先以tom/cat登录

找请求和页面显示的差异，可能收获一些信息 role,userId

推测访问profile的REST API风格，为 WebGoat/IDOR/profile/2342384

Send to Intruder爆破其他人的profile

爆破成功其他id为2342388

同样的路径，方法改为PUT，修改其他人的profile，将role修改为0（一般数字低的代表管理员等高权限），color改为red