某小程序多处越权查询

点击蓝字，关注我们

某小程序多处越权查询

正常进入小程序，在我的-本月家庭成长值查询时，发现以下数据包

修改familyId，可以查看他人成长值

思考，既然这里存在越权，那其他地方是不是也有可能存在越权？！

寻找其他功能点试试

看到一处查询，数据包如下：

修改childId，发现也可以返回别人的内容

很不错，果然有其他功能点的越权，继续翻找，发现低碳家庭查询处也存在越权

修改beAuthUserId，可返回别人的明细

免责声明：

本公众号所分享内容仅用于网络安全技术讨论，切勿用于违法途径，所有渗透测试都需获取授权，违者后果自行承担，与本号及作者无关，请谨记守法。