Horizontale Rechteausweitung

Was ist Horizontale Rechteausweitung?

Unsichere direkte Objektreferenzen befinden sich in der Lücke zwischen zwei Prüfungen, die sich wie eine anfühlen. Session-Middleware beweist, wer anruft. Es wird nicht gefragt, ob dieser Anrufer diesen Datensatz lesen darf. Sie öffnen Ihren eigenen Kontoauszug in einer Geld-App, ändern eine Ziffer in der ID und lesen den Kontostand und die Transaktionen eines Fremden mit Ihrer eigenen gültigen Sitzung ab. Anschließend fügen Sie den Eigentümervergleich hinzu, der 403 zurückgibt, wenn der Eigentümer des Datensatzes nicht der Benutzer der Sitzung ist, und sehen, warum zufällige UUIDs und Ratenbegrenzungen eher die Tiefe als den Fix darstellen.

Was Sie lernen in Horizontale Rechteausweitung

• Authentifizierung (wer anfragt) und Autorisierung (ob dieser Aufrufer diese Ressource erreichen darf) unterscheiden und erkennen, welche Prüfung IDOR umgeht
• Die IDOR-Signatur erkennen: eine gültige Sitzung, viele verschiedene Ressourcen-IDs, erfolgreiche Antworten über viele Eigentümer hinweg
• Die Eigentümerprüfung als primäre Abwehr anwenden: Eigentümer der Ressource mit dem Nutzer der Sitzung vergleichen und bei Abweichung mit 403 ablehnen
• Erklären, warum zufällige UUIDs, Rate Limits und stärkere Passwörter jeweils als primäre Abwehr gegen IDOR versagen: Der Fehler ist die fehlende Autorisierung, nicht erratbare IDs
• Die Eigentümerschaft anhand der serverseitigen Sitzung entscheiden, statt anhand eines Werts, den der Aufrufer in URL, Body oder Header kontrolliert

Horizontale Rechteausweitung — Trainingsschritte

1. Eine normale Kundenansicht

   Sablefin ist eine Finanz-App, bei der sich jeder registrieren kann. Bob hat das mit einer Wegwerf-Identität getan und sieht sich nun wie jeder andere Kunde sein eigenes Konto an. Er öffnet seinen Monatsauszug. Nichts daran ist für ihn gesperrt: Es ist sein Konto, seine Daten, seine Anmeldung.

2. Die Anfrage beobachten

   Bevor Bob etwas ändert, will er die Anfrage sehen, mit der seine App diese Seite lädt. Er öffnet die Netzwerk-Tools des Browsers und lädt die Seite neu, damit der Aufruf zum Abrufen seines Kontoauszugs mitgeschnitten wird.

3. Der Endpunkt und die ID

   Die Netzwerk-Tools haben den Aufruf mitgeschnitten. Es ist eine einfache GET-Anfrage an die API für Kontoauszüge; die vollständige Adresse von Bobs Auszug endet mit einer einzigen ganzen Zahl.

4. Das Token, das seine Identität belegt

   Dieselbe mitgeschnittene Anfrage enthält Bobs Session-Token. Der Server liest es aus, um zu bestätigen, dass ein angemeldeter Kunde anfragt.

5. Eine Ziffer ändern

   Bob fasst die Oberfläche der App nicht mehr an. Er bearbeitet die mitgeschnittene Anfrage direkt, verringert die ID um eins und sendet sie mit seinem eigenen Token erneut. Liefert der Server einen fremden Kontoauszug, hat er die Eigentümerschaft nie geprüft, sondern darauf vertraut, dass die ID in der URL bestimmt, was er zurückgeben soll.

6. Das Konto einer anderen Person

   Anderer Name, andere Kontonummer, anderer Kontostand — und Bobs Token hängt weiterhin an der Anfrage. Der Server hätte diesen Auszug nicht ausliefern dürfen, tat es aber trotzdem. Eine einzige benachbarte ID genügt, um den Fehler zu bestätigen. Alles Weitere erledigt ein Skript mit zehn Zeilen, das über Nacht den ID-Bereich durchläuft, während Bob schläft.

7. Wissenscheck

   Sie haben gerade gesehen, wie ein angemeldeter Kunde durch das Ändern einer Zahl den Kontoauszug eines anderen Kunden lesen konnte. Prägen Sie sich ein, warum.

8. Die Warnung trifft ein

   Sie verantworten den Service für Sablefins Kundenkonten. Über Nacht hat die Anomalieerkennung eine Sitzung erkannt, die Kontoauszug um Kontoauszug über fremde Konten hinweg abrief. Security Operations hat Ihnen die Details per E-Mail geschickt.

9. Den Handler öffnen

   Öffnen Sie den Handler für Kontoauszüge und prüfen Sie, wie er entscheidet, was zurückgegeben wird.

10. Die Schwachstelle erkennen

    Der Handler lädt den Kontoauszug anhand der ID in der URL und gibt ihn zurück. Zwischen diesen beiden Zeilen fehlt die erforderliche Prüfung.