越权漏洞原理及水平越权案例演示

1.打开皮卡丘

2.输入账号和密码：lucy/123456

3.修改`http://127.0.0.1/pikachu/vul/overpermission/op1/op1_mem.php?username=lucy&submit=%E7%82%B9%E5%87%BB%E6%9F%A5%E7%9C%8B%E4%B8%AA%E4%BA%BA%E4%BF%A1%E6%81%AF

将Lucy换成lili,查询

越权漏洞，在lucy的登陆台下面可以查看到其他人的信息
4.查看代码
这个是有问题的，因为这个页面是你登陆它的页面，也就是说只有登陆的人才能看到，并且从逻辑上来说，，当前登陆的人只能看自己的信息，不能看别人的信息，所以说，当你点击查询个人信息的时候，你的后台除了获取用户名以外，你还需要判断对应这个请求是不是lucy发过来的，也就是说你需要把用户信息跟当前登陆的用户信息进行一个对比。