Challenges : IDOR et BOPLA

Objectif

Le barman d'API-ritif a laissé passer deux failles de l'OWASP Top 10 dans son API. À vous de les trouver, de les exploiter, puis de proposer une correction.

Ces techniques sont à utiliser uniquement sur API-ritif, qui est faite pour ça. Sur une API réelle sans autorisation écrite, c'est un délit (article 323-1 du Code pénal). Les programmes de bug bounty existent pour ceux que ça passionne.

Consignes

1 - IDOR : la commande du formateur

Le formateur a passé une commande au bar, avec un message pour le barman. Ce message contient un flag.

• Passez une commande et observez son identifiant.
• Relisez le contrat : que devrait répondre GET /v1/orders/{order_id} pour une commande qui ne vous appartient pas ?
• Vérifiez si l'API respecte vraiment son contrat…

Pas besoin de script : quelques requêtes curl bien choisies suffisent. Et si vous êtes tenté par une boucle, souvenez-vous du rate limiting.

2 - Bonus BOPLA : devenir barman

Le Sudo Rhum est réservé aux barmans. Un client ordinaire ne peut pas le commander… en théorie.

• Regardez votre profil avec GET /v1/me. Quel champ décide de vos droits ?
• D'après le contrat, quels champs peut-on modifier avec PATCH /v1/me ? Et en pratique ?
• Commandez un Sudo Rhum.

3 - Corriger

Pour chaque faille, rédigez la correction, en pseudo-code ou dans votre langage :

• quelle vérification manque, et où la placer ?
• comment l'empêcher de façon systématique, pour toutes les routes ?
• quel test automatique aurait détecté le problème ?

4 - Le débat : 403 ou 404 ?

Une fois la faille IDOR corrigée, que doit répondre l'API quand on demande la commande de quelqu'un d'autre ?

• 403 Forbidden : c'est la vérité, la commande existe mais ne vous appartient pas.
• 404 Not Found : on ne révèle même pas son existence.

Préparez vos arguments pour l'un et l'autre camp. Pensez à ce qu'un attaquant peut apprendre de chaque réponse.

Résultat attendu

• Le flag IDOR (et le Sudo Rhum, pour les plus rapides).
• Vos propositions de correction, présentées à l'oral.
• Votre position argumentée dans le débat 403 ou 404.