مرجع يبدو عشوائيا

اللابات تحتاج كمبيوتر

افتح هذه الصفحة من كمبيوتر أو كبر نافذة المتصفح

جار تحميل اللاب

السيناريو

بعد الفضيحة السابقة بدل الهاكر الأرقام المتسلسلة بمرجع يبدو عشوائيا لكل سجل مرجع سجلك هو MTA1MA== ومازال لا يوجد فحص للملكية الهاكر ظن أن إخفاء الرقم حماية كافية

ما الذي تراه أمامك

نفس دليل أعضاء الغربان لكن المرجع هنا يبدو مرمزا MTA1MA== والمسار members/المرجع التطبيق يعرض لك مرجعك بعد فك ترميزه فتكتشف أنه مجرد رقم مرمز بـ Base64. لا فحص ملكية

الهدف

اقرأ سجل الزعيم مرة أخرى رغم أن المرجع لم يعد رقما بسيطا

متى يعتبر محلولا

استخدمت مرجعا مرمزا لسجل لا تملكه وقرأت سجل الزعيم

قائمة الخطوات

علم كل خطوة وأنت تمشي فيها الخطوات هي الطريقة وليست الجواب

افتح سجلك وانظر مرجعك بعد فك الترميز
استنتج أن المرجع هو Base64 لرقم السجل
رمز رقما مجاورا بـ Base64 وضعه في العنوان
اصنع مرجع سجل الزعيم وافتحه

التلميحات

لم تكشف أي تلميح بعد اسأل الصقر عند الحاجة

لماذا نجح الحل

المرجع كان مجرد الرقم مرمزا بـ Base64 والترميز ليس تشفيرا ولا سرا أي أحد يفكه ويعيد تركيبه لأي سجل ثان المشكلة الأصلية باقية: لا فحص ملكية إخفاء المعرف (security by obscurity) يؤخر المهاجم دقائق ولا يوقفه الحل نفسه: افحص الصلاحية في الخادم ولو أردت معرفات غير قابلة للتخمين فاستخدم UUID عشوائيا لكن يبقى الفحص هو الأساس

السبب الجذري

الترميز Base64 ليس تحكما في الوصول بل تحويل عكسي يقرأه أي أحد الجذر نفسه غياب فحص الملكية والمرجع المرمز وهم أمان

كيف يصلح الكود

إخفاء المعرف ليس تحكما بالوصول Base64 ترميز لا تشفير افحص الصلاحية دائما ولو استخدمت UUID فهي راحة إضافية لا بديل عن الفحص

الكود المصاب

app.get('/record', (req, res) => {
  if (!req.session.user) return res.status(401).end();
  const id = Buffer.from(req.query.ref, 'base64').toString(); // "hidden" number
  res.json(db.record(id)); // still no ownership check
});

الكود الآمن

app.get('/record', (req, res) => {
  if (!req.session.user) return res.status(401).end();
  const id = Buffer.from(req.query.ref, 'base64').toString();
  const record = db.record(id);
  if (!record || record.ownerId !== req.session.user) return res.status(403).end();
  res.json(record);
});

الأثر في الواقع

كثير من التطبيقات تظن أن ترميز المعرف يكفي فتتعرض لنفس تسريب IDOR بمجرد فك الترميز وإعادته

كيف يكتشفها المدافعون

المدافع لا يعتمد على غموض المعرف ويفرض التحقق من الملكية ويرصد فك وإعادة ترميز المراجع في الطلبات المتتابعة

المستوى التالي العودة إلى الدرس