首先获取低权限用户的cookie；

2）接着我们去访问高权限的账号，这里需要注意，先打开插件的开关，然后再去访问高权限的账号；

3）接着就会出现结果；

左边一列 红色代表存在越权可能；

右边一列 红色代表存在未授权访问可能；

接着点击 三代表响应长度的数字，在右侧查看具体响应；

如果是 响应中 包含敏感数据，或者一些增删改的post请求，就可以报bug了；