实验室：可以避免基于方法的访问控制

1. 使用管理员凭据登录。
2. 浏览到管理员面板，推广卡洛斯，并将HTTP请求发送到Burp Repeater。
3. 打开私有/隐姓埋名浏览器窗口，并使用非管理员凭据登录。
4. 试图重新推广卡洛斯使用非管理员用户通过将该用户的会话cookie复制到现有的Burp中继器请求中，并观察响应说“未经授权”。
5. 改变方法邮政到Postx.并观察到响应更改为“缺少参数”。
6. 转换使用请求得到通过右键单击和选择“更改请求方法”来方法。
7. 将Username参数更改为用户名并重新发送请求。

Michael Sommer（没有音频）