# Домашняя работа №7 (Задачи Access control vulnerabilities на portswigger)
###### tags: `Домашние задания Web Application Penetration Testing`

Первую задачу мы выполняли на занятии, выполним дополнительные 4 из этого раздела.

1) Задача: Unprotected admin functionality with unpredictable URL

Открываем задачу. Судя по описанию необходимо найти панель администратора. Попробуем использовать функционал BurpSuite Pro для исследование путей.
Находим путь.
Удаляем учетку carlos. Флаг сдан.

2) Задача: User role controlled by request parameter

Авторизуемся под учеткой данной нам.
Переход по пути /admin не срабатывает.
Проверим запрос в Burp.
Видим в поле coockie флаг admin, поменяем его на true и добавим в запрос.
Также через burp удаляем учетку.
Флаг сдан.

3) Задача: User role can be modified in user profile

Авторизуемся аналогично как в предыдущей задаче.
Переходим в burp и изучаем запрос.
Обнаруживаем, что в описании необходимо изменить roleid. Видим его в ответе при смене почты.
Дописываем смену id в поле. И снова отправляем запрос.
Удаляем учетку. Флаг сдан.

4) Задача: User ID controlled by request parameter

Аналогично предыдущему заданию авторизуемся и изучаем запрос.
Видим, что есть api key. Задача узнать api key у carlos. Попробуем в запросе изменить wiener на carlos.
Получаем api key, пробуем его сдавать.
Успешно.