Türkçe Altyazı seçeneğini de aktif ederek mutlaka bu video’yu da izlemenizi tavsiye ederim
Ortak erişim denetimi güvenlik açıklarına örnek verecek olursak ;
- Erişim kontrolünü atlamak, URL’yi, dahili uygulama durumunu veya HTML sayfasını değiştirerek veya yalnızca özel bir API saldırı aracı kullanarak denetlemeyi sağlar.
- Birincil anahtarın başkalarının kullanıcı kaydına değiştirilmesine izin vermek, başkasının hesabını görüntülemek veya düzenlemek için izin vermek.
- Ayrıcalık yükselmesi. Giriş yapmadan kullanıcı olarak hareket etmek veya kullanıcı olarak giriş yaptığınızda yönetici olarak hareket etmeye kısacası yetkisiz yetki erişimine sahip olmanızı sağlar.
- CORS yanlış yapılandırması yetkisiz API erişimine izin vermesini sağlıyor bu da ciddi bir güvenlik açığını beraberinde getiriyor.
KIRIK ERİŞİM KONTROLÜ ÖRNEKLERİ
Uygulama, hesap bilgilerine erişen bir SQL çağrısında doğrulanmamış verileri kullanıyor:
pstmt.setString (1, request.getParameter ("acct")); ResultSet results = pstmt.executeQuery ();
Bir saldırgan, acctistediği hesap numarasını göndermek için tarayıcıdaki parametreyi değiştirir . Doğru şekilde doğrulanmadıysa, saldırgan herhangi bir kullanıcının hesabına erişebilir.
http://example.com/app/accountInfo?acct= notmyacct
Bir saldırgan sadece URL’leri hedef URL’lere yönlendirmeye zorluyor
Yönetici sayfasına erişim için yönetici hakları gereklidir.
http://example.com/app/getappInfo http://example.com/app/ admin_getappInfo
Kimliği doğrulanmamış bir kullanıcı iki sayfaya da erişebiliyorsa, bu bir kusurdur. Yönetici olmayan yönetici yönetici sayfasına erişebiliyorsa, tekrar bir zaafiyet söz konusu olmuş olacak.
KIRIK ERİŞİM KONTROLÜ NASIL ENGELLENİR
Erişim denetimi, yalnızca saldırganın erişim denetimi denetimini veya **** verileri değiştiremediği güvenilir sunucu tarafı koduna veya sunucu içermeyen API’ye zorlandığında etkilidir.
Varsayılan olarak işlevselliğe erişimi reddetme.
Erişim denetimi listelerini ve rol tabanlı kimlik doğrulama mekanizmalarını kullanın.
Sadece işlevleri gizlemememiz gerekiyor