Una solicitud de carrito de compras destinada a devolver los artículos de un cliente puede, en cambio, devolver el registro de otro cliente cuando la aplicación no aplica correctamente las restricciones de propiedad. Es posible que un atacante solo necesite una sesión válida y una referencia de objeto visible, sin requerir malware ni acceso al servidor. Este curso evalúa este tipo de fallo de límites exclusivamente en un entorno de laboratorio aislado y fijo, donde cada hallazgo se deriva de una solicitud y respuesta HTTP observables, en lugar de una cadena de explotación.
Nuestro objetivo autorizado es OWASP Juice Shop en http://app.lab:3000, asignado a la dirección 10.0.0.20; las pruebas se originan únicamente desde una máquina Kali en 10.0.0.10. El laboratorio no tiene conexión a Internet, por lo que cualquier solicitud capturada por Burp representa tráfico entre el evaluador y la aplicación, no tráfico hacia un servicio externo. La aplicación y su almacén de datos constituyen límites diferenciados, aunque solo observemos el comportamiento HTTP de la aplicación. Identifiquemos los límites que garantizan la relevancia de la evidencia obtenida en el laboratorio:
Este diagrama muestra dónde reside la evidencia: en la solicitud interceptada y la respuesta recibida en el punto de interacción entre el navegador y Burp. Una respuesta como un código 200 OK inesperado, un cuerpo de error que revela detalles de implementación o datos pertenecientes a otra cuenta del laboratorio constituye evidencia válida únicamente si conservamos la solicitud que la generó.
Una vez establecido el límite de la red, las reglas de actuación definen las restricciones operativas que indican qué se puede probar, cómo realizar las pruebas y qué efectos están prohibidos. El único objetivo permitido es 10.0.0.20, y la interfaz autorizada es HTTP hacia app.lab:3000. Las solicitudes dirigidas a otras direcciones IP, nombres DNS externos o servicios quedan fuera del alcance, incluso si resultan fácilmente accesibles a través de un navegador o proxy.
Las reglas prohíben la persistencia, la denegación de servicio, la reutilización de credenciales más allá de las cuentas del laboratorio proporcionadas, la modificación de cargas útiles (payloads) para eludir protecciones y el escaneo de direcciones no relacionadas. Estas limitaciones preservan la integridad del laboratorio, evitan una expansión accidental del impacto y mantienen el hallazgo centrado en el comportamiento de la aplicación web bajo análisis. La ley Computer Fraud and Abuse Act de Estados Unidos y la Computer Misuse Act 1990 del Reino Unido ilustran la importancia de contar con una autorización por escrito y un alcance definido; ninguna de estas referencias constituye asesoramiento legal. Podemos evaluar cada restricción en función de la evidencia que requiere: