Objetos ajenos accesibles por identificador (BOLA/IDOR)

3 tareas · 40 min · Principiante

La aplicación móvil confiaba en que el cliente solo solicitaría sus propios viajes; el endpoint de detalle no verificaba que el identificador correspondiera al usuario autenticado.

0 de 3 · 0%

Objetivo de la sala

La aplicación móvil confiaba en que el cliente solo solicitaría sus propios viajes; el endpoint de detalle no verificaba que el identificador correspondiera al usuario autenticado.

Consultar directamente por la clave primaria sin enlazarla a la identidad de la sesión permite la extracción de recursos ajenos.

Consulta la tabla trazas_acceso_objetos e identifica qué se hizo con la validación de sesión.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla trazas_acceso_objetos, ¿cuál es el valor de validacion_sesion_en_bd para VIAJE-7701?

Omitir la comprobación de autorización a nivel de objeto resulta en la entrega indebida de información personal.

Consulta la tabla trazas_acceso_objetos y extrae el resultado del acceso para VIAJE-7701.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla trazas_acceso_objetos, ¿cuál es el resultado_acceso para la solicitud sobre VIAJE-7701?

Identificar al actor solicitante permite correlacionar el alcance del raspado de datos.

Consulta la tabla trazas_acceso_objetos e indica el identificador de usuario_solicitante.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla trazas_acceso_objetos, ¿cuál es el usuario_solicitante registrado en los eventos?

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Taxis Bacatá · Debilidad BOLA / IDOR en Carreras (datos de ejemplo)

Consola de lectura · salidas guardadas

Tablas

solicitudes_viajes

id_carrera
usuario_solicitante
validacion_sesion_en_bd
resultado_acceso

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Estado de la comprobación de pertenencia en base de datos Lab

2 Consecuencia del acceso sobre el viaje consultado Lab

3 Identificador del usuario que remitió las consultas Lab

Whoami-Labs Pro utiliza cookies