Webgoat nivel de función ausente lección de control de acceso

3

Recientemente instalé WebGoat 8.00M12 en mi computadora y traté de resolver la sección "Control de acceso" para una demostración en mi clase.

Todo fue simple y suave hasta que me quedé atascado en el último punto de la subsección "Falta la función de control de acceso a nivel de función", y ahora me quedé atascado allí durante 2 días completos. ¿Puede alguien ayudarme, por favor?

La pregunta es esta:

Nota:lapáginaanteriorcontenía2hipervínculosocultosdeCSS(/usersy/config)quenofuncionancuandohagoclicenellosolospruebo(estossupuestamentesoloestándisponiblesparaeladministrador)

Loquehehecho:

  • Alutilizarburpsuiteparaarañarlaaplicaciónweb,noseencontraronlosdirectoriosprevistos.
  • Probémuchascombinacionescomo(usuariosdelalistadeusuariosdelalistadeusuariosdelapantalla)enmuchosdirectorios,perosimplementenopudeencontrarla"página de usuarios" de la que hablaron en las sugerencias, pero encontré una página inútil en / WebGoat / usuarios que solo contenían "su 1" solo para su información.

Notas útiles:

  • La aplicación web ejecuta una estructura RESTful.
  • Se ejecuta en Java (intenté leer el código fuente en github pero no entendí nada).
  • Descargue WebGoat v8.0 (si le importa) Here
pregunta Jamil Hneini 06.03.2018 - 21:15
fuente

1 respuesta

2

Bueno, es un desafío difícil.

Primero, cuando haces clic en el símbolo humano para cerrar sesión, debes notar que hay una función: Usuario.

También cuando visites / usuarios, deberías notar en el código fuente un botón oculto como "admin" o algo así. Así que necesitas intentar cambiar de alguna manera el rol.

Cierre la sesión e intente registrarse de nuevo. Observe los parámetros de la publicación.

Haz lo mismo en / users pero con:

parámetros en una lista -

  

{"parameters1": "valor", etc}

agregar un nuevo rol de parámetro

  

(valor: el administrador no funcionará, así que intente con WebGoat_Admin)

y también cambiar

  

tipo de contenido: aplicación / json

    
respondido por el aleale 29.06.2018 - 10:09
fuente

Lea otras preguntas en las etiquetas