User ID controlled by request parameter, with unpredictable user IDs

Для решения лабы нужно получить доступ к GUID пользователя carlos и украсть его API-ключ. У нас есть креды для аккаунта wiener:peter.

https://0a9400d7046948b081d190470089000a.web-security-academy.net/

Solution

Давайте залогинимся в наш профиль.

Так же в url мы можем увидеть id нашего аккаунта: https://0a9400d7046948b081d190470089000a.web-security-academy.net/my-account?id=645d6706-c01e-4080-bb1e-3e28010f2947.

На главной странице мы видим посты пользователей. Давайте откроем любой из них.

Тут есть ссылка на наш профиль. Перейдем по ней.

Тут мы видим посты пользователя. Обратим внимание на url: https://0a9400d7046948b081d190470089000a.web-security-academy.net/blogs?userId=645d6706-c01e-4080-bb1e-3e28010f2947. В нем есть параметр userID, который совпадает со значением id со страницы нашего акаунта. Давайте попробуем найти это значения для другого пользователя. Для этого:

1. Найдем пост другого пользователя:

1. Перейдем в его профиль и возьмем значение userId из url: https://0a9400d7046948b081d190470089000a.web-security-academy.net/blogs?userId=73952a23-74f9-46e5-90f6-55e412599380;

2. Подставим полученное значение в качестве значения id: https://0a9400d7046948b081d190470089000a.web-security-academy.net/my-account?id=73952a23-74f9-46e5-90f6-55e412599380;

Мы получили доступ к API-ключу пользователя carlos.