Http Url Перехват с помощью инструмента Burp

Question

Существует конечный пользователь, имеющий разрешение на удаление строки из сетки, которую он нажимает на удаление, и запрос (url) будет сформирован до того, как он достигнет сервера. Я перехвачу инструмент burp suite, и я изменю действие с удалите, чтобы скопировать такое, что вместо вызова действия удаления на стороне сервера он вызовет метод копирования, поэтому, как избежать этого, я знаю, что мне нужно снова выполнить проверку на стороне сервера, чтобы решить, имеет ли этот пользователь удаление, добавление, изменение, копирование разрешений , У меня есть много страниц, поэтому вместо проверки на стороне сервера у меня есть какой-либо другой подход, чтобы преодолеть этот

Framework Я использую 1) Структуры 2) EJB

Ниже ссылка URL userAction = deleteResource & FORMNAME = csm_SearchCriteria & documentId = listresources.application & previousFrame = listresources & рамы = editresource & ResourceName = EMA_BUSINESS_RULE & FW_SYS_ID = 54b7c8a0e9ee43ef8649e6e54ddc6f32

После перехвата url измените действие, и я снова отправлю запрос. userAction = copyResource & FORMNAME = csm_SearchCriteria & documentId = listresources.application & previousFrame = listresources & рама = editresource & ResourceName = EMA_BUSINESS_RULE & FW_SYS_ID = 54b7c8a0e9ee43ef8649e6e54ddc6f32

Может ли один предложить, как по прибывшему этот scenerio

Answer 1

Если пользователь не должен копировать эту строку, контроль доступа должен быть принудительно применен на сервере. Поскольку клиент может просто отправить что-либо, как вы правильно описали в примере Burp, вы не можете предотвратить это на клиенте.

Теоретически вы можете сохранить состояние на клиенте, например, права доступа пользователя, зашифрованные/подписанные, с меткой времени и т. Д., Поэтому вам не нужно запрашивать это снова на сервере, но, с одной стороны, это будет увеличивайте риск совсем немного, с другой стороны, вам все равно придется применять правила контроля доступа на сервере для каждого действия.

Дооснащение системы безопасности затруднено. Стоит разработать и внедрить приложения с учетом безопасности.