LAYİHƏ İZAHI / UNİVERSİTET TƏHLÜKƏSİZLİK LABI

CampusSecure

Tələbə portalı yanlış istifadəçiyə, əməliyyata və ya sahəyə etibar edəndə nə baş verir? CampusSecure bu yoxlamaları idarə olunan laboratoriyada müqayisə etməyə imkan verir.

PythonFlaskSQLiteGirişə nəzarət

GitHub repozitoriyasına bax

İDEYA

Tanış portal, konkret təhlükəsizlik sualı.

CampusSecure nümunə universitet portalıdır: tələbələr sorğularına baxıb əlaqə məlumatlarını dəyişirlər, administratorlar isə elanları və təsdiqləri idarə edirlər. Layihə serverin qeydə baxmaq, əməliyyat etmək və həssas sahəni dəyişmək üçün icazəni yoxlayıb-yoxlamadığını araşdırır.

İŞ PRİNSİPİ

Bir tətbiq. İki rejim.

İnterfeys və marşrutlar eyni qalır. Təhlükəsiz rejim üç icazə qərarını tətbiq edir; qəsdən zəifləşdirilmiş rejim isə müqayisə üçün həmin yoxlamaları yumşaldır.

Təhlükəsiz rejim

Server istifadəçinin icazəsi olmayan əməliyyatı rədd edir.

Zəifləşdirilmiş rejim

Yalnız sənədləşdirilmiş üç API yoxlaması yumşaldılır.

ÜÇ İDARƏ OLUNAN SSENARİ

Nə yoxlanılır?

01Obyektə giriş

Başqa tələbənin qeydi

Alice, Bob-a aid sorğunu oxuya bilirmi?

Təhlükəsiz: rədd edilir · Zəif: qeyd qaytarılır

02Funksiyaya giriş

Yalnız admin əməliyyatı

Alice, administrator üçün nəzərdə tutulmuş elanı yarada bilirmi?

Təhlükəsiz: rədd edilir · Zəif: elan saxlanılır

03Sahəyə giriş

Qorunan hesab sahəsi

Alice profilini yeniləyərkən özünə admin rolu verə bilirmi?

Təhlükəsiz: rədd edilir · Zəif: rol dəyişir

NƏTİCƏ

Əsas fərq serverin cavabındadır.

Səhifədə düyməni və ya sahəni gizlətmək həmin əməliyyatı təkbaşına qorumur. Bu laboratoriyada hər icazə qərarını görmək üçün server cavabı və saxlanılan məlumat müqayisə edilir.

REAL LABORATORİYA GÖRÜNTÜLƏRİ

Lab necə görünürdü?

Bu görüntülər lokal və təcrid olunmuş laboratoriya sınaqlarından götürülüb. Qalereyada baxmaq üçün şəkli seçin. Sessiya və lokal şəbəkə məlumatları örtülüb.

CampusSecure tələbə panelində Alice-in hesabı, sorğuları və elanlar görünür. — **Tələbə portalı**Nümunə tələbə paneli ssenarilərin baş verdiyi mühiti göstərir.

Burp Repeater-də GET /api/requests/201 sorğusu HTTP 200 və tələbə ID-si 2 olan qeydi qaytarır. — **Obyektə giriş**Zəif rejimdə çəkilmiş sorğuda API 201 nömrəli başqa tələbə qeydini qaytarır.

Burp Repeater-də POST /api/admin/announcements sorğusu HTTP 201 Created cavabı alır. — **Admin əməliyyatı**Bu API cavabı admin üçün nəzərdə tutulmuş endpoint vasitəsilə elanın yaradıldığını göstərir.

MƏNBƏ VƏ SÜBUT

Texniki detallara baxmaq istəyirsiniz?

Repozitoriyada tətbiq, quraşdırma bələdçisi, ssenarilərin izahı və avtomatlaşdırılmış testlər var. Bu layihə üçün nümayiş videosu hələ yayımlanmayıb.

GitHub repozitoriyasına bax ← Bütün layihələr