Shikata Ga Nai

Private? There is no such things.

BodgeItでAccess someone elses basketをやってみた

 Hello there, ('ω')ノ

 

今回hは、Access someone elses basketを。

 

まずは、管理者権限でログインして。

 admin@thebodgeitstore.com' or '1'='1

 

f:id:ThisIsOne:20200808110207p:plain

 

Adminメニューの内容を拝見するとUserIdとBasketIdがリンクしていて。

 

f:id:ThisIsOne:20200808103637p:plain

 

さらには、下の表ではBasketIdでどのProductIdがどのくらい購入されたかで。

 

f:id:ThisIsOne:20200808105306p:plain

 

まずは、Productを購入することに。

 

f:id:ThisIsOne:20200808110606p:plain

 

リクエスト内容を確認すると、b_idが怪しいものの何も値が入ってなくて。

とりあえず、下記のようにb_idを数回変えてみて変化を見てみるとクリアできた。

これでよいのだろうかと。

 

 b_id=1

 b_id=4

 

f:id:ThisIsOne:20200808110009p:plain

 

Best regards, (^^ゞ