身份认证失效漏洞实战

背景介绍

钻石代理商马春生同学卷款逃跑，多位下级代理内心受到了难以磨灭的伤害，为了找到她我们将通过代理网站获取到她的手机号码等信息。

实训目标

1.了解越权漏洞的相关知识；

2.熟练的使用burp工具获取用户信息；

3.掌握一定的前端知识；

解题方向

越权访问，遍历用户信息

---

首先登陆帐号发现跳转到了一个json接口，id值为一个数字，右键源码可以看到头像名字和id对应，所以找到马春生的照片id替换json的值后就可以得到马春生的密码。