hita Fitetezana zavatra tantanin'ny navigateur teboka farany toy ny /mob maneho olana ara-piarovana mampidi-doza avo lenta rehefa mampiasa azy ireo miaraka amin'ny tsy azo antoka na fanaraha-maso fidirana malemy ny fampiharana. Ireo lesoka ireo dia matetika avy amin'ny Fiovana tsy mety amin'ny fandriam-pahalemana ary matetika miharatsy mandritra ny Broken Access Control, ahafahan'ny mpampiasa tsy nahazoana alalana mijery ny zavatra anatiny sy ny firafitry ny fampiharana.
Ity torohevitra ity dia mamaritra ny olana, manazava ny fomba fanararaotan'ireo mpanafika azy, ary manome dingana mivaingana mifanaraka amin'izany. OWASP A05:2021 – Fahadisoan'ny fikirakirana ny fiarovana.
Ireo singa voakasik'izany izay voakasiky ny fiparitahan'ny navigateur object voafehy
- Fampiharana mampiseho Fitetezana zavatra tantanin'ny navigateur
- Java sy enterprise rafitra mampiasa teboka fitantanana na debug
- Tontolo iainana izay
/mobmbola azo atao aorian'ny fampandrosoana - Rafitra tsy manana fahazoan-dàlana hentitra mifototra amin'ny andraikitra amin'ny interface fitantanana
Inona no atao hoe Managed Object Browser ary nahoana no ampiasain'ny mpamorona azy
Ny Managed Object Browser dia ahafahan'ny mpamorona mijery ireo zavatra anatiny, serivisy, na soatoavina fikirakirana ny fampiharana mandritra ny fampandrosoana na fitsapana. Matetika ny ekipa no mampiasa azy io mba handaminana ny fitondran-tenan'ny fampiharana, hanamarinana ny toetry ny runtime, na hamahana olana sarotra haingana kokoa.
Manomboka ny olana rehefa mbola miasa ny Managed Object Browser aorian'ny fampivoarana na alefa tsy misy fiarovana sahaza. Matetika, mihevitra ny mpamorona fa tsy misy mahalala ny fisian'ny endpoint. Na izany aza, ireo scanner sy mpanafika mandeha ho azy dia mikaroka mavitrika ireo lalana fitantanana iraisana ary mahita azy ireo mora foana.
Noho izany, ny Managed Object Browser izay mibaribary dia lasa fahadisoana amin'ny fikirakirana ny fiarovana haingana, indrindra rehefa mbola misy ny fikirana mahazatra na ny fanamarinana fidirana malemy.
Ny fomba mahatonga ny navigateur zavatra tantanana ho mampidi-doza noho ny tsy fahatomombanan'ny fiarovana
Mitranga ny tsy fahatomombanan'ny fikirakirana ny fiarovana rehefa miasa miaraka amin'ny tsy azo antoka, endri-javatra tsy ilaina, na fameperana tsy mifanaraka ny rafitra. Araka ny OWASP A05:2021 – Ny tsy fahatomombanan'ny fikirakirana ny fiarovana, ny antony mahazatra dia ahitana ny interface admin mibaribary, ny tsy fahampian'ny fanamarinana, ary ny fikirana mamela be loatra.
Rehefa tafiditra ao ny Managed Object Browser, dia matetika midika izany hoe:
- Mbola mandeha ny navigateur mandritra ny famokarana
- Tsy misy fanamarinana miaro ny endpoint
- Miankina amin'ny toerana misy ny tambajotra ihany ny fidirana
- Mbola miasa ny fikirana fanitsiana bug
- Miseho amin'ny lahatsoratra mazava ireo zavatra saro-pady
Vokatr'izany, afaka mijery ireo singa anatiny, ireo soatoavina fikirakirana, ary indraindray aza ireo tsiambaratelo ireo mpanafika. Noho izany, izay fitaovana mahomby tamin'ny voalohany dia lasa toerana mampidi-doza.
Ny toerana misy ny fanaraha-maso fidirana simba
Na dia manampy fanamarinana aza ny ekipa, dia matetika no miseho ny Broken Access Control. Ohatra, ny fampiharana iray dia mety hamela izay mpampiasa miditra hiditra amin'ny Managed Object Browser, na inona na inona andraikitra na ambaratongan'ny tombontsoa.
