Javascript BWAP IDOR（更改机密）

我正在测试buggy web应用程序（bWAPP）。我没有在web上找到中等安全级别的IDOR（更改机密）问题的解决方案。所以我想知道这里是否有人能帮我。很可能，我只需要解码一个令牌，然后将其用户名更改为另一个帐户，然后再次加密它，但它看起来不像是一个jason web令牌。有人能猜出它是什么并帮我解码吗？如果您有指向中等安全级别的解决方案的链接，也将受到欢迎。多谢各位

下面是我必须使用代理更改的HTTP请求（我目前正在使用Burp套件）

---

有时您还必须更改cookie中的sessionid。Web服务器始终通过其会话ID确定客户端。所以试试看。

有时您还必须更改cookie中的sessionid。Web服务器始终通过其会话ID确定客户端。那就试试吧

POST /bwapp/insecure_direct_object_ref_1.php HTTP/1.1
Host: localhost
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:82.0) Gecko/20100101 Firefox/82.0
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,image/webp,*/*;q=0.8
Accept-Language: en-US,en;q=0.5
Accept-Encoding: gzip, deflate
Content-Type: application/x-www-form-urlencoded
Content-Length: 74
Origin: http://localhost
Connection: close
Referer: http://localhost/bwapp/insecure_direct_object_ref_1.php
Cookie: security_level=1; PHPSESSID=a8dslb3cr3r36l4t7g0h032gj5
Upgrade-Insecure-Requests: 1

secret=sdfsdf&token=b096f2c01e7b8c3ce54791366d40d72ac4c15564&action=change