# Access control vulnerabilities Lab3 本題是用戶角色由請求參數控制（User Role Controlled by Request Parameter）」，說白了就是網站用 cookie 判斷你是不是 admin，但這個 cookie 是可偽造的，你可以自己改。 所以進入網站後登入帳號。 ![image](https://hackmd.io/_uploads/B1lrIDXSgx.png) 在 Cookie 這邊出現一個 Admin False，直接改成 True。 ![image](https://hackmd.io/_uploads/BySiLvQSee.png) 直接擁有 Admin 權限，所以我進去 Admin panel 裡面並刪除目標使用者。 ![image](https://hackmd.io/_uploads/ryS1vDmBeg.png) ---