Izany dia miteraka tsy fahombiazana mahazatra amin'ny fanaraha-maso ny fidirana toy ny:
- Tsy misy fanamarinana andraikitra ho an'ny endri-javatra admin
- Matoky ny fameperana avy amin'ny mpanjifa fa tsy ny fampiharana ny backend
- Fidirana mivantana amin'ny zavatra tsy azo antoka
- Fahazoan-dàlana zaraina manerana ny tontolo iainana
Raha ny tena izy, ny mpampiasa tsy dia manana tombontsoa firy dia afaka mijery zavatra anatiny satria tsy mampihatra ny fahazoan-dàlana sahaza azy mihitsy ny backend. Vokatr'izany, ny Access Control tapaka dia mampitombo ny fiantraikan'ny tsy fahatomombanan'ny fiarovana ary mampitombo ny mety hisian'ny olan-dratsy lehibe.
Nahoana ny OWASP A05:2021 no manasongadina ity lamina ity amin'ny tsy fahatomombanan'ny fiarovana
OWASP mamaritra ny tsy fahatomombanan'ny fikirakirana ny fiarovana ho iray amin'ireo risika mahazatra sy azo sorohina indrindra. Ity sokajy ity dia mandrakotra mazava tsara ireo interface fitantanana mibaribary sy ireo endri-javatra tsy ilaina avela hiasa.
Mifanaraka tsara amin'ity lamina ity ny navigateur zavatra voafehy marefo. Mampifangaro ireo tsy azo antoka amin'ny fameperana tsy ampy izy io, ary rehefa ampiarahina amin'ny Broken Access Control, dia matetika mitarika ho amin'ny fahasimban'ny rafitra tanteraka. Izany no mahatonga ny OWASP hanohy hanasongadina ireo tsy fahombiazana ireo ho laharam-pahamehana ho an'ny mpamorona sy ny ekipa fiarovana.
Manomboka ny olana rehefa mbola miasa ny Managed Object Browser aorian'ny fampivoarana na alefa tsy misy fiarovana sahaza. Matetika, mihevitra ny mpamorona fa tsy misy mahalala ny fisian'ny endpoint. Na izany aza, ireo scanner sy mpanafika mandeha ho azy dia mikaroka mavitrika ireo lalana fitantanana iraisana ary mahita azy ireo mora foana.
Noho izany, ny Managed Object Browser izay mibaribary dia lasa fahadisoana amin'ny fikirakirana ny fiarovana haingana, indrindra rehefa mbola misy ny fikirana mahazatra na ny fanamarinana fidirana malemy.
navigateur zavatra tantanin'ny /mob Endpoint
Ny Managed Object Browser dia ahafahan'ny mpamorona mijery ireo zavatra, serivisy, ary ny fikirakirana mandritra ny fotoana fiasana mba hahazoana vahaolana na fitantanana. Matetika ny ekipa no mamela izany vetivety mandritra ny fampandrosoana. Na izany aza, rehefa alefa miaraka amin'ny /mob na dia mbola miasa aza izy io dia mamorona toerana fanafihana tsy ilaina sy mampidi-doza.
Matetika ity olana ity dia vokatry ny tsy fahatomombanan'ny fikirakirana ny fiarovana, anisan'izany ny tsy fahampian'ny fameperana ny tontolo iainana, na ny endri-javatra debug sisa tavela. Rehefa tsy mahavita mampihatra fanaraha-maso andraikitra hentitra ny lojika fanomezan-dàlana backend, dia vao mainka mampitombo ny fiantraikany ny Fanaraha-maso ny fidirana simba.
Araka ny OWASP, OWASP A05:2021 – Ny tsy fahatomombanan'ny fikirakirana ny fiarovana dia ahitana mazava tsara ireo interface fitantanana mibaribary sy ireo endri-javatra tsy ilaina ho toy ny antony fototra mahazatra mahatonga ny fahasimbana.
