Access Denied
Tentukan peran mana yang boleh melakukan setiap tindakan, lalu pertahankan matriks izin Anda dari request yang menjebak.
Tantangan ini bertumpu pada lab Authentication & Authorization. Anda bisa langsung mulai, atau membuka lab-nya dulu.
Buka lab Authentication & AuthorizationBelum dimulai
Percobaan yang belum selesai tidak disimpan. Memuat ulang halaman memulainya lagi; hanya status selesai yang diingat, dan hanya di perangkat ini.
Skenario
Insiden di Papertrail
Papertrail adalah aplikasi catatan tim fiktif dengan tiga peran: Admin, Editor, dan Viewer. Tinjauan keamanan menemukan empat request yang dijawab server dengan 200 OK padahal seharusnya ditolak. Aturan aksesnya ditulis terburu-buru, dan antarmukanya menyembunyikan beberapa tombol, yang tidak menghalangi siapa pun mengirim request langsung.
Temukan apa yang salah pada aturan server dan perbaiki, tanpa mengunci orang yang seharusnya punya akses.
Tujuan Anda
- Ingat bahwa sudah masuk (autentikasi) tidak memberi hak untuk semua tindakan.
- Anggap tombol yang disembunyikan hanya kenyamanan, bukan batas keamanan.
- Periksa izin di server, untuk setiap request.
- Tolak secara default saat izinnya tidak ada.
- Bedakan session yang tidak valid (401) dari izin yang kurang (403).
Semuanya fiktif dan berjalan di browser Anda. Tidak ada akun, rahasia, atau request jaringan yang sungguhan.