WooYun.org

苏州同程有个系统叫六合一系统,专供其它客户使用。
详细介绍：http://www.17u.net/ruanjian/partner.html
通用漏洞需要5个例子,那么就拿他介绍里面的客户展示吧：
http://www.sh5166.com/
http://www.tycts.com/
http://www.byework.com/
http://www.0531u.com/
http://www.0710lzl.cn/
http://www.tt51u.cn/
http://www.tty365.cn/
http://www.888777111.cn/
http://www.suzhouqinglv.net/
http://www.tycts.com/
越权一：
注册用户登录后-->查看信息-->可查看其他用户信息：
首先先看下我们自己的信息：

修改任意ID：

成功获取

就以上面的为例吧。
越权二：
修改个人信息同样没验证：

如上图,会显示用户名已存在,那么我们改个后再提及,然后会提示修改成功，利用越权一我们来看下刚才改的那个id的信息：

如上图,已经修改成功。
越权三：
我的订单中,也是同样方法获取的,但是我尝试了很多ID,订单都是空的,也懒得去枚举了。