Funzionalità di amministrazione visibile agli utenti di base

Question

Funzionalità di amministrazione visibile agli utenti di base

#1 da (2 voti)
#2 da (1 voti)
#3 da (1 voti)

3

L'interfaccia di un'applicazione è uguale per ogni tipo di ruolo utente. Anche la matrice di accesso è ben mantenuta. Tuttavia, i nomi di quasi tutte le funzionalità sono visibili a tutti gli utenti. Ma se l'utente non è autorizzato a una determinata azione, dice "Non autorizzato" e quindi reindirizza l'utente alla pagina iniziale.

Non sono sicuro di doverlo segnalare ai proprietari delle app? Se lo faccio, rientra nella categoria delle "migliori pratiche" o di una "vulnerabilità"? Si prega di avvisare.

web-application vulnerability defense

posta one 11.10.2016 - 10:26

fonte

3 risposte

Leggi altre domande sui tag web-application vulnerability defense

QUIC ha veramente risolto il problema dello spoofing IP Perché spostare rapidamente il mio mouse rende più veloce il ricaptcha?

score 2 · Answer 1

Se si tratta di un'applicazione client-server, allora forse vale la pena controllare se è solo il client che dice "non autorizzato" o se una richiesta viene inviata al server e il server risponde. Scommetto che ci sono molti sistemi software mal scritti i cui sviluppatori pensano che il lavoro sia fatto quando rifiutano un'azione specifica sul client senza proteggere le interfacce del server.

score 1 · Answer 2

La sicurezza non dovrebbe fare affidamento sull'IHM. Quindi, come dici tu quando un utente non autorizzato chiede un'azione amministrativa, l'azione viene rifiutata, non vi è alcuna vulnerabilità qui. Si potrebbe sostenere che è meglio nascondere l'URL di gestione agli utenti normali perché potrebbe aiutare un utente malintenzionato a scoprire le vulnerabilità, ma suona come la sicurezza tramite l'offuscamento. La parte di sicurezza dice:

rifiuta le query mal formate prima che vengano elaborate dal livello aziendale
rifiuta azioni dell'utente non autorizzato

Detto questo, porta a un'esperienza utente molto povera, perché l'utente medio (non amministratore) vede le opzioni che non è autorizzato a utilizzare. Quindi la mia opinione è che dovresti davvero segnalare ai proprietari delle app, ma nella categoria user experience - sicuramente più best practice di vulnerabilità

score 1 · Answer 3

Questo è quello che farei in questo caso:

Verifica se il reindirizzamento è un controllo lato client.
Verifica se posso estendere il mio privilegio a quello di un utente con privilegi più elevati usando i parametri di quell'utente. Ad esempio, se useradd è lì solo per l'amministratore, effettuerò l'accesso con un utente normale e tenterò quella richiesta nel proxy che manipola tutto tranne il cookie di sessione.

Se nessuno dei due funziona, lo segnalerei come best practice suggerita. Vorrei sottolineare nella relazione che se in futuro, qualsiasi modulo aggiuntivo viene aggiunto e mancano i controlli di sessione / accesso correnti in quei moduli, un utente con privilegi bassi potrebbe facilmente essere in grado di identificare e manipolare la nuova funzionalità.