越权又分为横向越权和纵向越权
横向越权：攻击者尝试访问与他拥有相同权限的用户的资源。
假设用户A与用户B属于相同权限等级的用户，当用户A能够访问用户B的私有数据时，就称为横向越权，也叫水平越权。
比如A用户有A组织的权限，但是没有B组织的权限，B用户有B组织的权限，这时候A用户尝试访问B组织，如果访问成功，说明横向越权了。
纵向越权：一个低级别攻击者尝试访问高级别用户的资源。
假设用户A是普通用户，用户B是管理员，当用户A能够访问用户B的私有数据时，就称为纵向越权，也叫垂直越权。
比如A用户没有访问信息的权限，B用户有访问信息的权限，这时候A用户尝试访问信息，如果访问成功，说明纵向越权了。
纵向越权：币种查询
1、 先在火狐浏览器页面用有权限的用户去查询币种，在未点击查询前把burpsuite改为拦截状态（intercept is on 为拦截状态）；
2、 在浏览器上点击查询按钮，查看burp suite拦截到的请求；
3、 确认请求是币种查询的接口后，右键点击发送到重复发送页面（send to repeapter）;
4、 更换一个无权限用户的cookie，点击send，查看右侧返回结果；
5、 重新更换一个有权限用户的cookie，点击send，查看右侧返回结果。
横向越权：辅助余额表目录查询
1、 先在火狐浏览器页面用有权限的用户去查询辅助余额表，在未点击目录查询前把burpsuite改为拦截状态（intercept is on 为拦截状态）；
2、 在浏览器左侧组织数上点击某个科目查询，查看burp suite拦截到的请求；
3、 确认请求接口后，右键点击发送到重复发送页面（send to repeapter）；
4、 更换一个无账簿权限用户的cookie，点击send，查看右侧返回结果；
5、 更换账簿id，点击send，查看右侧返回结果；
6、 更换一个有权限的cookie，点击send，查看右侧结果。
