shikata ga nai

Private? There is no such things.

Web For Pentester IIのMass Assignmentをやってみた

 Hello there, ('ω')ノ

 

Mass Assignmentを。

 

f:id:ThisIsOne:20210515174038p:plain

 

どうもRubyのActiveRecordで構築しているようで。

どおりでSQLインジェクションも見当たらず。

 

f:id:ThisIsOne:20210516155424p:plain

 

SQLmapでも検出できず。

 

f:id:ThisIsOne:20210516155455p:plain

 

Phusion Passengerとあるので。

Apache HTTP Server向けの機能拡張モジュールを使用していて。

このモジュールで、WebサーバをRubyやRuby on Railsなどで作成された。

Webアプリケーションのフロントエンドとして利用できて。

 

 X-Powered-By Phusion Passenger (mod_rails/mod_rack) 3.0.12

 

f:id:ThisIsOne:20210516160249p:plain


Example1で、適当に登録して。
 

f:id:ThisIsOne:20210515174134p:plain

 

結果からadmin権限というものがわることがわかって。

 

f:id:ThisIsOne:20210516101850p:plain

 

下記のパラメータを追加すると管理者として登録できて。

 

 &user%5Badmin%5D=1

 

f:id:ThisIsOne:20210516102341p:plain


Example2では、管理者権限を持つユーザを作成する必要があるようで。

適当に作成しようとすると。

 

f:id:ThisIsOne:20210516102712p:plain

 

Modifyするリンクがあって。

 

f:id:ThisIsOne:20210516102732p:plain

 

このリクエストで下記のパラメータを追加すると設定できて。

 &user%5Badmin%5D=1

 

f:id:ThisIsOne:20210516102849p:plain

 

 

Example3では、Company2にアクセスしなさいとのことで。

Modifyするリンクをクリックして。

 

f:id:ThisIsOne:20210516103154p:plain

 

下記のパラメータを追加すると、アクセスできて。

 &user%5Bcompany_id%5D=2

f:id:ThisIsOne:20210516110126p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain