در این چالش شما با یک محیط آزمایشگاهی وب روبهرو هستید که یک سامانه مدیریت عملیات و پیشنمایش پیامهای سمت کلاینت را شبیهسازی میکند. هدف این سناریو بررسی نحوه پردازش دادهها در مرورگر و تحلیل مسیرهایی است که ورودیهای قابلکنترل کاربر از طریق آنها وارد منطق JavaScript و ساختار DOM میشوند.
در ابتدای کار لازم است سطح دسترسی به سرویسهای موجود روی سیستم هدف را شناسایی کنید و سرویس فعال را مورد بررسی قرار دهید. پس از شناسایی سرویس وب، با تنظیم صحیح نام میزبان و برقراری ارتباط با رابط وب ارائهشده، میتوانید به بخشهای مختلف این پورتال دسترسی پیدا کنید.
نکته: برای اینکه بتوانیم سایت را با hostname خودش باز کنیم، دامنه CLIENT.local رو به فایل hosts سیستم خود اضافه کنید.
رابط کاربری این سامانه شامل بخشهایی برای مدیریت عملیات و همچنین پیشنمایش پیامهای سیستمی است. برخی از این قابلیتها از دادههایی استفاده میکنند که مستقیماً از آدرس صفحه در مرورگر دریافت میشوند. به همین دلیل لازم است نحوه پردازش این دادهها در سمت مرورگر و ارتباط آنها با اسکریپتهای JavaScript موجود در صفحه مورد بررسی قرار گیرد.
در ادامه باید فایلهای راهنما و مستندات فنی موجود در محیط را بررسی کنید. این منابع معمولاً اطلاعاتی درباره ساختار پردازش داده، مسیرهای استفاده از ورودیهای کاربر و نحوه عملکرد مؤلفههای سمت کلاینت ارائه میدهند. تحلیل این اطلاعات میتواند به شناسایی منابع دادهای قابلکنترل توسط کاربر و مسیر انتقال آنها در کد کمک کند.
گام بعدی بررسی دقیق اسکریپتهای JavaScript مرتبط با قابلیت پیشنمایش پیامها است. در این بخش باید مشخص کنید دادههایی که از آدرس مرورگر دریافت میشوند چگونه در کد پردازش میشوند و در چه نقاطی ممکن است به توابع یا عملیات حساس در مرورگر منتقل شوند. تحلیل کامل این جریان داده برای درک رفتار واقعی برنامه در سمت کلاینت ضروری است.
این چالش بر مهارتهای تحلیل امنیتی در سطح مرورگر تمرکز دارد و از شرکتکننده انتظار میرود با بررسی تعامل میان URL، JavaScript و منطق اجرایی سمت کاربر، مسیرهای پردازش داده را شناسایی کرده و رفتارهای امنیتی مرتبط با آنها را تحلیل کند.
همچنین جهت دسترسی به صفحه مربوط به آزمایشگاه WSTG می توانید به لینک زیر مراجعه نمایید:
درصد پیشرفت حل چالش
0%
