जब कोई एप्लीकेशन ओनरशिप (मालिकाना हक) को लागू करने में नाकाम रहती है, तो एक कस्टमर के आइटम दिखाने के लिए की गई शॉपिंग बास्केट रिक्वेस्ट, किसी दूसरे कस्टमर का रिकॉर्ड दिखा सकती है। हमलावर को इसके लिए सिर्फ़ एक वैलिड सेशन और दिखने वाले ऑब्जेक्ट रेफरेंस की ज़रूरत हो सकती है, न कि मैलवेयर या सर्वर के एक्सेस की। यह कोर्स इस तरह की बाउंड्री फेलियर (सीमा उल्लंघन) को सिर्फ़ एक तय, अलग-थलग लैब में टेस्ट करता है, जहाँ हर दावा किसी एक्सप्लॉइट चेन के बजाय, देखे जा सकने वाले HTTP रिक्वेस्ट और रिस्पॉन्स से आता है।
हमारा अधिकृत टारगेट http://app.lab:3000 पर मौजूद OWASP Juice Shop है, जो 10.0.0.20 से मैप किया गया है; टेस्टिंग सिर्फ़ 10.0.0.10 पर मौजूद Kali से शुरू होती है। लैब में कोई इंटरनेट रूट नहीं है, इसलिए Burp द्वारा कैप्चर की गई रिक्वेस्ट टेस्टर और एप्लीकेशन के बीच के ट्रैफ़िक को दिखाती है, न कि किसी बाहरी सर्विस के ट्रैफ़िक को। भले ही हम सिर्फ़ एप्लीकेशन के HTTP व्यवहार को देखते हैं, फिर भी एप्लीकेशन और उसका डेटा स्टोर अलग-अलग बाउंड्री बने रहते हैं। आइए उन बाउंड्रीज़ को देखें जो लैब के सबूतों को सार्थक बनाए रखती हैं:
यह डायग्राम दिखाता है कि सबूत कहाँ होते हैं: ब्राउज़र और Burp की सीमा पर इंटरसेप्ट की गई रिक्वेस्ट और वापस आया रिस्पॉन्स। कोई रिस्पॉन्स, जैसे कि अचानक मिला 200 OK, इम्प्लीमेंटेशन की जानकारी दिखाने वाली एरर बॉडी, या किसी दूसरे लैब अकाउंट का डेटा, तभी सबूत माना जाता है जब हम उस रिक्वेस्ट को भी सुरक्षित रखें जिससे वह रिस्पॉन्स मिला था।
नेटवर्क की सीमा तय होने के बाद, काम करने के नियम (rules of engagement) वे ऑपरेशनल शर्तें हैं जो बताती हैं कि हम क्या टेस्ट कर सकते हैं, कैसे टेस्ट कर सकते हैं, और किन चीज़ों या असर को टेस्ट नहीं करना है। सिर्फ़ 10.0.0.20 टारगेट की इजाज़त है, और app.lab:3000 पर HTTP इंटरफ़ेस की इजाज़त है। किसी दूसरे IP एड्रेस, बाहरी DNS नाम या सर्विस पर भेजी गई रिक्वेस्ट स्कोप से बाहर मानी जाती हैं, भले ही ब्राउज़र या प्रॉक्सी के ज़रिए उन तक पहुँचना आसान हो।
ये नियम परसिस्टेंस (लगातार बने रहना), डिनायल ऑफ़ सर्विस (सेवा में रुकावट), दिए गए लैब अकाउंट के अलावा क्रेडेंशियल का दोबारा इस्तेमाल, सुरक्षा उपायों को बायपास करने के लिए पेलोड में बदलाव, और असंबंधित एड्रेस को स्कैन करने पर रोक लगाते हैं। ये सीमाएँ लैब को सुरक्षित रखती हैं, असर को अनजाने में फैलने से रोकती हैं, और नतीजों को उस वेब एप्लीकेशन के व्यवहार पर केंद्रित रखती हैं जिसकी जाँच की जा रही है। यूनाइटेड स्टेट्स का ‘कंप्यूटर फ्रॉड एंड अब्यूज़ एक्ट’ और यूनाइटेड किंगडम का ‘कंप्यूटर मिसयूज़ एक्ट 1990’ बताते हैं कि लिखित मंज़ूरी और तय स्कोप क्यों ज़रूरी हैं; इनमें से कोई भी कानूनी सलाह नहीं है। हम हर शर्त को उसके लिए ज़रूरी सबूत के आधार पर परख सकते हैं: