Uma solicitação de carrinho de compras destinada a retornar os itens de um cliente pode, em vez disso, retornar o registro de outro cliente quando a aplicação falha em validar a propriedade dos dados. Um atacante pode precisar apenas de uma sessão válida e de uma referência de objeto visível, sem necessidade de malware ou acesso ao servidor. Este curso testa esse tipo de falha de limite apenas em um ambiente de laboratório isolado e fixo, onde cada constatação deriva de uma solicitação e resposta HTTP observáveis, e não de uma cadeia de exploração.
Nosso alvo autorizado é o OWASP Juice Shop em http://app.lab:3000, mapeado para 10.0.0.20; os testes originam-se exclusivamente da máquina Kali em 10.0.0.10. O laboratório não possui rota para a internet; portanto, uma solicitação capturada pelo Burp representa o tráfego entre o testador e a aplicação, e não tráfego destinado a um serviço externo. A aplicação e seu armazenamento de dados permanecem como limites distintos, mesmo que observemos apenas o comportamento HTTP da aplicação. Vamos identificar os limites que conferem significado às evidências do laboratório:
Este diagrama mostra onde as evidências se situam: na requisição interceptada e na resposta recebida, na fronteira entre o navegador e o Burp. Uma resposta como um 200 OK inesperado, um corpo de erro que expõe detalhes de implementação ou dados pertencentes a outra conta do laboratório só constitui evidência se preservarmos a requisição que a gerou.
Com os limites da rede definidos, as regras de engajamento estabelecem as restrições operacionais sobre o que pode ser testado, como os testes devem ser realizados e quais efeitos são proibidos. O único alvo permitido é 10.0.0.20, e a interface permitida é HTTP para app.lab:3000. Requisições para outros endereços IP, nomes DNS externos ou serviços estão fora do escopo, mesmo que o acesso a eles seja facilitado por um navegador ou proxy.
As regras proíbem persistência, negação de serviço, reutilização de credenciais além das contas do laboratório fornecidas, ajustes de payload destinados a burlar proteções e a varredura de endereços não relacionados. Essas limitações preservam o laboratório, evitam a expansão acidental do impacto e mantêm o foco da descoberta no comportamento da aplicação web sob análise. O Computer Fraud and Abuse Act (Lei de Fraude e Abuso Computacional) dos Estados Unidos e o Computer Misuse Act 1990 (Lei de Uso Indevido de Computadores) do Reino Unido ilustram a importância da autorização por escrito e de um escopo definido; nenhuma dessas referências constitui aconselhamento jurídico. Podemos avaliar cada restrição em relação à evidência que ela exige: