WEBUG逻辑漏洞测试

webug平台逻辑漏洞共四个，如下图。

(https://github.com/wangai3176/webug4.0)

一、越权修改密码

使用默认账户密码登录成功，经测试对原始密码无验证，即输入任意原始密码均可修改成功。
原始密码如下：

登录用户aaaaa,修改密码，bp抓包发现存在id信息，

修改id为1

用户admin在用户aaaaa的修改密码界面改密成功。

二、支付漏洞

进入页面，随便选一个点击购买，bp抓包，发现价格信息，修改为其他数值，发送请求，价格修改成功。

三、邮箱轰炸

注册信息bp抓包，发送到攻击模块，设置数字变量，目标邮箱接收到大量邮件。

四、越权查看admin

使用用户aaaaa登录，发现url中存在用户id信息。

修改使id=1，直接进入admin用户界面