Explotabilidad del escenario [cerrado]

0

Tenemos una aplicación local que debe iniciar sesión para usar (utilizando las credenciales de ldap). Una vez iniciada la sesión, las credenciales que ingresó se utilizan para comunicarse con la API y la base de datos y recuperar el trabajo que se le asignó. Sin embargo, al abrir una asignación, esto saca un archivo de un recurso compartido de red como el usuario que ha iniciado sesión actualmente (en Windows, no en la aplicación). Ahora, el 99% de las veces, este será el mismo usuario, sin embargo, eso todavía me parece incorrecto, pero el desarrollador afirma que este comportamiento es por diseño (ya que existen políticas para bloquear / no compartir su computadora), y yo no puedo discutir

¿Se puede explotar esto de alguna manera, o estoy siendo demasiado cauteloso?

    
pregunta user2678506 12.08.2017 - 20:22
fuente

1 respuesta

1

Si entiendo la configuración correctamente, por un lado usted se autentica en la aplicación para recuperar algunos datos de ella y luego, independientemente, se accede a un recurso compartido de Windows (probablemente activado por la aplicación).

En ese caso, el usuario que ha iniciado sesión puede acceder a los datos sin la aplicación de todos modos. Es posible que no sepa dónde buscar los datos, pero si los derechos están configurados correctamente en el recurso compartido, es más una forma de ocultarle a qué tiene acceso que de evitar que otra persona acceda a ellos. .

Si las suposiciones anteriores son correctas, no hay problemas de seguridad obvios con este acceso dual.

    
respondido por el WoJ 12.08.2017 - 22:09
fuente

Lea otras preguntas en las etiquetas