越权

越权

越权访问 ，这类漏洞是指应用在检查授权存在纰漏，使得攻击者在获得低权限用户账号后，可以利用一些方式绕过权限检查，访问或操作带原本无权访问的高权限功能。在实际的代码安全审查中，这诶漏洞往往很难通过工具进行自动化检测，因此在实际应用中危害很大，其与未授权访问有一定差别。目前存在两种越权操作的类型，水平越权和垂直越权。

越权一般分为水平越权和垂直越权。
水平越权指的是相同权限下不同用户可以互相影响
A用户的操作可以影响B用户
垂直越权是指权限低的用户可以访问权限高的用户
A用户有管理员权限

---

水平越权测试方式主要是看看能否通过A用户操作影响B用户
垂直越权的测试思虑就是低权限用户越权使用高权限用户的功能
————————————————————————————

越权测试
登录A用户 ，正常更改或者是查看A用户信息，然后捉取数据包
，将传参ID修改为其他用户，如果成功查看或者修改了同权限
其他用户的信息就属于水平越权测试。如果可以影响高用户权限就是垂直越权。
——————————————————————————————
常见的平行越权（不需要输入原密码的修改密码，捉包改用户名或者用户ID修改他人密码修改资料的时候修改用户ID）
查看订单的时候，遍历订单ID等

可以修改的请求包
get
post
cookie