# User role can be modified in user profile

Description:

This lab has an admin panel at `/admin`. It's only accessible to logged-in users with a `roleid` of 2.

Solve the lab by accessing the admin panel and using it to delete the user `carlos`.

You can log in to your own account using the following credentials: `wiener:peter`

Proof of concept:

1. Analisa web target menggunakan akun testing
2. Ketika mengakses admin panel yang terdapat di endpoint `/admin` menggunakan akun testing, hal tersebut tidak dapat dilakukan dikarenakan user testing bukan akun dengan role administrator<br>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FNPIZaKAMdrMojEbjmKFi%2Fimage.png?alt=media&#x26;token=b58cec1d-b210-4bdb-a9c9-c0db912cda66" alt=""><figcaption></figcaption></figure>
3. Periksa fitur POST pada ubah email akun. Lakukan analisa request dan response yang diberikan menggunakan burp suite<br>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FMEznUoHmBZevB8pkTiAo%2Fimage.png?alt=media&#x26;token=8e426ef8-ac9d-4511-803e-a7f8e65afc77" alt=""><figcaption></figcaption></figure>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FBFslhy4g80KjgA6qN9oF%2Fimage.png?alt=media&#x26;token=2b3c07bc-c304-4f9d-9d45-d5b76b26b1e9" alt=""><figcaption></figcaption></figure>
4. Terlihat pada response yang diberikan ketika melakukan perubahan email, didapati terdapat parameter `roleid` dengan nilai `1`. Coba untuk menambahkan parameter `roleid` pada request endpoint perubahan email tersebut. Isi nilai `2` pada parameter `roleid` tersebut<br>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FQE1k6HW1EtKoXgSPnfex%2Fimage.png?alt=media&#x26;token=cba24d4c-60f7-4c04-89c4-6b98506f8a79" alt=""><figcaption></figcaption></figure>
5. Seperti yang dapat dilihat pada gambar diatas ketika telah dikirim, response yang diberikan nilai pada parameter `roleid` telah berhasil diubah menjadi `2` . Kemudian lakukan refresh pada halaman aplikasi. Terlihat tersedia navigasi untuk ke fitur `Admin Panel`. Yang membuktikan, akun testing telah berubah role menjadi role `administrator`<br>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FbTjAHwaL51QuTuWlbTc5%2Fimage.png?alt=media&#x26;token=44188e37-0d19-4f4f-a3aa-6f893513ace6" alt=""><figcaption></figcaption></figure>
6. Untuk menyelesaikan tangtangan pada challenge ini, hapus akun `carlos` pada fitur yang terdapat di `Admin Panel`<br>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2F80miVS2fqCeQ0n42Kj4H%2Fimage.png?alt=media&#x26;token=3e007573-583b-4714-bdad-a21f4438a1d6" alt=""><figcaption></figcaption></figure>

   <figure><img src="https://261650435-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FdAiS2nxqUmGSg5rZoOOl%2Fuploads%2FQG1SOxkMiFzcSOkgtQKy%2Fimage.png?alt=media&#x26;token=fe2d9760-e2f8-486c-a504-624347a6d8b5" alt=""><figcaption></figcaption></figure>

Thanks, Stay Ethical & Happy Hacking! 🍻
