基础知识
下面是我跟豆包的对话
解题
尝试用首页给出的API接口和Token进行访问
尝试将token改为admin出现Invalid token，那么估计就只能用首页给的token=user
在第一个数据包中又出现了另一个api接口，这边我们访问下，然后将{id}改为1，发现有数据返回
发送到Intruder
结果可以看到1 2 3 都是有反应的，但是id为3的时候是403不让访问
这里我们尝试将id=1的Etag带入到id=3的数据包中
使用If-Match再加上id=1的Etag，发现成功获取了flag，
那么id=2的etag是否可以行
发现也是可以的
解惑
为什么通过Etag就可以读取敏感信息？
为什么通过其他用户的Etag就可以读取admin的信息？
通过分别使用ID=1和ID=2的Etag都可以读取到admin的信息，这题应该属于情况B