Seguridad de las Aplicaciones Web, 2ª Edición

Capítulo 18. Vulnerabilidades de la lógica empresarial

Este trabajo se ha traducido utilizando IA. Agradecemos tus opiniones y comentarios: [e-mail]

En los capítulos anteriores, hablamos de una serie de vulnerabilidades comunes que afectan a la mayoría de las aplicaciones web. Estas vulnerabilidades se categorizaban fácilmente utilizando términos como inyección o denegación de servicio. Las vulnerabilidades mencionadas casi siempre adoptaban una forma coherente, lo que facilitaba su definición categórica. Esto también significa que las estrategias ofensivas y defensivas para atacar o mitigar las vulnerabilidades comunes son relativamente coherentes en todas las aplicaciones afectadas.

Hasta ahora, hemos estudiado las vulnerabilidades arquetípicas de las aplicaciones web. Pero, ¿qué ocurre cuando nos encontramos con una vulnerabilidad que es exclusiva de una sola aplicación? Las vulnerabilidades únicas ocurren con mayor frecuencia como resultado de que una aplicación implemente reglas lógicas de negocio específicas. Entonces, un pirata informático aprende formas de hacer uso de esas reglas programadas y obtener resultados no deseados. En otras palabras, las vulnerabilidades que hemos estudiado hasta ahora son vulnerabilidades que pueden producirse como resultado de la lógica de la aplicación, pero no debido a las reglas de negocio.

La lógica de aplicación combina información e instrucciones para realizar tareas comunes a las aplicaciones web, como renderizar ...