WebGoat——绕过基于角色的访问控制

题目：
Stage 1: Bypass Presentational Layer Access Control.
As regular employee ‘Tom’, exploit weak access control to use the Delete function from the Staff List page. Verify that Tom’s profile can be deleted.The password for a user is always his prename.
步骤1：绕过表示层的访问控制。
作为普通员工“Tom”,对于员工列表页面的删除功能具有弱访问控制权限。验证TOM的个人文件是否能被删除。用户的密码通常是他的前一个字母。
1.登录员工账号Larry Stooge（这里以Larry Stooge为例），账号密码为larry（注意不用区分大小写）
2.打开浏览器代理，打开burpsuite抓取数据包。
3.选中员工列表，点击“ViewProfile”，Burpsuite中截取到的数据包如图


4.将action的内容修改为：DeleteProfile

5.完成效果