越权漏洞（以fish鲶鱼靶场举例）

发布时间：2024年01月20日

越权漏洞

1、第一处漏洞

编辑权限用户使用超级管理员权限添加用户

首先使用超级管理员创建一个test01具有编辑权限的用户，并登录

然后将管理员用户管理页面后缀如图复制到我们刚刚创建的test01用户

在这里插入图片描述

在这里插入图片描述

回车

在这里插入图片描述

在这里插入图片描述

这就很离谱了，甚至都不用抓包，编辑用户权限直接添加管理员权限

2、第二处漏洞

在使用普通用户登录的时候（这是我刚刚搭建完成时注册的用户）

在这里插入图片描述

这时我把id改成1

在这里插入图片描述

就可以看到只有管理员才能看到的页面

3、第三处漏洞

创建两个账户test01、test02

就是在写文章时抓包，修改id，就可以实现修改别人的文章

文章来源:https://blog.csdn.net/weixin_59047731/article/details/135704229
本文来自互联网用户投稿，该文观点仅代表作者本人，不代表本站立场。本站仅提供信息存储空间服务，不拥有所有权，不承担相关法律责任。
最新文章