文章出處
說實話這個地方真的有點奇葩。
1、注冊賬號，登錄：
2、任意選擇一個商品，一直進入到訂單確認處：
3、越權點出現，點擊添加新地址：
4、填寫信息，點擊『確認』：
5、這時再次點擊『編輯』，點擊『確認』，抓包：
6、去掉『id』與『&_form_token』之間的所有值，并修改id為任意值：
7、點擊forward：
用戶姓名、電話、住址就這樣出現了
遍歷下，就可以把所有的用戶信息全部出來！
解決方案：
控制用戶權限，而不僅僅是增加個token。
就愛閱讀www.92to.com網友整理上傳,為您提供最全的知識大全,期待您的分享，轉載請注明出處。
歡迎轉載：http://www.kanwencang.com/bangong/20161102/33294.html
文章列表
全站熱搜
留言列表
