Bu labda, PortSwigger Web Security Academy’nin Access Control kategorisindeki “Unprotected admin functionality” senaryosunu inceliyoruz. Uygulamanın robots.txt dosyası yönetim panelinin yolunu açığa çıkarıyor ve bu panelde erişim kontrolü bulunmadığı için yönetici işlevlerine doğrudan erişilebiliyor. Amacımız, yönetim panelini bulmak ve carlos kullanıcısını silerek labı çözmek. Lab bağlantısı.
Bir gizli panel bulmamız bizden istenmişti. Arka planda Gobuster’ı başlattım ve temel tarama işlemlerini de başlatmıştım. Nikto vb. gibi. Nikto benim için bir robots.txt buldu. Sayfaya gittiğimizde zaten bizim için nokta atışı olan bir link var.
Labı bu şekilde çözebilirsin.
İlk Yorumu Siz Yapın