Ders 2.3: Nesne özellikleri: toplu atama ve fazla paylaşım

Web 101 nesne düzeyinde erişimi ele aldı: bu kullanıcı 1042 numaralı siparişi görebilir mi? API'lerin özellik düzeyinde erişime de ihtiyacı vardır: bir kullanıcı bir nesnenin hangi alanlarını okuyabilir, hangilerini değiştirebilir? Çatılar bütün bir veritabanı satırını döndürmeyi ve bütün bir istek gövdesini onun içine kopyalamayı kolaylaştırır. Sonuç OWASP API Security Top 10'daki API3:2023, Bozuk Nesne Özelliği Düzeyinde Yetkilendirme'dir: parola özetlerini ve iç notları sızdıran yanıtlar ve rolü sessizce admin yapan istekler. Laboratuvarda ikisini de Northwind'in API'sinde görüyor, kendini yükselten iki hesabı buluyor, izin listelerine dayalı bir düzeltmeyi inceliyor, yayına alıyor ve kanıtlıyorsun.

17 dk

Bu derste öğreneceklerin

Özellik düzeyinde yetkilendirmeyi (API3:2023) açıklamak
Yanıtlarda aşırı veri ifşasını tanımak
Kodda toplu atamayı tanımak
Okunabilir ve yazılabilir alanlar için izin listeleri kullanmak
Bir denetim günlüğünde kötüye kullanımı bulmak

Temel terimler

OWASP API Security Top 10 (2023): En kritik API riskleri; API1 BOLA, API3 bozuk nesne özelliği düzeyinde yetkilendirmedir.
Toplu atama: İstemcinin ayarlamaması gerekenler dahil tüm istek alanlarını bir nesneye bağlamak.
Aşırı veri ifşası: İstemcinin ihtiyacından fazla alan döndürmek ve onları gizlemek için istemciye güvenmek.
İzin listesi (alanlar): Okunabilecek ya da yazılabilecek alanların açık listesi; geri kalan her şey reddedilir.
DTO / serileştirici: API'ye neyin girip çıktığını tam olarak tanımlayan ayrı bir nesne ya da şema.

← OWASP Top 10 ve saldırıların günlükte nasıl göründüğü · Tüm dersler · Atıl ve riskli hesaplar →