一、 文件读取漏洞

1. 进入usafe Filedownload
   

2. 将地址的down_nba.PHP改为：
   execdownload.php?filename=…/…/…/inc/config.inc.php
   即可下载好数据库配置文件
   

下载完的结果如下：

二、 远程文件包含漏洞

1. 进入关卡，发现描述上说只能上传图片文件
   

2. 我们首先尝试，直接讲木马php文件后缀改成png格式上传
   

3. 发现网站识别出了这是个假的图片
   

4. 我们这次将木马写入图片文件试试，首先准备两个文件，一个是info.php的木马文件，一个是普通的123.png的图片文件
   

5. 使用cmd命令行输入以下指令
   

生成了携带木马代码的图片文件456.png

4. 我们上传改文件，发现上传成功并回显了保存路径
   在这里插入图片描述

5. 我们查看该文件发现网站并没有对文件内容检查和修改
   

6. 现在我们使用该木马
   首先进入file inclusion（remote）随便选一个进行提交
   

7. 然后在地址中修改filename=后的字段值为我们上传的木马文件的地址。Http://192.168.242.1/pikachu-master/vul/unsafeupload/uploads/456.png
   按下回车,发现木马执行成功
   

三、 本地文件包含漏洞

1. 大致流程和上述一样，不过路径使用本地路径，选择local关卡

地址修改为，这里注意文件目录的相对路径
http://192.168.242.1/pikachu-master/vul/fileinclude/fi_local.php?filename=…/…/…/…/pikachu-master/vul/unsafeupload/uploads/456.png&submit=%E6%8F%90%E4%BA%A4

四、 水平越权

1. 进入水平越权关卡，发现要求登录
   

点击右上角的提示，会发现他给出了三个用户信息

3. 登录查看三个用户的信息，各不相同
   
   

经过试验和观察我们发现，地址的username字段显示的是谁的名字就会返回谁的信息。

这是因为查找用户信息的时候传入的参数是直接从url中获取的，没有校验当前用户。这就称之为水平越权
5.防御措施：
对源代码添加条件判断，判断url传入的username和当前用户是否匹配，如果匹配则为$username赋值，若不匹配则不赋值

结果已经防御水平越权成功

五、 垂直越权

1. 进入垂直越权关卡
   

2. 点击提示发现这一关有两个用户，admin和pikachu
   

3. 登录两个账号发现二者用户权限不同
   
   

pikachu只有查看权限，而admin有增删查改权限
4. 我们登录admin账户增加信息，并使用抓包工具拦截捕获

5. 我们拦截到post请求，发现有admin的cookie以及我们上传的数据
   

6. 我们去掉cookie看看是否能添加成功
   

我们发现并没有添加成功
7. 现在我们切换到pikachu账户登录并拦截请求抓包并且获取pikachu用户的cookie放在之前那个包里，再点击发送

可以看到成功添加了用户，说明有垂直越权

来源地址：https://blog.csdn.net/xuanyulevel6/article/details/126450253