قد يؤدي طلب خاص بسلة التسوق -كان من المفترض أن يعيد عناصر تخص عميلاً واحداً- إلى إرجاع سجل عميل آخر في حال فشل التطبيق في فرض قيود الملكية. قد لا يحتاج المهاجم سوى إلى جلسة صالحة ومرجع كائن (object reference) ظاهر، دون الحاجة إلى برمجيات خبيثة أو صلاحية الوصول إلى الخادم. تختبر هذه الدورة التدريبية هذا النوع من الإخفاق في الحدود الفاصلة ضمن بيئة مختبرية معزولة وثابتة، حيث تستند كل نتيجة أو ادعاء إلى طلب واستجابة HTTP يمكن رصدهما، وليس إلى سلسلة من عمليات الاستغلال المعقدة.
الهدف المصرح باختباره هو تطبيق OWASP Juice Shop المتاح عبر الرابط http://app.lab:3000 والمُوجَّه إلى العنوان 10.0.0.20؛ وتتم عمليات الاختبار حصراً انطلاقاً من نظام Kali ذي العنوان 10.0.0.10. لا يتوفر المختبر على اتصال بالإنترنت، وبالتالي فإن أي طلب يتم التقاطه بواسطة أداة Burp يمثل حركة بيانات بين المُختبِر والتطبيق، وليس حركة بيانات موجهة إلى خدمة خارجية. يظل كل من التطبيق ومخزن البيانات الخاص به كيانين منفصلين بحدود واضحة، حتى وإن كان رصدنا يقتصر على سلوك التطبيق عبر بروتوكول HTTP. دعونا نتتبع الحدود التي تضمن بقاء الأدلة المستمدة من المختبر ذات دلالة ومعنى:
يوضح هذا الرسم البياني موضع الأدلة: الطلب الذي تم اعتراضه والاستجابة التي تم تلقيها عند نقطة التفاعل بين المتصفح وأداة Burp. لا تُعد الاستجابة -سواء كانت رمز حالة غير متوقع مثل 200 OK، أو نص خطأ يكشف تفاصيل التنفيذ، أو بيانات تخص حساباً آخر في المختبر- دليلاً يعتد به إلا إذا احتفظنا بالطلب الذي أدى إلى ظهورها.
مع تحديد حدود الشبكة، تُمثّل قواعد الاشتباك القيود التشغيلية التي تحدد ما يمكن اختباره، وكيفية اختباره، والآثار أو الإجراءات المحظورة. الهدف المسموح به هو 10.0.0.20 فقط، والواجهة المسموح بها هي بروتوكول HTTP للوصول إلى app.lab:3000. وتُعتبر الطلبات الموجهة إلى عنوان IP آخر، أو اسم نطاق (DNS) خارجي، أو خدمة أخرى خارج نطاق الاختبار، حتى وإن كان الوصول إليها سهلاً ومتاحاً عبر المتصفح أو الوكيل (proxy).
تحظر القواعد ممارسات مثل ضمان استمرارية الوصول (persistence)، وهجمات حجب الخدمة (DoS)، وإعادة استخدام بيانات الاعتماد (خارج نطاق الحسابات المخصصة للمختبر)، وتعديل الحمولة (payload) بهدف تجاوز آليات الحماية، وفحص عناوين غير ذات صلة. تهدف هذه القيود إلى الحفاظ على سلامة المختبر، ومنع توسع نطاق التأثير بشكل غير مقصود، وضمان تركيز النتائج على سلوك تطبيق الويب الخاضع للمراجعة. يوضح كل من “قانون الاحتيال وإساءة استخدام الحاسوب” في الولايات المتحدة و"قانون إساءة استخدام الحاسوب لعام 1990" في المملكة المتحدة أهمية الحصول على تفويض مكتوب وتحديد النطاق بدقة؛ مع العلم أن الإشارة إلى هذه القوانين لا تُعد استشارة قانونية. ويمكننا موازنة كل قيد مقابل الأدلة التي يتطلبها: