Examen II · Superficie web y federación

3 tareas · 45 min · Principiante

Evaluación de los controles de seguridad en las aplicaciones web y la API de Financiera Sugamuxi: cabeceras de origen cruzado, validación de firmas en tokens de autenticación y autorización funcional de rutas.

0 de 3 · 0%

Objetivo de la sala

La combinación de comodines en el origen permitido junto con la habilitación de credenciales en cabeceras CORS vulnera la política del mismo origen del navegador.

Consulta la tabla cabeceras_web e identifica la directiva de seguridad que presenta evaluación de riesgo CRITICO_PERMISIVO.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla cabeceras_web, ¿cuál es la directiva_seguridad que presenta evaluación de riesgo CRITICO_PERMISIVO?

El uso de algoritmos de firma deshabilitados o nulos permite forjar tokens de identidad arbitrarios sin requerir la clave criptográfica del servidor de autenticación.

Consulta la tabla config_jwt e indica qué algoritmo figura como permitido en la configuración del token.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla config_jwt, ¿cuál es el valor de configuracion_actual para el parametro algoritmo_permitido?

El acceso a funciones administrativas por parte de usuarios con roles convencionales constituye una brecha de control de acceso funcional (BFLA).

Examina la tabla endpoints_api y copia la ruta del endpoint que presenta ausencia de control de rol.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla endpoints_api, ¿cuál es la ruta del endpoint que tiene control_rol indicado como SIN_CONTROL_DE_ROL_BFLA?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Financiera Sugamuxi · Aplicación Web y Control de Acceso (datos de ejemplo)

Consola de lectura · salidas guardadas

Tablas

cabeceras_web

directiva_seguridad
valor_configurado
evaluacion_riesgo

config_jwt

parametro_token
configuracion_actual
estatus

endpoints_api

ruta_endpoint
metodo_http
autenticacion_exigida
control_rol

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Configuración permisiva de origen cruzado Lab

2 Algoritmo de firma inseguro en tokens JWT Lab

3 Endpoint de la API con falla de control de rol Lab

Whoami-Labs Pro utiliza cookies