实验室：不受保护的管理功能，其URL不可预测

题目

此实验室具有一个未受保护的管理面板。它位于不可预测的位置，但该位置在应用程序中的某个位置被暴露。

访问管理面板，并使用它删除用户carlos来完成实验室。

实验室-学徒

不受保护的管理功能，其URL不可预测 >>

- name: 实验室-学徒
  desc: 不受保护的管理功能，其URL不可预测 >>
  avatar: https://fastly.statically.io/gh/clincat/blog-imgs@main/vuepress/static/imgs/docs/burpsuite-learn/public/lab-logo.png
  link: https://portswigger.net/web-security/access-control/lab-unprotected-admin-functionality-with-unpredictable-url
  bgColor: '#001350'
  textColor: '#39d50c'

实操

根据题意，可得实验目标：

• 找到管理面板，访问面板并删除 carlos 用户。

点击 “ACCESS THE LAB” 进入实验室。

进入实验室首页，在浏览器中 “右键 --> 查看网页源代码” 。

在第 42 行处，发现了一段与管理面板有关的代码，其中泄露了管理面板所在的路径/admin-1ywzus。

访问刚刚获得的路径/admin-1ywzus，成功进入管理面板，点击 Delete 删除 carlos 用户。

删除成功，实验完成。