越权的玩法

只有一个功能点,点击也显示一片空白

查看数据包，发现有个数据包很有撸点

当你将数据包置空，返回了大量用户数据

{"feedbackStartDate":null,"feedbackEndDate":null,"status":"","feedbackErp":"","id":"","handleErp":"","fixStatus":"","pageStart":1,"pageSize":20,"pageTotal":0}

当我修改pagesize参数为200时，返回更多用户信息

将feedbackErp参数中原本自己的用户erp替换为返回数据包中的一个

"feedbackErp":"zhangjing1070"

修改以下数据包

此时返回浏览器查看，数据已经正常显示

可以正常查看和操作

紧接着看到数据包中有个鉴定用户身份参数

"role":"visitor",

"userRole":"visitor",

通过查找js代码，找到其他身份

替换返回包中原本的

"role":"visitor" ->"role":"manager"

"userRole":"visitor" ->"userRole":"manager"

此时你再返回浏览器查看，发现在左边出现很多原本没有的功能点

尝试点击

其实这个还是越权，当我修改了鉴定身份的数据包，浏览器认为我是管理员，然后将一些管理员才能使用的功能点返回了出来，此时这些功能点如果对权限鉴定不够好就可以让一个普通用户也可以调用

原文始发于微信公众号（sec0nd安全）：越权的玩法