Ders 3.5: Bozuk erişim denetimi ve IDOR
Kimlik doğrulama kim olduğunu sorar; yetkilendirme ne yapabileceğini. OWASP Top 10'da bir numara olan bozuk erişim denetimi, ikinci sorunun atlanmasıdır. En yaygın biçimi, güvensiz doğrudan nesne başvurusu (IDOR): bir URL'deki sayıyı değiştir ve başkasının verisini gör. Ayrıca eksik işlev düzeyi kontrolleri (yönetim sayfaları) ve bağlantıları gizlemenin neden bir savunma olmadığı. Laboratuvarda sipariş API'n, giriş yapmış herkese herhangi bir müşterinin siparişini gösteriyor. Bunu Elif'in hesabıyla kanıtlıyor, günlükte 25 sipariş indiren birini buluyor, veritabanı sorgusunu sahibini kontrol edecek şekilde düzeltiyor ve düzeltmenin iki yüzünü de kanıtlıyorsun.
18 dk
Bu derste öğreneceklerin
- Kimlik doğrulamayı yetkilendirmeden ayırmak
- IDOR'u ve işlev düzeyi erişim denetimini açıklamak
- Bir günlükte kimliklerin sırayla taranmasını fark etmek
- Bir IDOR'u sahipliği sunucuda kontrol ederek düzeltmek
- Bir düzeltmeyi iki yönde sınamak: başkaları için engelli, sahibi için hâlâ çalışıyor
Temel terimler
- Kimlik doğrulama
- Kim olduğunu kanıtlamak: parola, çok faktörlü doğrulama, geçiş anahtarı.
- Yetkilendirme
- Kimliği doğrulanmış bir kullanıcının neyi yapabileceğine ya da görebileceğine karar vermek.
- IDOR (güvensiz doğrudan nesne başvurusu)
- Insecure Direct Object Reference: uygulamanın, kullanıcının erişebileceğini kontrol etmeden istekteki bir kimliği kullanarak bir nesneyi getirmesi.
- İşlev düzeyi erişim denetimi
- Kullanıcının rolünün bir işlevi, örneğin bir yönetim sayfasını ya da bir silme işlemini hiç kullanıp kullanamayacağını kontrol etmek.
- Numaralandırma
- Hangilerinin var olduğunu bulmak için kimlikleri, adları ya da değerleri birbiri ardına denemek.
- Varsayılan olarak reddet
- Bir kural açıkça izin vermedikçe erişimi reddetmek.
← IPv6: yeni nesil adresler · Tüm dersler · MITRE ATT&CK: saldırgan davranışı için ortak bir dil →