Loading
_ DESCIFRANDO CONEXIÓN SEGURA...

Escenario — la app de Lucero Domicilios

5 tareas · 55 min · Principiante

Otra empresa, otra app y otros datos: nada de lo que viste con la Cooperativa Gaviota resuelve esto por memoria. Lucero Domicilios, una empresa de reparto de comida, te contrata para probar su app de Android en la semana del 3 al 7 de mayo de 2027. En la carpeta del encargo tienes la carta de alcance, el correo que el cliente mandó después, el manifiesto, las cadenas del paquete, lo extraído del dispositivo de pruebas, la exportación del proxy y las notas de la primera pasada. No hay pistas ni orden de lectura. Es una estación de lectura: no se ejecuta nada. Si el método del módulo es tuyo, aquí se transfiere.

0 de 5 · 0%

Objetivo de la sala

Otra empresa, otra app y otros datos: nada de lo que viste con la Cooperativa Gaviota resuelve esto por memoria. Lucero Domicilios, una empresa de reparto de comida, te contrata para probar su app de Android en la semana del 3 al 7 de mayo de 2027. En la carpeta del encargo tienes la carta de alcance, el correo que el cliente mandó después, el manifiesto, las cadenas del paquete, lo extraído del dispositivo de pruebas, la exportación del proxy y las notas de la primera pasada. No hay pistas ni orden de lectura. Es una estación de lectura: no se ejecuta nada. Si el método del módulo es tuyo, aquí se transfiere.

El cliente amplía el encargo por correo. Antes de aceptar nada, contrasta el correo con lo que firmó y con quién opera cada sistema.

Responde para continuar

¿Qué dominio del correo del cliente pertenece a un tercero?

Revisa los componentes del manifiesto y decide cuál de ellos queda invocable desde fuera sin que el sistema compruebe nada.

Responde para continuar

¿Qué componente exportado, distinto del de arranque, no exige permiso a quien lo invoca?

El paquete lleva varias cadenas y el cliente comentó cada una. No todas son un problema: importa lo que permite hacer a quien la lea.

Responde para continuar

¿Cómo se llama la cadena incrustada que da acceso a un servicio de un tercero sin restricción de origen?

La exportación del proxy muestra todo lo que la app envió durante la ventana. Una conexión no sigue la política del resto.

Responde para continuar

¿Qué identificador de flujo corresponde a la conexión sin cifrar que lleva el token en la dirección?

La primera pasada dejó cinco hallazgos candidatos sin referencia al estándar. Para el informe, el H3 necesita la suya, según lo que cada grupo del MASVS cubre.

Responde para continuar

¿A qué grupo del MASVS corresponde el hallazgo H3? Escribe el nombre completo del grupo.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Whoami-Labs Pro

Whoami-Labs Pro utiliza cookies

Utilizamos cookies y almacenamiento local para el funcionamiento del sitio, seguridad de sesión y, si lo autorizas, analítica y marketing. Puedes aceptar, rechazar o personalizar. Política de Privacidad