در این چالش شما با یک سامانه پشتیبانی تیکت به نام CrimsonDesk روبرو هستید که برای شبیهسازی یک محیط واقعی سازمانی طراحی شده است.
هدف شما بررسی رفتار این سامانه، کشف مسیرهای مختلف سرویس و تحلیل نحوه مدیریت خطاها در بخشهای مختلف آن است.
در ابتدای کار باید سرویس هدف را شناسایی کرده و بررسی کنید چه سرویسهایی روی سیستم در دسترس هستند. پس از دسترسی به سرویس وب، متوجه خواهید شد که برنامه نسبت به مقدار Host Header حساس است و تنها در صورتی درخواستها را میپذیرد که با نام میزبان صحیح ارسال شده باشند. بنابراین لازم است نامهای میزبان مرتبط با این سامانه را شناسایی کرده و ارتباط صحیح با سرویس برقرار کنید.
نکته: برای اینکه بتوانیم سایت را با hostname خودش باز کنیم، دامنه crimsondesk.test و api.crimsondesk.test رو به فایل hosts سیستم خود اضافه کنید.
پس از ورود به سامانه، با یک سیستم مدیریت تیکت مواجه میشوید که اطلاعاتی درباره ساختار شناسهها و نحوه استفاده از API در اختیار شما قرار میدهد. این اطلاعات نشان میدهد که بخشهای مختلف برنامه برای مدیریت درخواستها از قالبهای مشخصی برای شناسهها استفاده میکنند. بررسی این ساختارها میتواند سرنخهایی درباره نحوه پردازش ورودیها در اختیار شما قرار دهد.
در ادامه، با تحلیل رفتار برنامه در مواجهه با ورودیهای غیرمنتظره، میتوانید نحوه مدیریت خطاها در این سامانه را بررسی کنید. در برخی شرایط، بخشهای قدیمی یا ابزارهای عیبیابی (diagnostic) ممکن است اطلاعات بیشتری از حد انتظار در اختیار کاربر قرار دهند. این اطلاعات میتواند شامل جزئیاتی درباره معماری داخلی سرویس، مسیرهای داخلی یا سرویسهای مرتبط باشد.
همچنین در طول بررسی سامانه، متوجه خواهید شد که این برنامه از چندین سرویس مختلف تشکیل شده است که با یکدیگر در ارتباط هستند. تحلیل پاسخها و رفتار این سرویسها به شما کمک میکند زنجیره ارتباطی بین آنها را درک کنید و مسیرهای مدیریتی یا ابزارهای داخلی که برای عملیات و عیبیابی استفاده میشوند را شناسایی کنید.
در نهایت، هدف این چالش درک اهمیت مدیریت صحیح خطاها، جلوگیری از افشای اطلاعات داخلی و یکسانسازی پاسخهای خطا در سرویسهای مختلف است. شما باید با بررسی رفتار سامانه و آزمایش ورودیهای مختلف، نقاطی را که اطلاعات حساس یا ساختار داخلی سیستم را افشا میکنند شناسایی کنید.
این چالش توسط PingQueen طراحی شده است.
همچنین جهت دسترسی به صفحه مربوط به آزمایشگاه WSTG می توانید به لینک زیر مراجعه نمایید:
درصد پیشرفت حل چالش
0%
