我正在测试有缺陷的web应用程序(bWAPP(。我在网上找不到IDOR(更改机密(问题的解决方案处于中等安全级别。所以我想知道这里是否有人能帮我。通常，我只需要解码一个令牌，然后将其用户名更改为另一个帐户，然后再次编码，但这似乎不是jason网络令牌。有人能猜出它是什么并帮我解码吗？如果您有指向中等安全级别解决方案的链接，也将受到欢迎。非常感谢。
这是我必须使用代理更改的HTTP请求(我目前使用的是Burp Suite(。
POST /bwapp/insecure_direct_object_ref_1.php HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:82.0) Gecko/20100101 Firefox/82.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 74
Origin: http://localhost
Connection: close
Referer: http://localhost/bwapp/insecure_direct_object_ref_1.php
Cookie: security_level=1; PHPSESSID=a8dslb3cr3r36l4t7g0h032gj5
Upgrade-Insecure-Requests: 1
secret=sdfsdf&token=b096f2c01e7b8c3ce54791366d40d72ac4c15564&action=change
有时您也必须更改cookie中的sessionid。Web服务器总是通过会话ID来确定客户端。所以试试吧。