academy アクセスコントロール 10問目 URLベースのアクセス制御を回避できる

Lab: URL-based access control can be circumvented

/admin にアクセスすると、Access denied

＊応答が単純なので、フロント・バックサーバー構成で、フロントサーバーが
　返した応答かも。

/ にアクセス
このリクエストをリピータに。

HTTP ヘッダーを追加
X-Original-URL: /invalid

send

404 not foundを確認

これは、バックエンドサーバーが返したレスポンス

X-Original-URL: /admin
に変更して
send

200が返って、正常に処理された模様

/admin/delete?username=carlos
のリンクがある

リピータで
X-Original-URL: /admin/delete
リクエストライン　 /?username=carlos
に変更して
send

クリア！

–)v