باب خلفي للمشرفين منسي

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

أخيرا استخدم الهاكر مراجع UUID عشوائية لا تخمن فما عدت تقدر تخمن مرجع الزعيم لكن بقي مسار إداري /admin/members يفترض أنه للمشرفين فقط ويعيد قائمة كل الأعضاء ومراجعهم والمسار يتحقق فقط أنك مسجل دخول لا أنك مشرف

ما الذي تراه أمامك

نفس دليل الأعضاء لكن المراجع هنا UUID لا تخمن المسار members/المرجع بلا فحص ملكية ومسار إداري admin/members يسرد كل الأعضاء ومراجعهم وهو مفتوح لأي مستخدم مسجل لا للمدراء فقط

الهدف

اقرأ سجل الزعيم مرة أخرى رغم أن مرجعه UUID لا يخمن

متى يعتبر محلولا

استخدمت مسار المشرفين غير المحمي للحصول على مرجع الزعيم ثم قرأت سجله

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

افتح سجلك ولاحظ أن المرجع UUID لا يخمن
افتح صفحة الإدارة admin/members وتأمل أنها فتحت لك أنت guest
خذ مرجع الزعيم من القائمة المسربة
افتح سجل الزعيم بمرجعه

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

هنا ثغرتان في التحكم بالوصول: مسار /record لا يفحص ملكية الكائن (IDOR) ومسار /admin/members لا يفحص الدور فأي مستخدم يصل لوظيفة إدارية (نقص تحكم على مستوى الوظيفة) UUID العشوائي جعل التخمين صعبا لكن التسريب من المسار الإداري تجاوزه الحل: افحص الصلاحية على كل كائن وعلى كل وظيفة لا تعتمد على إخفاء الرابط أو صعوبة تخمينه والمسارات الإدارية تتحقق من الدور لا من مجرد تسجيل الدخول

السبب الجذري

ثغرتان متكاملتان مسار إداري بلا تحقق من الصلاحية يسرب المراجع ومسار السجل بلا فحص ملكية فالمعرف غير القابل للتخمين لا يحمي متى تسرب

كيف يصلح الكود

التحكم بالوصول طبقتان: على الكائن (أملك هذا؟) وعلى الوظيفة (مسموح لي هذي العملية؟) كلاهما لازم على كل طلب في الخادم

الكود المصاب

app.get('/record', (req, res) => {           // no ownership check (IDOR)
  res.json(db.record(req.query.ref));
});
app.get('/admin/members', (req, res) => {    // only checks logged in, not admin
  if (!req.session.user) return res.status(401).end();
  res.json(db.allMembers());
});

الكود الآمن

app.get('/record', (req, res) => {
  const record = db.record(req.query.ref);
  if (!record || record.ownerId !== req.session.user) return res.status(403).end();
  res.json(record);
});
app.get('/admin/members', requireRole('admin'), (req, res) => {
  res.json(db.allMembers());
});

الأثر في الواقع

ضعف التحقق على مستوى الوظيفة broken function level authorization يسمح لمستخدم عادي بالوصول لوظائف المدراء وقد كشف لوحات تحكم كاملة في اختراقات واقعية

كيف يكتشفها المدافعون

المدافع يفرض فحص الصلاحية على كل مسار إداري ويرصد وصول حسابات غير إدارية لمسارات admin ويقلل تسريب المعرفات في الردود

العودة إلى الدرس