Stage 3: Breaking Data Layer Access Control
일반 고용인인 'Tom' 으로 다른 고용인의 profile을 보는 데 취약한 접근 제어를 이용하시오.
풀이
Stage 1과 같이 파라미터 변조를 통해 문제를 풀 수 있습니다.
다만, DeleteProfile이 아닌 다른 고용인의 Profile을 보는 것이 다를 뿐입니다.
우선 Tom으로 로그인하여 ViewProfile할 때의 Request를 Proxy 툴로 잡습니다.
그 다음 employee_id의 값을 다른 값으로 바꾸면 다른 고용인의 profile을 볼 수 있습니다.
참 쉽죠?