Shikata Ga Nai

Private? There is no such things.

Juice ShopのGDPR Data Erasureをやってみた

Hello there, ('ω')ノ

 

消去されたクリスのアカウントでログインしなさいとのことで。

 

f:id:ThisIsOne:20201006144930p:plain

 

そもそもアドレスがわからないわけで。

適当にログインしてSQLエラーを出力させることに。

 

f:id:ThisIsOne:20201006150021p:plain

 

BurpでログインIDを下記のように細工して。

admin'

 

レスポンスを見ると下記を発見することができたので。

deletedAt IS NULL

 

f:id:ThisIsOne:20201006150159p:plain

 

再度、ログインIDを下記のように細工して。

以前に削除されたメールアドレスを出力させることに。

admin' or deletedAt IS NOT NULL --

 

f:id:ThisIsOne:20201006150608p:plain

 

レスポンスを見ると下記でログインできたようでクリアできた。

chris.pike@juice-sh.op

 

f:id:ThisIsOne:20201006150712p:plain

 

Best regards, (^^ゞ