[SK shieldus Rookies 19기] WebGoat - LAB Stage 1, 3 Role Based Access Control

[SK쉴더스 Rookies 19기] 클라우드 기반 스마트 융합보안 과정

---

01. Stage 1: Bypass Business Layer Access Control

tom의 경우

 

jerry의 경우

 

employee_id가 action의 대상(번호)구나

 

으로 바꿔 원래 tom의 화면에서 볼 수 없는 deleteprofile으로 넣어보자

기능에서의 접근 통제가 이뤄지지 않은 경우임!!

 

02. Stage 3: Bypass Data Layer Access Control

 tom은 자신의 profile만 확인 가능하다

 

다른 사용자의 prifile을 확인해보자

 

proxy

id를 변경해주면

다른 사용자의 profile을 볼 수 있음

 

데이터의 접근 통제가 이뤄지지 않은 경우임!!