一、水平越权（只要有改别人的id号就可以看到别人的信息）
原理：如果使用A用户的权限去操作B用户的数据，A的权限小于B的权限，如果能够成功操作，则称之为越权操作。 越权漏洞形成的原因是后台使用了不合理的权限校验规则导致的。
容易出现的地方：一般越权漏洞容易出现在权限页面（需要登录的页面）增、删、改、查的的地方，当用户对权限页面内的信息进行这些操作时，后台需要对当前用户的权限进行校验，看其是否具备操作的权限，从而给出响应，而如果校验的规则过于简单则容易出现越权漏洞。
找到后台地址 找到uid号
实验
点提示给了两个账号
查看个人信息抓包
把名字改成被人的可以看到别人的账户信息
二、垂直越权
需要注意的
1、一般情况下要知道后台登录页面的地址（对方添加账号的链接地址）
2、对方相关信息用户名 后台页面地址
A用户的权限高于B用户，B用户越权操作A用户的权限的情况称为垂直越权
再登录普通用户
没有添加用户的权限
要知道对方的后台登录地址
其次知道对让referer信息 知道对方是从哪个页面来的
把普通用户的cookie信息粘贴到管理员cookie下
可以创建用户 存在垂直越权
在普通用户权限下添加账号，可以添加上
越权产生原理：没有做会话session判断（leve级别l=1）level级别一定要判断，可能在登录页面进行判断，但是登录之后的页面没有判断
三、乌云镜像站漏洞库
https://wooyun.x10sec.org/
