Caso final — Trestoldo

Trestoldo tiene varias cosas que anotar: la respuesta HTTP delata el servidor y su version, hay un TODO a medias, y en algun sitio un fallo de verdad. El auditor no se queda con lo primero que ve: ordena por impacto. Una cabecera que revela la version es informativa; un fallo que deja entrar a cualquiera al sistema es critico. Separar el ruido del impacto es lo primero del caso, y se hace sin que nadie diga donde mirar.

Empieza como en las salas: abre los archivos de la aplicacion y sigue cada entrada del usuario hasta donde termina.

El fallo critico sigue el patron que ya viste en el modulo de inyeccion, ahora en el sitio que mas duele: la autenticacion. En login.php la entrada del usuario se pega dentro de la consulta que decide si entras, sin separarla. Como el dato y la instruccion viven en la misma cadena, la consulta se puede torcer para que de por valida una sesion que no lo es. El auditor lo reconoce por la concatenacion en la consulta del login, igual que en Rividata, aqui con consecuencia directa sobre quien entra.

Que el patron sea el mismo de otra sala y aun asi lo caces en un archivo nuevo es justo lo que mide el caso final: metodo, no memoria.

Un hallazgo sin clasificar no se puede priorizar ni arreglar bien. El fallo del login de Trestoldo es una inyeccion SQL (CWE-89), y su severidad es critica porque esta en la autenticacion: cede la puerta de entrada. El arreglo es el mismo que cierra la clase entera —consulta parametrizada, con el dato enviado aparte, y verificacion de la contrasena con hash—. El auditor clasifica y propone el arreglo antes de escribir el informe.

La clasificacion no es un formalismo: es lo que le dice a desarrollo que tipo de fallo es y como se cierra de verdad.

El caso no se cierra con una sensacion, se cierra con el hallazgo critico identificado. En la carpeta de auditoria de Trestoldo hay una nota por cada cosa anotada, cada una con su severidad y su codigo. Localiza la del fallo critico —el que deja entrar sin credenciales validas—, confirma que su severidad es Critica y lee su codigo. Ese es el que va a la cabecera del informe.