审计7 水平越权

 1 <?php
 2 include_once(‘../sys/config.php‘);
 3 if (isset($_POST[‘submit‘]) && !empty($_POST[‘username‘]) ) {
 4
 5     if (strlen($_POST[‘username‘])>16) {
 6         $_SESSION[‘error_info‘] = ‘用户名過長（用戶名長度<=16）‘;
 7         header(‘Location: edit.php‘);
 8         exit;
 9     }
10
11     $clean_username = clean_input($_POST[‘username‘]);
12     $clean_user_id = clean_input($_POST[‘id‘]);
13
14     //判断用户名已是否存在
15     $query = "SELECT * FROM users WHERE user_name = ‘$clean_username‘";
16     $data = mysql_query($query, $conn);
17     if (mysql_num_rows($data) == 1) {
18         $_SESSION[‘error_info‘] = ‘用户名已存在‘;
19         header(‘Location: edit.php‘);
20         exit;
21     }
22
23     $query = "UPDATE users SET user_name = ‘$clean_username‘ WHERE user_id = ‘$clean_user_id‘";
24     mysql_query($query, $conn) or die("update error!");
25     mysql_close($conn);
26     //刷新缓存
27     $_SESSION[‘username‘] = $clean_username;
28     header(‘Location: edit.php‘);
29 }
30 else {
31     not_find($_SERVER[‘PHP_SELF‘]);
32 }
33 ?>

首先在./user/edit.php中看见名字为

搜索关键字  username 找到  ../sys/config.php  在11行和12行直接把user 和 id 读出来直接赋值带入数据库

而且没有做任何的过滤

在23行$query = "UPDATE users SET user_name = ‘$clean_username‘ WHERE user_id = ‘$clean_user_id‘";

发现他直接可以更新用户的用户名，而且用户id可控，也就是说可以修改任意id的用户名，并且查询用户资料。

构造pyload:

首先 需要三个参数   $_POST[‘submit‘]    $_POST[‘username‘]   $_POST[‘id‘]

post 给updateName.php

首先观察到用户  id为10的用户名字为shuaibi

我目前的用户为root   id为8

submit的值可以为任意数，只要设定了就好

构造post参数  越权修改id为10的用户名字

可以发现此时我已经以hankbay的身份登录

查看数据库：

id为10的用户姓名已被我修改。

修复：需要在

user_id = ‘$clean_user_id‘";的地方修改为在ssion里去取，而不是直接post去取