目录
一、越权漏洞介绍
越权漏洞指的是应用在检查授权时存在纰漏，可以让攻击者获得低权限用户账户后，利用一些方式绕过权限检查，可以访问或者操作其他用户或者更高权限，而越权漏洞是属于业务性漏洞，困难在于这类漏洞并不是代码本身存在问题，我们利用一些自动化检测工具很难检测出漏洞，所以我们需要额外关注这类漏洞。
1.越权漏洞的原理
越权漏洞是Web应用程序中一种常见的安全漏洞。它的威胁在于一个账户即可控制全站用户数据。当然这些数据仅限于存在漏洞功能对应的数据。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。
2.越权漏洞的分类
水平越权
这种类型的越权就是越权其他用户，比如说你要查看一篇邮件，但是有越权漏洞，却可以查看其他人的邮件。水平越权导致任意用户敏感信息泄露或者用户信息被恶意修改。
垂直越权
这种类型的越权就是可以在不同身份之间越权，比如你是普通用户，但是可以越权到管理员，甚至超级管理员。管理员和超级管理员能使用的功能就多了。