# lab 1


Thử truy cập vào /admin, ko đc :D


Chạy với wordlist trên mạng :D Cũng không được. Tìm loanh quanh source cũng không có j. Thử truy cập /robots.txt



# lab 2


Unpredictable => chạy với wordlist hoặc robots.txt khả năng không khả thi. Có thể sẽ disclosed ở đâu đó. Tìm loanh quanh trong source trang, js file, html, ảnh,....


Khi load trang, có 2 request được gọi. Tìm trong kết quả trả về của các request chữ "admin" => kết quả


# lab 3



Đăng nhập với tài khoản lab cung cấp

Kiểm tra cookie của trang, có 1 cookie là Admin có giá trị là false. Thử sửa lại thành true rồi load lại trang.



# lab 4



Sau khi đã đăng nhập. Ở mô tả có nói phải có roleid là 2 thì mới có thể truy cập /admin. Mình cũng đã thử /admin?roleid=2, tuy nhiên ko đc. Mình nhận ra là phải tìm cách thay đổi roleid của user hiện tại thành 2. Chợt nhận ra có chức năng thay đổi email có thể thay đổi thông tin người dùng. Xem thử request khi update email thì mình thấy như sau.

POST /my-account/change-email HTTP/2
Host: 0add00a60489ab7d8130801d00f1006f.web-security-academy.net
Cookie: session=aeJHLG7YithpUmQY8zJZl1XLUQMWxuXp
Content-Length: 29
Sec-Ch-Ua: "Not_A Brand";v="8", "Chromium";v="120"
Sec-Ch-Ua-Platform: "macOS"
Sec-Ch-Ua-Mobile: ?0
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/120.0.6099.199 Safari/537.36
Content-Type: text/plain;charset=UTF-8
Accept: */*
Origin: https://0add00a60489ab7d8130801d00f1006f.web-security-academy.net
Sec-Fetch-Site: same-origin
Sec-Fetch-Mode: cors
Sec-Fetch-Dest: empty
Referer: https://0add00a60489ab7d8130801d00f1006f.web-security-academy.net/my-account?id=wiener
Accept-Encoding: gzip, deflate, br
Accept-Language: en-US,en;q=0.9
Priority: u=1, i

{"email":"[e-mail]"}

Thử đổi thành "roleid":"2"


Thử đổi URI thành /my-account/change-roleid


umm nhận ra chỗ email bị lỗi missing required param, nên thử thêm email vô trước, ngoài ra thì với request thay đổi email bth, respone trả về sẽ như sau:

thay đổi roleid


# lab 5


Sau khi đăng nhập thì URI có dạng `/my-account?id=wiener` và hiển thị thông tin của user wiener. Thử thay id=carlos thì lấy được apikey


# lab 6


Xem qua một vòng thì chưa thấy chỗ nào có thể leak được GUID của user carlos, mình bấm ra trang chủ vô xem mấy blog. Có một bài viết được user carlos đăng


Bấm vào user carlos thì vô một trang chứa các blog của user đó. Leak được GUID.


# lab 7


Sau khi đăng nhập bằng user wiener, uri có dạng `/my-account?id=wiener`, thử đổi thành carlos thì ứng dụng đăng xuất ra ngoài. Tuy nhiên xem trong HTTP history thì đã lấy được APIkey thành công


# lab 8
sau khi đăng nhập đổi id thành carlos, leak được mật khẩu qua tính năng update password.

quên mất là cần leak pass của admin chứ ko phải carlos


# lab 9


Tính năng live chat


Khi nhấn View transcript thì Web sẽ tải xuống một file có dạng id.txt, sau nhiều lần thử; nhận thấy id này tăng dần, và tăng bắt đầu từ 2.
=> Thử Id=1 xem sao.


problem sovled!

# lab 10



Trang có chức năng admin panel, tuy nhiên truy cập thì bị chặn.


Thử dùng header `X-Original-URL` để ghi đè URL.


làm tương tự để delete user, ghi đè bằng URL `/admin/delete`. Tại URL gốc ra để `?username=carlos`



# lab 11


Sau khi đăng nhập vào tài khoản admin, sử dụng admin panel để nâng cấp user carlos


Request có dạng như sau

Bây h đăng nhập bằng weiner và tạo một request tương tự với session của weiner


"Unauthorized"

Thử thay đổi method từ POST sang các method khác

GET báo thiếu param, thử thêm `?username=wiener`

có vẻ như đã thành công. Nma không check lại thì chưa vào được adminpanel. Chắc cần thêm param action.



:D mình tự hỏi, nếu không có admin liệu có thể biết được ứng dụng nâng cấp user như thế nào không. Mà nếu có admin rồi thì dùng luôn admin để nâng cấp cũng được mà nhỉ? :D

# lab 12


Đăng nhập vào admin, nâng cấp user carlos lên admin. Có một hộp thoại xác nhận được hỏi trước khi thực hiện request upgrade thực sự



Đăng nhập vào user wiener tạo request tương tự với session của wiener



# lab 13

Sau khi đăng nhập vào admin, request upgrade user có dạng như sau.


Thử tạo request tương tự với user wiener.



Khai thác thành công vì mình tạo request y hệt với khi admin thực hiện. Chỉ khác sessionid. Giữ nguyên referer. Nếu sửa referer, khai thác thất bại.

Unauthorized