平行越权
攻击者请求操作(增、删、查、改) 某条数据时，Web 应用程序没有判断该数据的所属人，或者在判断数据所属人时直接从用户提交的表单参数中获取(如用户ID)，导致攻击者可以自行修改参数(用户ID)，操作不属于自己的数据，如图 所示。
某高校教务系统用户可越权查看其他用户个人信息
某高校教务系统存在平行越权漏洞。通过测试发现，学号有规律可循，学号后4位是连续的数字，普通用户登录系统后可越权查看其他学生的学籍信息、课程成绩等敏感信
。步骤一:以“高某某”学号为12xxxx0031为例，登录教务系统，并查看该账号的学籍信物查看学籍信息链接为http: //host/search.do? m=xsx&xh=12Sxxx0031，如图 所
步骤二:访问学号为 12Sxxx0032 的学生的学籍信息，链接为 http: //host/search.do?
m=xsx&xh=12Sxxx0032，如图 所示。
步骤三:访问学号为 12Sxxx0033 的学生的学籍信息，链接为 http: //host/sear