[WebGoat] Insecure Direct Object References - 2

---

추측 및 예측 패턴

자신의 프로필을 다른 방법으로 보기
우리가 작업 중인 애플리케이션은 프로필에 관한 한 RESTful 패턴을 따르는 것 같습니다. 많은 앱에는 승격된 사용자가 다른 사용자의 콘텐츠에 액세스할 수 있는 역할이 있습니다. 이 경우에는 자신의 사용자 세션/인증 데이터에서 보고 싶은 프로필이 누구인지 알려주지 않기 때문에 /profile만으로는 작동하지 않습니다. 그렇다면 직접적인 개체 참조를 사용하여 자신의 프로필을 명시적으로 보는 패턴은 무엇이라고 생각하시나요?

자신의 프로필을 보려면 URL에 대한 대체 경로를 입력하세요. 'WebGoat'로 시작하십시오(예: 'http://localhost:8080/' 무시).

---

의미 없는 경로를 전송했더니

위와 같이 /WebGoat/IDOR/profile/alt-path 경로로 전송되는것을 확인할 수 있습니다.

 

문제에서 

"직접적인 개체 참조"를 하라고 했기때문에 

no = 1, 2, 3, 4 ... 이런식으로 되어있는 값을 참조하면 될거 같습니다.

 

[WebGoat] Insecure Direct Object References - 1

 

이전 문제에서 

userid : 2342384 

참조해서 직접적으로 개체에 접근하면 됩니다.

---