未授权访问,在平时的测试中,应该是比较容易的一个漏洞,只需要通过御剑等等软件来进行扫描,就可能得到一个未授权访问漏洞。
但是,它是什么原因造成的,请听我娓(xia)娓(bi)道(bi)来。
以下所有代码都是我自己写的,可能有不美观,代码错误等等问题,希望大家可以指正。
漏洞讲解
如下,这是一个登陆框,login.php
在平时的测试中,我们往往可以去尝试直接访问某些关键的文件,如果它的验证代码有问题,我们将可以直接访问到正常情况无法访问的内容
这里我们直接访问index.php页面
将直接可以访问到我们只有在登陆情况下,才能访问到的内容
接下来,我们看一下代码是如何写的
PS:在正常的项目中,可能不是这样写的,但是这里为了方便大家理解,就将所有代码都简写了,原理都是一样的
login.php
logins.php