در این چالش، شما با یک برنامه تحت وب روبهرو هستید که رفتار آن تنها به ظاهر رابط کاربری محدود نمیشود و برای تحلیل صحیح، باید نحوه ارتباط میان بخش فرانتاند، API و منطق واقعی سمت سرور را بررسی کنید.
هدف اصلی، شناخت وابستگی برنامه به نامهای میزبان، مسیرهای ارتباطی و دادههایی است که میان کاربر و backend تبادل میشوند. بنابراین لازم است ابتدا ساختار دسترسی برنامه را بهدرستی شناسایی کرده و اطمینان حاصل کنید که تمام بخشهای سامانه از جمله سرویسهای وابسته، بهدرستی در دسترس قرار گرفتهاند.
در ادامه، لازم است رفتار برنامه را در سناریوهای عادی و مورد انتظار بررسی کنید تا بتوانید الگوی طبیعی درخواستها و پاسخها را بشناسید.
مشاهده صفحات اصلی، یادداشتهای عملیاتی، منابع سمت کلاینت و پاسخ endpointهای عمومی میتواند دید مناسبی از قواعد کسبوکار، محدودیتهای اعمالشده و فرضیات طراحی برنامه به شما بدهد.
در این مرحله، توجه ویژه باید به این موضوع باشد که آیا محدودیتها واقعاً در سمت سرور enforce میشوند یا صرفاً در رابط کاربری نمایش داده شدهاند.
بخش مهم این چالش، تحلیل تفاوت میان اعتبارسنجی ظاهری و منطق واقعی برنامه است.
شما باید بررسی کنید که آیا مقادیر حساس ارسالی از سمت کاربر، بدون راستیآزمایی کافی توسط backend پذیرفته میشوند یا خیر. برای این منظور، لازم است ساختار درخواستهای ارسالی، پارامترهای مؤثر در تصمیمگیری سیستم و نقش هر فیلد در فرآیند پردازش را بهصورت دقیق ارزیابی کنید.
تمرکز اصلی چالش بر کشف ناهماهنگی میان قوانین اعلامشده و نحوه اجرای واقعی آنها در سمت سرور است.
در مجموع، این سناریو یک تمرین کاربردی در حوزه Business Logic Assessment و ارزیابی اعتماد نادرست به ورودیهای کلاینت محسوب میشود.
موفقیت در این چالش نیازمند مشاهده دقیق، تحلیل مرحلهبهمرحله، درک تعامل اجزای مختلف برنامه و توجه به جزئیات رفتاری API است.
بنابراین توصیه میشود بهجای تمرکز صرف بر خطاهای فنی رایج، منطق پردازش درخواستها و تصمیمگیری سامانه را محور اصلی بررسی خود قرار دهید.
این چالش توسط PingQueen طراحی شده است.
همچنین جهت دسترسی به صفحه مربوط به آزمایشگاه WSTG می توانید به لینک زیر مراجعه نمایید:
درصد پیشرفت حل چالش
0%
