news

Access control testing: μεθοδολογία για IDOR/BOLA με το Burp Suite

giorgos 1 λεπτό ανάγνωσης

Πώς να εντοπίζετε χειροκίνητα τις κρίσιμες ευπάθειες πρόσβασης που ξεφεύγουν από τους αυτόματους scanners

Προσθέστε το iGuRu.gr στη Google
burp suite

Η μεθοδολογία ελέγχου για ευπάθειες IDOR (Insecure Direct Object Reference) και BOLA (Broken Object Level Authorization) με τη χρήση του Burp Suite βασίζεται στον εντοπισμό παραμέτρων αναφοράς αντικειμένων (όπως IDs, UUIDs, filenames) και στη δοκιμή πρόσβασης χρησιμοποιώντας διαφορετικά διαπιστευτήρια ή ρόλους.

Τα σφάλματα πρόσβασης είναι εδώ και χρόνια στην κορυφή της λίστας: πρώτη θέση στο OWASP Top 10 (A01, Broken Access Control) και πρώτη θέση στο OWASP API Security Top 10 (API1, Broken Object Level Authorization). Δεν τα πιάνουν σχεδόν ποτέ οι αυτόματοι scanners, γιατί ο scanner δεν ξέρει ποια δεδομένα ανήκουν σε ποιον. Γι’ αυτό είναι ιδανικό πεδίο για μεθοδικό, χειροκίνητο testing. Ακολουθεί η μεθοδολογία που χρησιμοποιώ σε web και API engagements.

Προτιμώμενη πηγή στο Google

Πριν από οτιδήποτε: εξουσιοδότηση και κανόνες

  • Γραπτή εξουσιοδότηση από τον ιδιοκτήτη του συστήματος, με σαφές scope: domains, APIs, περιβάλλοντα (ιδανικά staging).
  • Rules of engagement: ώρες, όρια ρυθμού αιτημάτων, τι απαγορεύεται (π.χ. διαγραφές σε production), ποιος ειδοποιείται αν βρεθεί κάτι κρίσιμο.
  • Δοκιμαστικοί λογαριασμοί που σας δίνει ο πελάτης. Δεν δοκιμάζουμε ποτέ πάνω σε δεδομένα πραγματικών χρηστών.
  • Ελάχιστη πρόσβαση: μόλις αποδείξετε ότι ένα object είναι προσβάσιμο, σταματάτε. Δεν «κατεβάζουμε» δεδομένα για να δείξουμε το μέγεθος του προβλήματος.

Η προετοιμασία

η συνέχεια στο /forum

Προτιμώμενη πηγή στο Google
Προσθέστε το iGuRu.gr στη Google

0 σχόλια

iGuRu.gr

Συμμετέχετε στη συζήτηση

Η ηλ. διεύθυνση σας δεν δημοσιεύεται. Τα υποχρεωτικά πεδία σημειώνονται με *

Το μήνυμα σας δεν θα δημοσιευτεί εάν:

  1. Περιέχει υβριστικά, συκοφαντικά, ρατσιστικά, προσβλητικά ή ανάρμοστα σχόλια.
  2. Προκαλεί βλάβη σε ανηλίκους.
  3. Παρενοχλεί την ιδιωτική ζωή και τα ατομικά και κοινωνικά δικαιώματα άλλων χρηστών.
  4. Διαφημίζει προϊόντα ή υπηρεσίες ή διαδικτυακούς τόπους.
  5. Περιέχει προσωπικές πληροφορίες (διεύθυνση, τηλέφωνο κλπ).