WebGoat8 M17 Access Control Flaws 題解

Insecure Direct Object References 2 用戶名tom密碼cat登錄即可   3 f12看到一個叫profile的包，查看響應就發現了參數 對比一下，沒顯示出來的參數是role和userId，下一題   4 照經驗來看，這種時候一般都是在後面跟數字數字或者用戶名之類的，於是先試了一下上題裏的userId： WebGoat/profile/2342384 結果連回顯都沒

>>阅读原文<<