حد يعتمد ترويسة العميل

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

الآن يوجد حد خمس محاولات لكن الخادم يعد المحاولات حسب عنوان IP في ترويسة X-Forwarded-For وهي ترويسة يرسلها العميل فإذا غيرتها كل طلب حصلت على عداد جديد والحد لا يبيت

ما الذي تراه أمامك

نفس شاشة التحقق لكن الخادم يحد المحاولات حسب X-Forwarded-For. هذه ترويسة يتحكم بها العميل فتدويرها يمنح عدادا جديدا في كل مرة

الهدف

تجاوز الحد بتدوير ترويسة IP وخمن الرمز

متى يعتبر محلولا

دورت الترويسة وتجاوزت الحد وخمنت الرمز

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

جرب محاولات متتالية بنفس الترويسة ولاحظ الحظر
لاحظ أن المفتاح ترويسة يرسلها العميل
غير الترويسة إلى عنوان جديد
كرر مع عناوين مختلفة حتى تخمن الرمز

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

مفتاح الحد كان ترويسة يتحكم بها العميل فلا قيمة له لأن المهاجم يزورها القاعدة أن مفتاح الحد يجب أن يكون شيئا لا يتحكم به العميل مثل الحساب أو عنوان الشبكة الموثوق من الخادم

السبب الجذري

مفتاح الحد ترويسة يتحكم بها العميل الجذر الثقة في قيمة عميل لتحديد دلو المعدل

كيف يصلح الكود

اعتمد مفتاح حد لا يتحكم به العميل الحساب أو عنوان الشبكة الموثوق

الكود المصاب

const key = req.headers['x-forwarded-for'] || 'default'; // client-controlled

الكود الآمن

const key = req.user?.id ?? req.socket.remoteAddress; // account, or the real peer address

الأثر في الواقع

تزوير ترويسة IP يتجاوز حدود المعدل في أنظمة كثيرة ويعيد فتح التخمين والإغراق

كيف يكتشفها المدافعون

المدافع يعد حسب الحساب أو عنوان الشبكة الموثوق من الخادم ويرصد تنوع ترويسات IP من مصدر واحد

المستوى التالي العودة إلى الدرس