Document
Stage 2 - 他人のスコアを書き換えられる認可不備
Stage 2 で学べること、確認ポイント、初心者向けの見方をまとめたページです。
このステージで学べること
ログインしていても、他人のデータを変更できてはいけないことを学べます。
脆弱版で起きること
- リクエスト中の
user_idを信じてしまう - 結果として他人のスコアを更新できてしまう
修正版で確認すること
- 更新対象はログイン中ユーザーから決める
- 他人の ID を送っても無視または拒否される
ここを見ると分かりやすい
target_user_idupdatedUser- ランキングの変化
初心者向けのポイント
「ログインしている」と「そのデータを変更してよい」は別の話です。
ヒント
- 自分以外のユーザーを選ぶと差が見えやすいです
- 一般ユーザー同士で試すと理解しやすいです