摩登天空任意订单越权修改 – 网站安全

听说摩登天空送门票，赶紧滚来了。求今年门票！曼玉！女神！我来了！（漏洞演示使用的是自己的测试账户）详细说明：故事是这样的，从前有一个帅比和一个丑比。一个帅比买了一张谢天笑，收货地址是海淀公园：

截包看信息，注意下id=22320：一个丑比也注册了账号nt，随便买点什么，地址填通州运河公园。丑比查看 “我的订单” ，将22308 改为帅比的 22320：丑比惊呆了！他看到了一个帅比的订单！这时的登陆账号仍然是丑比的账号！因为丑比是没有头像的~ 修改地址到通州运河公园，电话改成15000000000，保存。一个丑比将收到帅比的谢天笑！下面我们登陆帅比的账户查看，帅比的头像是一匹英俊的小马，发现订单信息如下：这是一个丑比逆袭的故事。如果丑比更改的是帅比已经付款了的订单，那么他就真的逆袭了。 修复方案： 加强账户权限控制