Shikata Ga Nai

Private? There is no such things.

Juice ShopのAdmin Registrationをやってみた

Hello there, ('ω')ノ

 

管理者権限を持つユーザとして登録しなさいとのことで。

f:id:ThisIsOne:20200907193149p:plain

 

一応、JavaScriptでadminやroleで検索をかけてみると下記のキーワードを見つけて。

 admin

 

f:id:ThisIsOne:20200907185817p:plain

 

さっそく、新しいユーザで登録を。

 

f:id:ThisIsOne:20200907190957p:plain

 

Burp SuiteのRepeater機能でレスポンスを確認するとroleの文字が。

 

f:id:ThisIsOne:20200907191249p:plain

 

試しにroleとadminの組み合わせをリクエストに追加して。

この時、ユーザ名はユニークでないといけないのでユーザ名も変更して実行すると。

 

f:id:ThisIsOne:20200907191521p:plain

 

クリアできた。

 

f:id:ThisIsOne:20200907191631p:plain

 

ちなみに下記URLで確認すると、緑色でAdministratorを確認できた。

 http://192.168.1.20:3000/#/administration

 

f:id:ThisIsOne:20200907193031p:plain

 

Best regards, (^^ゞ