记录黑客技术中优秀的内容, 传播黑客文化,分享黑客技术精华

中粮我买网删除任意用户信息

2013-05-07 13:10

我买网由于水平用户权限问题,可删除任意用户地址信息。

1·用户1 在我的地址簿 新建一个收获地址



同时,关注一下下面的addressId=4473968 ,这个作为被删除的目标。

2·登陆用户2 ,做一个删除地址的请求

可以看到这是个post请求,请求的内容为addressId值

如果直接更改这个post参数,你会发现是不成功的!

3·将此post请求改为GET



将addressid值改一下replay一下吧



看返回是0,,,,,这个就是成功啦,若是1,,,,,那就是有问题滴。

返回用户1 去看刚刚新建的addressId=4473968的地址,已经没有啦

 


修复方案:

这里的地址删除操作是可改成GET请求的,那我们可以遍历id就能把所有的用户地址信息删除了,就是不知道你们这个地址id是不是可遍历,仅测试哦。

知识来源: www.2cto.com/Article/201305/208589.html

阅读:63521 | 评论:0 | 标签:无

想收藏或者和大家分享这篇好文章→复制链接地址

“中粮我买网删除任意用户信息”共有0条留言

发表评论

姓名:

邮箱:

网址:

验证码:

公告

关注公众号hackdig,学习最新黑客技术

推广

工具

标签云