标签：
小米范越权漏洞检测工具主要是检测网站越权漏洞的工具。
原理：
此工具内置了三个浏览器，三个浏览器完全独立，目前采用的是chrome内核，我们可以为三个浏览器使用不同的用户登录目标网站，或者
为三个浏览器设置不同的cookie，然后让他们同时去访问同一个url或者发送同样的请求，观察三个浏览器的页面变化，加入这个url或这个请求
只有管理员才能访问，那么三个浏览器所登录的用户如果没有管理员权限却访问正常则可能存在越权漏洞。界面如下：
目前操作模式主要有两种：
一、2、3号浏览器与1号浏览器同步。
这种情况我们只要操作1号浏览器，2、3号浏览器会跟随1号浏览器访问同样的地址，这样我们可以为1号浏览器设置更高权限的用户即可检测垂直越权。
为三个浏览器设置同样级别的用户即可检测水平越权。
二、所有浏览器与表格同步。
这种情况主要针对ajax、post、手机app等情况，开启代理功能，类似burp，浏览器或者手机app设置代理为此工具，则会抓下所有的请求，然后我们点击表格中的任意请求，三个
浏览器会以各自的身份去发送这个请求，同样我们观察页面变化来判断是否存在越权问题。
注意：目前本工具使用了jxbrowser组件，此组件为收费组件，评估版的liscense每次只能使用一个月，过期后需要
去jxbrowser官方申请新的liscense替换旧的lisence，或者修改系统时间为过期前的时间，如图替换如下文件：
liscence过期时间查看方式如下：
下载地址：http://pan.baidu.com/s/1c1NDSVe 文件名 privilegecheck.jar 目前只做了windows版本，其他版本晚点再弄。
标签：
原文地址：http://www.cnblogs.com/SEC-fsq/p/5624709.html
