无法理解却又很简单的越权

声明：请勿利用文章内的相关技术从事非法测试，如因此产生的一切不良后果与文章作者和本公众号无关。

0x01 0到1的越权取消订单

    这次的项目是某打车平台SRC，尽管越权问题很简单，但其实现逻辑令人难以理解。接下来，我们开始详细说明。

   首先需要注册司机并进行实名认证，然后以司机的身份登录，此时便可以看到平台上用户发布的订单。接着，通过抓包，随机选择一个用户订单号进行获取。

此时订单行程还是在线的。

    为了测试越权问题，我们需要获取乘客取消订单的数据包。为此，我们需要通过切换身份为乘客，发布行程订单，然后立即取消订单，以此获取订单取消的数据包数据。

    在成功获取数据包后，我们替换之前选定的订单号进行取消操作，但提示出现参数错误。事实上，取消订单是由三个部分构成的：auto、route_id、user_cid。其中，已知的是user_cid是用户身份ID，不能进行篡改；而route_id则是订单号，如果修改其他用户的订单号，取消操作将会失败。另外，auto这个参数的具体意义并不清楚。

    在这种情况下，我相信大多数人都不会认为存在越权漏洞。起初我也这样认为，在测试了几次之后，我决定尝试将auto=0改为1，看看是否会有越权。

取消成功！

再去看看司机端的订单详情

行程已取消，喜提越权并获取平台800奖励。

原文始发于微信公众号（安全无界）：无法理解却又很简单的越权