Funcionalidad de administrador visible para usuarios básicos

Question

Funcionalidad de administrador visible para usuarios básicos

#1 de kaidentity (2 votos)
#2 de Serge Ballesta (1 votos)
#3 de hax (1 votos)

3

La interfaz de una aplicación es la misma para cada tipo de rol de usuario. La matriz de acceso también está bien mantenida. Sin embargo, los nombres de casi todas las funcionalidades son visibles para todos los usuarios. Pero si el usuario no está autorizado para una acción en particular, dice "No autorizado" y luego redirige al usuario a la página de inicio.

¿No estoy seguro de informarle a los propietarios de la aplicación? Si lo hago, ¿cae en la categoría de "mejor práctica" o "vulnerabilidad"? Por favor avise.

web-application vulnerability defense

pregunta one 11.10.2016 - 10:26

fuente

3 respuestas

Lea otras preguntas en las etiquetas web-application vulnerability defense

Autenticación multifactorial vs. multifactor Escanee una computadora detrás de NAT

score 2 · Answer 1

Si se trata de una aplicación cliente-servidor, quizás valga la pena echarle un vistazo a si solo el cliente dice "no autorizado" o si se envía una solicitud al servidor y el servidor responde. Apuesto a que hay muchos sistemas de software mal escritos cuyos desarrolladores piensan que el trabajo se realiza cuando rechazan una acción específica en el cliente sin proteger las interfaces del servidor.

score 1 · Answer 2

La seguridad no debe confiar en el IHM. Entonces, como usted dice que cuando un usuario no autorizado solicita una acción administrativa, la acción se rechaza, no existe ninguna vulnerabilidad aquí. Se podría argumentar que es mejor ocultar la URL administrativa a los usuarios normales, ya que podría ayudar a un atacante a descubrir vulnerabilidades, pero suena como seguridad por ofuscación. La parte de seguridad dice:

rechazar las consultas mal formadas antes de que sean procesadas por la capa empresarial
rechazar acciones de usuarios no autorizados

Dicho esto, conduce a una experiencia de usuario muy deficiente, porque el usuario promedio (no administrador) ve opciones que no está permitido usar. Por lo tanto, mi opinión es que realmente debería informar a los propietarios de la aplicación, pero en la categoría de experiencia de usuario, definitivamente hay más mejores prácticas que vulnerability

score 1 · Answer 3

Esto es lo que haría en tal caso:

Verifique si la redirección es un control del lado del cliente.
Verifique si puedo escalar mi privilegio al de un usuario con privilegios más altos usando los parámetros de ese usuario. Por ejemplo, si useradd solo está allí para el administrador, iniciaría sesión con un usuario normal e intentaría esa solicitud en el proxy manipulando todo excepto la cookie de sesión.

Si ninguno de los dos funciona, lo informaría como una mejor práctica sugerida. En el informe destacaría que si en el futuro se agrega algún módulo adicional y faltan los controles de acceso / sesión actuales en esos módulos, un usuario con pocos privilegios puede identificar y manipular fácilmente la nueva función.