位置:http://dianpu.fang.com/
随意注册帐号进入后台,装修帮后台!
1.店铺公告这里。
注册了两个帐号做测试,账户A随意发布一条店铺公告,得到店铺公告链接
账户B也同样发布一条。 在账户A里面用审查元素把账户B的链接ID替换为自己的店铺公告的链接ID,然后编辑,可以直接编辑账户B的公告内容。
测试中账户A的公告ID为 358848 账户B的公告ID为363721 证明如下图:
1)账户B 发布公告内容:

2)审查元素中把账户B的公告链接ID替换掉账户A的ID

3)点击编辑后显示账户B的公告内容 随意修改后保存

4)到账户B中刷新下,看看是否成功!可以看到已经被修改掉了!

2.发布装修案例这里
1)随意发布一个装修案例,会得到这个装修案例的ID。如下图

2)随便找个ID来看看人家的装修案例如何,我的ID是1571917 我就看了下1571915这个装修案例,店铺名字和区域可以看出都是人家公司的!

3)在我的装修案例中,审查元素把别人的1571915这个ID 替换掉我的1571917 然后编辑


4)保存后 可以发现别人的装修案例就到了我的账户下面,也就是我只要遍历ID就能把所有人的装修案例都借过来使用!... 这种越权方式之前遇到过,很不理解为什么会这样!


3.意见反馈这里
1)目前一共有2064条意见反馈

2)同样对我自己的意见反馈的ID进行遍历


数量不多遍历了一下 如下一小部分
端午了,求多赏几个wb买粽子
位置:http://dianpu.fang.com/
随意注册帐号进入后台,装修帮后台!
1.店铺公告这里。
注册了两个帐号做测试,账户A随意发布一条店铺公告,得到店铺公告链接
账户B也同样发布一条。 在账户A里面用审查元素把账户B的链接ID替换为自己的店铺公告的链接ID,然后编辑,可以直接编辑账户B的公告内容。
测试中账户A的公告ID为 358848 账户B的公告ID为363721 证明如下图:
1)账户B 发布公告内容:

2)审查元素中把账户B的公告链接ID替换掉账户A的ID

3)点击编辑后显示账户B的公告内容 随意修改后保存

4)到账户B中刷新下,看看是否成功!可以看到已经被修改掉了!

2.发布装修案例这里
1)随意发布一个装修案例,会得到这个装修案例的ID。如下图

2)随便找个ID来看看人家的装修案例如何,我的ID是1571917 我就看了下1571915这个装修案例,店铺名字和区域可以看出都是人家公司的!

3)在我的装修案例中,审查元素把别人的1571915这个ID 替换掉我的1571917 然后编辑


4)保存后 可以发现别人的装修案例就到了我的账户下面,也就是我只要遍历ID就能把所有人的装修案例都借过来使用!... 这种越权方式之前遇到过,很不理解为什么会这样!


3.意见反馈这里
1)目前一共有2064条意见反馈

2)同样对我自己的意见反馈的ID进行遍历


数量不多遍历了一下 如下一小部分
端午了,求多赏几个wb买粽子