51CTO设计不当存多处越权 - 网站安全 - 自学php

第一/二处:新建文章区/编辑

 

 

通过修改"classid"的值可以查看 修改其他圈子的信息

例:

 

 

 

第三处:删除文章区

 

"classid"修改为一个存在的值 即可删除

由于这个具有一定破坏性我就不再重现了 漏洞 是存在的

 

第四处:管理文章区

 

 

同理

 

例:

 

 

修复方案：

加强权限验证体系

查看更多关于51CTO设计不当存多处越权 - 网站安全 - 自学php的详细内容...