Hello there, ('ω')ノ
🎯 ラボの目的
このラボでは、管理者用のパネルがアクセス制限なしで公開されている状態になっています。
目標：ユーザー「carlos」を削除することでラボを解決する
🛠 攻略手順
1. robots.txt を確認
URLの末尾に /robots.txt を追加してアクセス：
https://<LAB-ID>.web-security-academy.net/robots.txt
✅ 結果の例：
User-agent: * Disallow: /administrator-panel
→ 管理パネルのパスが /administrator-panel であることが分かります。
2. 管理パネルにアクセス
次のURLに直接アクセスします：
https://<LAB-ID>.web-security-academy.net/administrator-panel
→ 認証なしでアクセス可能！
3. ユーザー carlos を削除
- パネル内に「Delete」や「Remove」などのボタンがあり、
- 対象ユーザーとして
carlosが表示されているはずです。 - 該当の削除ボタンをクリック
✅ ラボ成功の条件
- ユーザー「carlos」の削除
- 結果：ラボクリアのバナーが表示される
📌 このラボで学んだこと
| 観点 | 内容 |
|---|---|
| 🛑 無保護なURL | アクセス制御が行われていない管理機能が存在 |
| 🕵️ robots.txt の危険性 | 「ここは見ないで」と書くことで逆にバレる |
| ⚠️ 表示上リンクがなくても | URLを直接叩けば機能にアクセスできてしまう |
✅ まとめ
「URLを知っていれば誰でも管理操作ができる」＝致命的なアクセス制御の失敗です。
Best regards, (^^ゞ
