(1)遍历访问受保护静态资源的正常过程,获取用于最终访问该资源的URL示例。
(2)使用不同的用户账户(如权限较低的用户或没有购买所需商品的账户),尝试使用已确定的URL直接访问该资源。
(3)如果这种攻击取得成功,尝试了解受保护的静态资源所使用的命名方案。如果可能,设计一个自动攻击,获取可能有用或可能包含敏感数据的内容(请参阅第14章)。
虽然并没有现成的方法可用于检测应用程序的访问控制是否对HTTP方法实施了平台级控制,但是,可以通过一些简单的步骤来确定任何漏洞。