审计7 水平越权

<?php
include_once('../sys/config.php');
if (isset($_POST['submit']) && !empty($_POST['username']) ) {

    if (strlen($_POST['username'])>16) {
        $_SESSION['error_info'] = '用户名過長（用戶名長度<=16）';
        header('Location: edit.php');
        exit;
    }

    $clean_username = clean_input($_POST['username']);
    $clean_user_id = clean_input($_POST['id']);
    
    //判断用户名已是否存在
    $query = "SELECT * FROM users WHERE user_name = '$clean_username'";
    $data = mysql_query($query, $conn);
    if (mysql_num_rows($data) == 1) {
        $_SESSION['error_info'] = '用户名已存在';
        header('Location: edit.php');
        exit;
    }
    
    $query = "UPDATE users SET user_name = '$clean_username' WHERE user_id = '$clean_user_id'";
    mysql_query($query, $conn) or die("update error!");
    mysql_close($conn);
    //刷新缓存
    $_SESSION['username'] = $clean_username;
    header('Location: edit.php');
}
else {
    not_find($_SERVER['PHP_SELF']);
}
?>

首先在./user/edit.php中看见名字为

搜索关键字  username 找到  ../sys/config.php  在11行和12行直接把user 和 id 读出来直接赋值带入数据库

而且没有做任何的过滤

在23行$query = "UPDATE users SET user_name = '$clean_username' WHERE user_id = '$clean_user_id'";

发现他直接可以更新用户的用户名，而且用户id可控，也就是说可以修改任意id的用户名，并且查询用户资料。

构造pyload:

首先 需要三个参数   $_POST['submit']    $_POST['username']   $_POST['id']

post 给updateName.php

首先观察到用户  id为10的用户名字为shuaibi

我目前的用户为root   id为8

submit的值可以为任意数，只要设定了就好

构造post参数  越权修改id为10的用户名字

可以发现此时我已经以hankbay的身份登录

查看数据库：

id为10的用户姓名已被我修改。

修复：需要在

user_id = '$clean_user_id'";的地方修改为在ssion里去取，而不是直接post去取