不安全的目录索引

作者主要设计的场景是越权查看和修改其他人的信息。

操作步骤：

#2使用用户名tom、密码cat登录，转第三页

#3点击view profile查看信息，打开bp，观察到隐藏信息userid和role，这两个值（userid，role），

#4输入WebGoat/IDOR/profile/2342384，进行按ID查询。可以看到查询结果正确

#5点击view Profile，抓包发到intruder，设置变量为id部分，爆破，从2342380-2342390即可，破到2342388的用户