Escenario, Ferrelomas

5 tareas · 52 min · Principiante

Otra organización, otro portal y otros números, y nadie te dice dónde mirar. El miércoles 3 de noviembre de 2027 un cliente mayorista de Ferrelomas, una distribuidora de ferretería, avisa de que su cuenta del portal mostraba pedidos que él no hizo. El equipo del portal reunió dos semanas de registros: acceso, autenticación, sesiones, auditoría de la aplicación, eventos del WAF y una comparación de integridad del servidor. No hay pistas ni consultas sugeridas: el método del módulo es tuyo y aquí se aplica con otros datos; a cada tabla le basta un SELECT.

0 de 5 · 0%

Objetivo de la sala

Las cuentas de clientes entran casi siempre desde las mismas direcciones. En el registro de autenticación hay una sesión que nace en una dirección externa que no es la habitual de esa cuenta.

Responde para continuar

¿Desde qué dirección externa se creó la sesión que consultó pedidos de otros clientes?

El registro de autenticación guarda, para cada intento, la cuenta y el resultado. La sesión de la tarea anterior pertenece a una sola cuenta, que no es de quien se hizo con ella.

Responde para continuar

¿Qué cuenta de cliente tuvo la sesión creada desde esa dirección?

La auditoría de la aplicación resume, por día, origen y ruta, cuántas peticiones hubo y cuántos objetos de otros clientes se devolvieron. Solo una ruta de esa dirección entregó objetos ajenos; otra recibió peticiones y no entregó nada.

Responde para continuar

¿Qué ruta devolvió objetos de otros clientes a esa dirección? Escríbela como aparece, empezando por la barra.

El alcance se mide con los objetos ajenos devueltos con éxito, no con el número de peticiones: las respuestas que no entregaron nada no cuentan. Los identificadores no se repiten entre días, así que los días se suman.

Responde para continuar

¿Cuántos pedidos de otros clientes se devolvieron en total a esa dirección? Escribe solo el número.

La gerencia pide una frase para el informe sobre la exposición. Elige la redacción que cuenta lo que las tablas sostienen y no más, incluidos los límites de la evidencia.

Responde para continuar

¿Qué redacción del informe describe correctamente lo ocurrido?

Entre el 26 y el 27 de octubre una sesión externa de ferrosur obtuvo 281 pedidos de otros clientes, sin facturas ni cambios de código; se desconoce cómo consiguió la clave No hay exposición, porque el WAF solo anotó eventos de automatización y nunca bloqueó nada, de modo que los datos de pedidos no pudieron salir de la aplicación Se filtraron los datos de todos los clientes de Ferrelomas, pedidos y facturas incluidos, durante las dos semanas que cubre el registro, a través de una vulnerabilidad del portal

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 El origen de la sesión Lab

2 La cuenta Lab

3 Lo que se devolvió Lab

4 Cuánto salió Lab

5 Qué se escribe en el informe Lab

Whoami-Labs Pro utiliza cookies