演示案例：
➢ WEB攻防-业务逻辑-越权&访问控制&检测项目
1、水平越权：同级别的用户之间权限的跨越
2、垂直越权：低级别用户到高级别用户权限的跨越
3、未授权访问：通过无级别用户能访问到需验证应用
一、实验：
https://portswigger.net/web-security/all-labs#access-control-vulnerabilities
未授权访问（访问控制不当）：
实验室：不受保护的管理功能和不可预测的URL
实验室：由请求参数控制的用户角色
测试：删除凭据访问；未知提取或泄露的URL访问等
水平越权：
实验室：由请求参数控制的用户ID
实验室：用户ID由请求参数控制，用户ID不可预测
测试：用户A凭据测试用户B的功能，参数值修改指向等
如果id不是有规律的数字，我们就可以看其他功能点有没有可能泄露其他用户的id。
垂直越权：
实验室：可以在用户配置文件中修改用户角色
实验：请求参数控制用户ID并泄露密码
测试：用户A凭据测试高级别用户的功能，参数值修改指向等
挖掘总结：
关注到URL及参数数据，找到所有和用户相关的参数名和参数值提交测试
涉及到JS中提取URL或数据，在返回包中提取参数名和参数值，FUZZ技术等
二、检测项目
https://github.com/smxiazi/xia_Yue