Web安全漏洞分析与实践案例.pdfVIP

NTDCODESECDAY05

1.垂直越权实践

2.支付案例

1垂直越权实践

1.1问题

基于pikachu靶场的垂直越权

1.2步骤

步骤一：垂直越权

1）确认用户信息

有两个用户：超级管理员admin，123456；普通用户:Pikachu,000000。登录界面如

图-1所示，使用管理员用户登录。

图-1

2）登录后，可以看到admin用户有两个用户管理功能分别是：查看用户列表和添加用户，如

Top

图-2所示。

图-2

3）启动及使用浏览器

打开BurpSuite工具，执行添加用户功能。添加用户功能的数据包在BurpSuite工具中被记录下

来，如图-3所示。

图-3

4）