nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : tester l’autorisation au niveau des objets

AdminUser

Discussion de test préremplie. Comment valider le test de l’autorisation au niveau des objets dans le cadre d’une mission autorisée ?

Scénario : utilisez deux comptes de test dédiés pour demander le même objet par son identifiant et vérifier que l’accès dépend de la propriété de l’objet, et non de la connaissance de son identifiant. Quelles mesures de protection mettriez-vous en place, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/41-testing-object-level-authorization

Réponses

AdminUser

Approche de test : Utilisez deux comptes de test dédiés pour demander le même objet par son identifiant et vérifiez que l’accès dépend de la propriété, et non de la connaissance de l’identifiant. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Éléments de preuve : consignez le propriétaire de l’objet, le rôle de l’appelant, le point de terminaison et la réponse expurgée. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : appliquer des contrôles au niveau des objets à chaque point de terminaison de lecture et d’écriture. Répéter le contrôle initial après le déploiement et consigner le résultat.