nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : vérifier l’autorisation au niveau des fonctions

AdminUser

Discussion de test préétablie. Comment vérifieriez-vous l’autorisation au niveau des fonctions dans le cadre d’un test autorisé ?

Scénario : comparez une action d’API réservée aux administrateurs avec des comptes de test administrateur et standard. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/42-checking-function-level-authorization

Réponses

AdminUser

Approche de test : Comparer une action d’API administrative avec des comptes de test administrateur et standard. Respecter le périmètre défini par écrit et utiliser des comptes ou des objets de test dédiés.

AdminUser

Éléments de preuve : Consignez les rôles, le point de terminaison, la réponse et tout événement d’audit. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Autorisez chaque opération côté serveur et ne vous fiez pas aux commandes masquées de l’interface utilisateur. Répétez la vérification initiale après le déploiement et consignez le résultat.