如果使用A用户的权限去操作B用户的数据，A的权限小于B的权限，如果能够成功操作，则称之为越权操作。越权漏洞形成的原因是后台使用了 不合理的权限校验规则导致的。
一般越权漏洞容易出现在权限页面（需要登录的页面）增、删、改、查的的地方，当用户对权限页面内的信息进行这些操作时，后台需要对当前用户的权限进行校验，看其是否具备操作的权限，从而给出响应，而如果校验的规则过于简单则容易出现越权漏洞。
越权漏洞一般分为两种：
1.垂直越权，是指低权限向高权限越权，使用高级权限中的相关功能。
2.水平越权，是指同权限不同账号之间的越权，如账号A和账号B。
因此，在在权限管理中应该遵守：
1.使用最小权限原则对用户进行赋权;
2.使用合理（严格）的权限校验规则;
3.使用后台登录态作为条件进行权限判断,别动不动就瞎用前端传进来的条件;
工具使用和下载：
渗透武器库--burpSuite实战（最强web安全工具，没有之一）
靶机环境：
中文版Pikachu web靶机平台搭建指南，英语小白的福音
（让人欲罢不能的靶机系统）metasploitable2安装实战
实战
Burpsuite中Autorize插件
1.如何安装，点击Extender-->点击BApp store-->选中Autonize-->右侧栏中点击install安装。
2.进入到Autorize页中勾选和配置目标ip，方便查看
3.登录低权限用户获取cookie
4.把cookie值复制到Autorize插件中并保存，随意命名一下。
5.开启捕获功能，点击一下
6.登录管理员用户并浏览，就是随意点吧点吧，能点的都点一遍。
7.查看结果,右边第一框是使用user访问的结果，第二框是正常访问的结果，第三框是不登陆情况下访问的结果。显示绿色的都是有问题的哈。
