De la fuente al sumidero

Una fuente es cualquier punto por donde entra un dato que el atacante puede elegir: un parámetro de la petición, una cabecera, un archivo subido, un mensaje de una cola que otro sistema llena. Un sumidero es el punto donde ese dato se usa en algo que lo interpreta: una consulta a la base, una ruta del sistema de archivos, un comando, una plantilla HTML. Entre los dos puede haber, o no, un control: una validación contra una lista cerrada, un parámetro separado del texto de la consulta, una codificación de salida.

El método consiste en elegir una fuente y seguirla por cada función que la recibe hasta el sumidero, anotando los pasos. Si el dato llega al sumidero sin un control que sirva para ese sumidero, hay hallazgo. Si hay un control, se comprueba que de verdad protege ese sumidero y no otro: validar que algo sea texto no sirve de nada frente a una ruta de archivos.

Abre el laboratorio y lee primero ejemplo-de-traza.txt: es el formato del equipo, hecho con el dato que viene de la sesión. Después haz lo mismo con los parámetros que lee costo_nomina() en app/reportes/rutas.py. Síguelos por servicio.py y consultas.py, y mira en app/bd.py qué viaja separado del texto de la consulta y qué no.

La segunda ruta del módulo devuelve un archivo. Sigue sus dos parámetros desde descargar() hasta send_file. Ojo con los nombres: dentro del código un valor puede cambiar de nombre al pasar de una función a otra, y lo que hay que reportar es el nombre con el que entra por la petición, que es el que el desarrollador buscará.

En consultas.py hay dos valores pegados al texto de la consulta, no uno. Un buscador de patrones marcaría los dos. La traza dice otra cosa: uno de ellos nunca lleva a la consulta lo que escribió el usuario, porque en el camino se cambia por un valor que eligió el programador. Ese control es el que tienes que nombrar, porque si alguien lo quita, el hallazgo aparece.

El control tiene que servir para el sumidero. Para la consulta, la respuesta conocida es mandar el valor como parámetro. Para la ruta del archivo, la entrada puede traer separadores de carpeta que la sacan de la carpeta prevista, y eso no lo resuelve escaparla ni limitar su longitud. Lo que sirve es construir la ruta final y comprobar que sigue dentro de la carpeta base, o no aceptar un nombre del usuario y buscar el archivo por un identificador propio.