前言 Before
想让自己的头像在平板上独树一帜吗？ 想要更加深入地了解老师们能干什么吗？
让我们今天一起初步来了解一下越权访问漏洞
什么是越权访问？ What is BAC?
越权访问（Broken Access Control，简称BAC）是Web应用程序中一种常见的漏洞，由于其存在范围广、危害大，被OWASP列为Web应用十大安全隐患的第二名。
该漏洞是指应用在检查授权时存在纰漏，使得攻击者在获得低权限用户账户后，利用一些方式绕过权限检查，访问或者操作其他用户或者更高权限。越权漏洞的成因主要是因为开发人员在对数据进行增、删、改、查询时对客户端请求的数据过分相信而遗漏了权限的判定。
原文链接：https://blog.csdn.net/a807719447/article/details/113181258
开始实践 How to do it?
使用电脑浏览器进入 zykj 此处以谷歌浏览器为例
按 F12 调出浏览器控制台，进入 Application （应用）
进入 Session Storage （会话储存空间）
在 userInfo 中找到 roles 一项并将其值改为 $2$，然后 F5 刷新
在首页中，各位就可以快乐地上传头像了
拓展 What’s more
根据现在已知情报，roles 共有 $1$ / $2$ / $9$ / $20$ 四种值
其中 $1$ 为学生，$2$ 为普通老师，$20$ 为高权限老师，$9$ 为 admin
其中普通老师要手机验证码登录，高权限老师无需手机验证码
admin 暂时未知
总结 Summary
越权访问的基本原理和操作就这么点
剩下的就留给各位去探索啦
ByeBye！