Tranga fanafihana: Fampiasana ny navigateur zavatra voafehy amin'ny alàlan'ny /mob
Ny fizotran'ny fanafihana mahazatra dia manaraka lamina azo vinavinaina mialoha:
- Mikaroka ireo lalana fitantanana mahazatra toy ny
/mob - Mamaly amin'ny alalan'ny Managed Object Browser azo idirana ny mpizara
- Ny mpanafika dia mitanisa ireo serivisy anatiny sy zavatra tantanana
- Miharihary ny firafitra na ny lojika saro-pady
- Mampitombo ny fiantraikany amin'ny alàlan'ny fiasa miharihary ny mpanafika
Tsy mitaky fanararaotana mandroso ity fanafihana ity. Miantehitra amin'ny lesoka amin'ny fikirakirana izay miseho matetika amin'ny rafitra famokarana izy io.
Fikirana tsy azo antoka mitarika ho amin'ny tsy fahatomombanan'ny fiarovana
Ity firafitra manaraka ity dia mampiseho /mob tsy misy fiarovana ary mandika lalàna OWASP A05:2021 tari-dalana.
# Insecure configuration
mob.enabled=true
mob.path=/mob
mob.auth.required=false
Impact:
- Mampiseho navigateur object voafehy amin'ny tontolo rehetra ny fampiharana
- Tsy misy fanamarinana na fahazoan-dàlana miaro ny endpoint
- Afaka mijery ireo zavatra anatiny izay mpampiasa mahita ny lalana
Fikirana azo antoka mba hisorohana ny fiparitahan'ny zavatra voafehy amin'ny navigateur
Ny fomba fiasa azo antoka dia manafoana ny endri-javatra amin'ny ankapobeny ary mametra tanteraka ny fidirana rehefa ilaina izany.
# Secure configuration
mob.enabled=false
spring.profiles.active=dev
Raha mitaky ny filàn'ny orinasa /mob ao anatin'ny tontolo voafehy, ferana mafy izany:
mob.enabled=true
mob.path=/internal/mob
mob.auth.required=true
mob.allowed.roles=ADMIN
Mampihena ny velaran'ny fanafihana ity firafitra ity ary mifanaraka amin'ny fomba fanao tsara indrindra fisorohana ny Fisolokiana ny Fiarovana.
Ohatra amin'ny fanaraha-maso fidirana tapaka
Na dia efa mandeha aza ny fanamarinana, ny lojika backend dia tsy maintsy mampihatra mazava tsara ny fahazoan-dàlana.
Fanaraha-maso fidirana tsy azo antoka
@GetMapping("/mob")
public ResponseEntity<?> showMob() {
return ResponseEntity.ok(mobService.getObjects());
}
Ity kaody ity dia ahafahan'ny mpampiasa voamarina na tsia miditra amin'ny Managed Object Browser.
Fanaraha-maso ny fidirana azo antoka
@PreAuthorize("hasRole('ADMIN')")
@GetMapping("/mob")
public ResponseEntity<?> showMob() {
return ResponseEntity.ok(mobService.getObjects());
}
Ity fampiharana ity dia mampihatra ny fahazoan-dàlana sahaza ary misoroka ny Broken Access Control, na inona na inona fihetsika eo amin'ny frontend.
Fiantraikan'ny Fanaraha-maso Fidirana Simba
Ny Managed Object Browser mibaribary dia mety hiteraka:
- Fampahafantarana ny rafitra anatiny amin'ny fampiharana
- Fampiharihariana ny soatoavina na tsiambaratelon'ny fikirakirana
- Fampiakarana tombontsoa amin'ny alàlan'ny serivisy anatiny
- Fitomboan'ny mety hisian'ny fahasimbana tanteraka amin'ny rafitra
Satria ireo tsy fahombiazana ireo dia mampiaraka ny tsy fahatomombanan'ny fikirakirana ny fiarovana sy ny fahasimban'ny fanaraha-maso ny fidirana, dia matetika izy ireo no miteraka vokatra ratsy.
