A1 Broken Access Control（访问控制失效） - 这类攻击涉及对访问控制机制的破坏，通常与应用安全和身份验证相关，攻击者可以绕过访问控制限制，进行未经授权的操作。
（1） Hijack a session（劫持会话）- 获得对其他人已认证会话的访问权限。
(p2)我们尝试暴力破解 'hijack_cookie' 的值。'hijack_cookie' 用于区分 WebGoat 的已认证用户和匿名用户。这个我没有破解出来，有个六分钟的视频还是给大家看下吧，主要是了解下burp的用法。大家去玩webgoat的时候，有很多任务，标红色的button是需要打通关的，如果通关了就会变成绿色。
（2）IDOR（Insecure Direct Object References） 指的是应用程序通过未验证或未授权的方式直接访问对象（如文件、数据库记录或其他敏感资源）。攻击者可以通过猜测或枚举URL、参数值，来访问原本应该只有授权用户才能访问的资源。这种漏洞通常是因为应用程序没有对用户的访问权限进行适当检查。
IDOR的一个常见例子是：一个用户可以通过修改URL中的参数，访问到其他用户的数据。例如，用户A的用户ID是123，用户B的ID是124，如果用户A在访问https://example.com/user?id=123时，通过手动将URL中的123改为124，然后访问https://example.com/user?id=124，并且应用程序没有进行适当的权限检查，那么用户A就能访问到用户B的私人数据。这个很简单，hands-on任务就不过了。
