越权学习笔记

后台开发时没有，对在管理员权限上对用户进行判断，导致普通用户可以对其他用户行使管理员权限 水平越权 （访问控制攻击漏洞） Web应用程序在接收到用户的请求时，没有判断数据所对应的用户，或者在判断数据的用户时是通过从用户表单参数中获取userid来实现的,那么我们可以通过修改userid来实现水平越权 例： 1.先注册两个账号 账号1：（密码为ok） 账号2：（密码为okk） 2.抓第一个账号的包，

>>阅读原文<<