挖洞思路——平衡越权

前言

       目前博主处于新手小白阶段，虽然做了一定数量的题目，但是面对网站实战还是有很多需要学习的。对实战挖洞还是缺少经验，写这一系列博客的初衷是为了通过记录与总结看过的实战视频，博客思路，或者自己的一些灵感来了的奇思妙想，积累经验形成自己的武器库，过度这个阶段。

水平越权

       通过水平越权实现修改或删除同等权限等级其他用户的数据信息。

测试方法

       申请两个用户，如test3和test4

       通过burpsuite工具抓取test4的信息并且记录下来，然后抓取test3用户的信息，并将记录下来的test4信息修改test3的信息。

实战思路

       先在test3账户上查看信息

        用bp抓包，并且记录id，姓名，地址等信息，test3的id为6

打开test4账户信息

可以看到test4的id为7

将id=7改为id=6（这样就是把test4的信息都修改都test3那里去了）

登录test3的账号，发现部分信息已经修改（名字，地址）