در این چالش، شما با یک سامانهی وب مبتنی بر فرآیند دریافت و پردازش فایل روبهرو هستید که بخشی از منطق آن بر پایهی تفکیک فایلهای مجاز و غیرمجاز طراحی شده است.
برنامه در ظاهر تلاش میکند تنها برخی فرمتهای مشخص را برای ورود به جریان پردازش بپذیرد و سایر فایلها را محدود کند، اما مسئلهی اصلی این سناریو بررسی آن است که آیا این محدودیتها واقعاً در سمت سرور و مطابق با policy اعلامشده enforce میشوند یا صرفاً در سطح رابط کاربری و کنترلهای اولیه باقی ماندهاند.
برای تحلیل این چالش، لازم است رفتار سامانه را هم در آپلود تکی و هم در بارگذاری دستهای (Batch Upload) بررسی کنید.
در طول مسیر، باید تفاوت میان اعتبارسنجی ظاهری، کنترلهای سمت مرورگر، و تصمیمگیری واقعی برنامه در backend را ارزیابی کنید.
بخشی از اهمیت این سناریو در این است که یک سیستم ممکن است در ظاهر نوع فایل، قالب ورودی یا وضعیت آیتمها را بررسی کند، اما در عمل هنگام ذخیرهسازی، استخراج یا انتشار فایلها، منطق امنیتی مورد انتظار را بهدرستی اعمال نکند.
هستهی اصلی این تمرین بر ضعفهای Business Logic در حوزهی اعتبارسنجی فایل و enforce نشدن policy عملیاتی متمرکز است.
در اینجا صرفاً مسئلهی پذیرش یک فایل نامعتبر مطرح نیست، بلکه باید مشخص شود که آیا برنامه در تمام مراحل چرخهی پردازش، از دریافت اولیه تا ذخیرهسازی و انتشار نهایی، کنترلهای خود را بهصورت یکپارچه و قابل اتکا اجرا میکند یا خیر.
همچنین این چالش نشان میدهد که اعتماد بیش از حد به ویژگیهای قابل دستکاری در درخواست یا اکتفا به بررسی سطحی ساختار ورودی، میتواند باعث عبور دادههایی شود که نباید وارد جریان اصلی سامانه شوند.
در مجموع، این سناریو یک تمرین کاربردی در چارچوب OWASP WSTG-BUSLOGIC برای ارزیابی شکاف میان policy اعلامشده و رفتار واقعی سیستم است.
موفقیت در این چالش نیازمند تحلیل دقیق نقاط تصمیمگیری برنامه، شناسایی تفاوت میان کنترلهای نمایشی و کنترلهای مؤثر، و بررسی این موضوع است که آیا سامانه فقط ورودیها را دستهبندی میکند یا واقعاً از ورود و انتشار موارد غیرمجاز جلوگیری میکند.
این رویکرد بهخوبی اهمیت enforce شدن منطق امنیتی در لایهی سرور را در برابر اتکای صرف به محدودیتهای ظاهری نشان میدهد.
این چالش توسط PingQueen طراحی شده است.
همچنین جهت دسترسی به صفحه مربوط به آزمایشگاه WSTG می توانید به لینک زیر مراجعه نمایید:
درصد پیشرفت حل چالش
0%
