Lisää WebGoat:ia

Bypass business layer access control

Tätä tehtävää varten vaihdoin mitmproxyn Burp suiten proxyyn sen kätevämmän intercept-toiminnon takia. Asetin ensin asetukseni seuraavalla tavalla, ylempänä selaimen Foxyproxy ja alempana Burpin asetukset.

Sitten itse tehtävä. Vaihdoin siis ViewProfilen vain DeleteProfileksi, ja taso oli sillä selvä.

Bypass data level access control

Vaihdoin vain employee_id:n toiseen olemassaolevaan id:hen ja toisen työntekijän tiedot tulivat näkyviin:

DOM Injection

Tässä kohdassa en tehnyt mitään muuta kuin että otin kohdan ”disabled=””” kokonaan pois, jonka seurauksena nappula muuttui painettavaksi. En tosin ole ihan varma, oliko tämäntyyppinen lähestymistapa se mitä tässä haettiin.

XML Injection

Tässä tehtävässä lisäilin omia valintakenttiä valitsemalla inspectorista edit as HTML. Ensimmäisten tuotteiden input-nimet olivat 1001, 1002 ja 1003, joten oletin, että kalliimmat tuotteet olisivat 1004 ja 1005.

DOM-Based cross-site scripting

Taso yksi: syötin kenttään <IMG SRC=”images/logos/owasp.jpg”/>

Taso kaksi: syötin kenttään <img src=x onerror=;;alert(’XSS’) />

Taso kolme: syötin kenttään 

Taso neljä: syötin kenttään ”Please enter your password:<BR><input type = ”password” name=”pass”/><button onClick=”javascript:alert(’I have your password: ’ + pass.value);”>Submit</button><BR><BR><BR><BR><BR><BR><BR><BR> <BR><BR><BR><BR><BR><BR><BR><BR>”

JSON Injection

Tämäkin hoitui kätevästi kalliimman lennon hintakohtaa muokkaamalla ennen lomakkeen lähetystä.

Tietoa kirjoittajasta

Noora Huttunen

Opiskelen ohjelmistotuotantoa Haaga-Helian tietojenkäsittelylinjalla.