某平台存在全局越权漏洞

正常提交，在A账户下查看刚刚提交的隐私问题：

http://xxx.xxx.net/qcontent.aspx?type=4&id=72083

在账户B下查看自己的问题的时候，替换id=72083为A账户的隐私问题

测试账户B   aaa/ceshi123@

http://xxx.xxx.net/qcontent.aspx?type=4&id=72083

因为这里id是依次递增的，可以简单实现查看所有用户提交的隐私问题，共涉及7W多条数据。影响的范围还是比较广的

06

漏洞危害

漏洞一：可以越权查看7W多隐私问题。

漏洞二：可以产生大量垃圾数据，重复提交到后台，影响正常用户的使用。

07

建议措施

1. 做好权限的控制，当前用户只允许操作自己的业务

2. 后端做验证码的校验，一包一码

PS：本文仅用于技术讨论与分析，严禁用于任何非法用途，违者后果自负。

EDI安全

扫二维码｜关注我们

一个专注渗透实战经验分享的公众号

本文始发于微信公众号（EDI安全）：某平台存在全局越权漏洞