概述
水平越权
水平越权，顾名思义我们理解的就是对于后台来说账号A和账号B都是一样大的权限，比如A和B都是某网站的会员
测试的时候我们可以先登录账号A，比如查看个人资料。这个时候我们把A的标识换成B的看能否看到B的个人资料
这种标识可以直接在url里面进行修改，也可以抓包修改里面的标识参数
比如这里我们在url里面进行修改
垂直越权
垂直越权，看名字我们都知道这个是低权限的用户去执行高权限用户的操作
测试中我们有一个管理员admin和一个普通的会员A
登录admin的时候我们看到他有添加用户的权限，但是普通会员A没有此权限，他只有查看一共有多少用户的权限
这个时候我们首先登录A记录他的cookie
然后我们登录admin执行添加用户yyy的操作 抓包 这个时候把admin的cookie替换成A的cookie
回显执行成功
这个时候我们就会发现本来普通会员A没有添加用户的权限，现在有了，这就是垂直越权