Escenario — la sesión de prueba de Dulcería Aurora

5 tareas · 55 min · Principiante

Escenario del módulo. Otra empresa, otro contrato y otra sesión: Dulcería Aurora vende pasteles por encargo en línea y quiere saber qué intercambian su tienda y su servidor y qué debe arreglar primero. En la carpeta están el contrato de alcance, el historial exportado de una sesión de prueba, una respuesta del acceso, los casos del repetidor y una comparación. Nada de lo que viste en Tamarindo resuelve esto: los hosts, las cookies y los números son otros. No hay paso a paso: cruza el contrato con lo que se registró, lee las cookies, mira qué respondió sin sesión, qué distingue las dos respuestas y decide qué hallazgo va primero.

0 de 5 · 0%

Objetivo de la sala

El proxy registró cada host al que fue el navegador de prueba. El contrato dice cuáles se podían probar. Cruza las dos cosas, sin dar por bueno ningún host solo por compartir dominio con la tienda.

Responde para continuar

Escribe el host del dominio de Aurora que el contrato excluye y que el proxy registró.

El acceso entrega dos cookies. Una es de sesión. Revisa sus atributos y el contexto en que se usan antes de decidir cuál de las dos es la que importa para el informe.

Responde para continuar

Escribe el nombre de la cookie de sesión que se emite sin HttpOnly.

El repetidor probó rutas con y sin sesión y con las dos cuentas de prueba. Un 401 o un 403 es el control funcionando. Lo que importa es lo que respondió con datos cuando nadie había iniciado sesión.

Responde para continuar

Escribe cuántos bytes pesó la respuesta de la API que devolvió datos sin que hubiera sesión.

La comparación pone al lado la validación de dos cupones con la misma sesión. Una parte de lo que cambia es el tamaño y el texto; hay una cabecera que solo viene en una de las respuestas.

Responde para continuar

Escribe la cabecera que solo aparece en la respuesta del cupón que existe.

Aurora te pide que le digas qué arreglar primero. El informe ordena por impacto real para el negocio, no por lo que cuesta menos corregir ni por lo que parece más técnico. Tienes tres hallazgos con la evidencia de la sesión.

Responde para continuar

¿Con qué hallazgo abre el informe de Aurora?

El recurso de la API que respondió sin sesión, porque expone datos del negocio a cualquier persona sin necesitar cuenta La cookie de sesión sin HttpOnly, porque es la que más veces aparece en las respuestas Las cabeceras que anuncian el software, porque son el arreglo más rápido y se pueden cerrar hoy

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Lo que no estaba en el contrato Lab

2 La cookie que le falta algo Lab

3 Lo que respondió sin sesión Lab

4 Lo que distingue las dos respuestas Lab

5 Qué va primero Lab

Whoami-Labs Pro utiliza cookies