一、越權漏洞概述
1.1 概述
由于沒有用戶權限進行嚴格的判斷，導致低權限的賬戶（例如普通用戶）可以去完成高權限賬戶（例如管理員賬戶）范圍內的操作，
1.2 越權漏洞的分類
（1）平行越權
A用戶和B用戶屬于同一級別的用戶，但是各自不能操作對方的個人資訊，A用戶如果想越權操作B用戶的個人資訊的情況成為平行越權操作，
（2）垂直越權
A用戶權限高于B用戶，如果B用戶操作A用戶的權限的情況就是垂直越權，
1.3 越權漏洞的性質
越權漏洞屬于邏輯漏洞，是由于權限校驗的邏輯不夠嚴謹導致，每個應用系統的用戶對應的權限是根據其業務功能劃分的，而每一個企業的業務又都是不一樣的，因此越權漏洞很難通過掃描工具發現出來，往往需要通過手動進行測驗，
二、常見越權漏洞演示：平行越權
1、我們來到pikachu平臺對應的"平行越權"模塊，
2、觀察出現的頁面，
3、接下來我們嘗試越權，
4、觀察出現的頁面，
5、那么是什么原因造成的水平越權呢？我們來看一下代碼！
三、常見越權漏洞演示：垂直越權
1、我們來到pikachu平臺的垂直越權模塊，
2、觀察出現的頁面，
3、打開burp suite，開啟瀏覽器代理，做如下的操作，
4、做如下的操作，
5、緊接著用我們的普通用戶進行登陸，
6、來到burp suite，做如下的操作，
7、那么垂直越權漏洞又是怎么造成的，我們來看一下代碼，
我們來看一下驗證登陸的函式，
轉載請註明出處，本文鏈接：https://www.uj5u.com/qita/43334.html
標籤：其他