Torolàlana momba ny fampihenana ny fahasimban'ny fanaraha-maso fidirana
Ireto avy no tokony hataon'ireo mpamorona rindrambaiko:
- Atsaharo amin'ny alàlan'ny default ny endri-javatra Managed Object Browser
- Fero amin'ny tontolo fampandrosoana na mitokana ny teboka fitantanana
- Ampiharo ny fahazoan-dàlana mifototra amin'ny andraikitra backend
- Esory amin'ny fanamboarana famokarana ireo endri-javatra debug sy admin
- Avereno jerena tsy tapaka ny fikirakirana manerana ny tontolo iainana
Ireo dingana ireo dia mampihena mivantana ny fihanaky ny aretina araka ny OWASP A05:2021.
Ahoana no fomba ahitan'ny Xygeni sy hisorohana ny navigateur zavatra tantanin'ny Xygeni
Manampy ireo ekipa hiatrika izany ny Xygeni Fitetezana zavatra tantanin'ny navigateur ireo risika amin'ny alàlan'ny fikendrena mialoha ny olana amin'ny fikirakirana sy ny fanaraha-maso ny fidirana.
Famantarana ny tsy fetezan'ny fiarovana
Mijery kaody, rakitra fikirakirana, ary famaritana fotodrafitrasa ny Xygeni mba hamantarana ireo teboka fitantanana miharihary toy ny /mobTafiditra amin'izany ny famantarana ireo mari-pamantarana momba ny fanitsiana ny olana, ireo endri-javatra ao amin'ny admin, ary ireo olana tsy azo antoka alohan'ny fametrahana azy.
Fahitana ny fanaraha-maso fidirana simba ao amin'ny kaody
Xygeni SAST Mamantatra ireo fanamarinana fahazoan-dàlana tsy ampy manodidina ireo teboka saro-pady. Manasongadina ireo tranga izay tsy ahafahan'ny lojika backend mampihatra ny andraikitra, ny fahazoan-dàlana, na ny fidirana amin'ny ambaratongan'ny zavatra.
Fisorohana ny fihanaky ny aretina ao amin'ny CI sy IaC
By CI fanaraha-maso pipelines sy IaC môdely, Xygeni dia miantoka fa tsy alefa any amin'ny tontolo famokarana ireo teboka fitantanana.
Fampihenana ny risika miaraka amin'ny toe-javatra misy
Raha tokony hanondraka ireo ekipa amin'ny fanairana, Xygeni manome laharam-pahamehana ny zavatra hita izay mampiharihary ny lalan'ny fanafihana tena izy, manampy ireo mpamorona rindrambaiko hanamboatra izay zava-dehibe aloha.
Final Thoughts
Naseho tamin'ny alalan'ny "Managed Object Browser" ny /mob dia ohatra iray amin'ny fomba ifandraisan'ny Diso Fikirana amin'ny Fiarovana sy ny Fanaraha-maso ny Fidirana Simba. Izay endri-javatra mahasoa amin'ny voalohany dia lasa fahalemena lehibe.
Mampahatsiahy antsika ny OWASP A05:2021 fa ireo lesoka ireo dia mbola anisan'ny mahazatra sy azo sorohina indrindra. Amin'ny alàlan'ny fanaovana automatique sy ny fahitana tsara, dia afaka mahita azy ireo mialoha ireo mpamorona rindrambaiko ary misoroka ny fandefasana fitaovana anatiny any amin'ny famokarana.
Miaraka amin'ny Xygeni, mahazo ny fahaizana mamantatra, misoroka ary mamaha ireo olana ireo ny ekipa ho ampahany amin'ny fampandrosoana andavanandro, ela be talohan'ny nahatongavan'ireo mpanafika mihitsy aza. /mob.
About ny Author
Mpanoratra Fatima Said, Mpitantana ny Varotra amin'ny Votoaty manampahaizana manokana momba ny Fiarovana ny Rindranasa ao amin'ny Fiarovana Xygeni.
Mamorona votoaty mifototra amin'ny fikarohana sy mora ampiasaina amin'ny mpamorona ao amin'ny AppSec i Fátima. ASPM, ary DevSecOps. Mandika ireo hevitra ara-teknika sarotra ho lasa hevi-baovao mazava sy azo ampiharina izy, izay mampifandray ny fanavaozana ny fiarovana an-tserasera amin'ny fiantraikan'ny orinasa.
