WEB漏洞 逻辑越权之支付数据篡改安全

水平越权是攻击者尝试访问与其权限相同的用户资源。

垂直越权是低权限用户访问高权限用户功能。

测试水平越权的方法是通过A用户操作影响B用户。

案例演示了如何通过burp抓包实现水平越权。

垂直越权测试方法是检查低权限用户是否能使用高权限用户的功能。

管理员可以查看、添加、删除用户，而普通用户只有查看权限。

通过替换PHPSESSID值，普通用户可以成功添加用户，存在垂直越权。

身份认证失效漏洞的案例中，通过抓包获取用户信息。

可以通过遍历用户的card_id值来获取账户信息。