XUT_ / COURSES / PENETRATION TESTER

Vulnerability II - Broken User Authentication (BUA)

Courses/Penetration Tester/web fundamentals/web hacking fundamentals/owasp api security top 10 1

¿Cómo Ocurre?

La autentificación del usuario es el núcleo del desarrollo de cualquier aplicación que contenga información sensible. Broken User Authentication (BUA) refleja un escenario donde un endpoint API permite a un atacante acceder a la base de datos u obtener privilegios más elevados de los que merece. La principal razón detrás de BUA es una implementación inválida de la autentificación como usar emails incorrectos, contraseñas, queries, etc. O la ausencia de seguridad como headers de autentificación.

Impacto Posible

Los atacantes pueden comprometer la sesión autentificada o el mecanismo de autentificación y fácilmente acceder a información sensible. Pueden pretender ser alguien autorizado y realizar actividades no deseadas incluyendo un control total de la cuenta.

Ejemplo Práctico

  1. Bob entiende que la autentificación es crítica y se le encarga desarrollar un endpoint API apirule2/user/login_v que autentificará al obtener un email y una contraseña.
  2. El endpoint devolverá un token, que será pasado como Authorization-Token header (GET) a apirule2/user/Details para mostrar los detalles del usuario específico.
  3. Bob desarrolló el endpoint. Sin embargo, se olvidó de validar la contraseña, por lo que ahora sólo necesitas el email de un usuario para obtener sus detalles. Pruébalo mandando una petición POST a http://localhost:80/MHT/apirule2/user/login_v con los parámetros email y password. Vulnerability II - Broken User Authentication (BUA)
  4. Como podemos ver, el endpoint vulnerable recibió un token que puede ser redirigido a /apirule2/user/details para obtener los detalles de un usuario.
  5. Para arreglar esto, actualizaremos la lógica del query de login para que use tanto el email como la contraseña para la validación. El endpoint /apirule2/user/login_s es un endpoint válido. Vulnerability II - Broken User Authentication (BUA)

Medidas de Mitigación

  • Asegúrate de que se configuran contraseñas complejas con alta entropía.
  • No expongas credenciales con peticiones GET o POST.
  • Habilita JWTs fuertes, headers de autorización, etc.
  • Asegura la implementación de autentificaión multifactor, bloqueo de cuenta, o sistema de captcha.
  • Asegura que las contraseñas no se guarden en texto plano.