# Business logic vulnerabilities Lab7

本題是雙重用途端點（dual-use endpoint）+ 權限驗證邏輯錯誤，根據使用者的輸入對使用者的特權級別做出了有缺陷的假設。因此，可以利用其帳戶管理功能的邏輯來訪問任意用戶的帳戶，若要解決實驗室問題，請訪問 administrator 並刪除使用者 carlos。

登入帳號：`wiener:peter`

一樣註冊帳號（用官方給的 email）。


這裡可以修改密碼，我們可以觀察更改密碼會發生什麼。


這裡我們先輸入錯的舊密碼，看他會不會驗證。


發現即使舊密碼錯了還是可以改（也可以用改過的密碼登入），代表他是不會驗證舊密碼，我們可以利用這點去改 administrator 密碼，然後再登入，這裡直接把舊密碼刪掉，直接改新密碼，。


---