جب ایپلی کیشن ملکیت کے حقوق (ownership) کو نافذ کرنے میں ناکام رہتی ہے، تو شاپنگ باسکٹ کی ایک ایسی درخواست جو اصل میں کسی ایک گاہک کی اشیاء ظاہر کرنے کے لیے ہوتی ہے، اس کے بجائے کسی دوسرے گاہک کا ریکارڈ دکھا سکتی ہے۔ حملہ آور کو اس کام کے لیے میلویئر یا سرور تک رسائی کی ضرورت نہیں پڑتی، بلکہ صرف ایک درست سیشن اور آبجیکٹ کا ظاہری حوالہ (visible object reference) کافی ہو سکتا ہے۔ یہ کورس اس قسم کی ‘حد بندی کی ناکامی’ (boundary failure) کو صرف ایک مخصوص اور الگ تھلگ (isolated) لیب میں جانچتا ہے، جہاں ہر دعوے کی بنیاد ‘ایکسپلائٹ چین’ (exploit chain) کے بجائے قابلِ مشاہدہ HTTP درخواست اور جواب پر ہوتی ہے۔
ہمارا مجاز ہدف (target) http://app.lab:3000 پر موجود OWASP Juice Shop ہے، جو 10.0.0.20 سے منسلک (mapped) ہے؛ اور جانچ کا عمل صرف 10.0.0.10 پر موجود Kali مشین سے کیا جاتا ہے۔ لیب کا انٹرنیٹ سے کوئی رابطہ نہیں ہے، لہذا Burp کے ذریعے پکڑی گئی درخواست (request) ٹیسٹر اور ایپلی کیشن کے درمیان ٹریفک کی نمائندگی کرتی ہے، نہ کہ کسی بیرونی سروس کی ٹریفک کی۔ اگرچہ ہم صرف ایپلی کیشن کے HTTP رویے کا مشاہدہ کرتے ہیں، لیکن ایپلی کیشن اور اس کا ڈیٹا اسٹور الگ الگ حدود (boundaries) کے طور پر برقرار رہتے ہیں۔ آئیے ان حدود کا جائزہ لیتے ہیں جو لیب کے شواہد کو بامعنی بناتی ہیں:
یہ خاکہ ظاہر کرتا ہے کہ ثبوت کہاں پایا جاتا ہے: براؤزر اور ‘برپ’ (Burp) کی حدود پر روکی گئی درخواست (request) اور موصول ہونے والا جواب (response)۔ کوئی بھی جواب—جیسے کہ غیر متوقع 200 OK، عمل درآمد کی تفصیلات ظاہر کرنے والا ایرر میسج (error body)، یا کسی دوسرے لیب اکاؤنٹ سے متعلق ڈیٹا—تب ہی ثبوت سمجھا جاتا ہے جب ہم اس درخواست کو بھی محفوظ رکھیں جس کے نتیجے میں وہ جواب موصول ہوا تھا۔
نیٹ ورک کی حدود طے ہونے کے بعد، کام کے اصول (rules of engagement) وہ عملی پابندیاں ہیں جو یہ واضح کرتی ہیں کہ ہم کن چیزوں کی جانچ کر سکتے ہیں، جانچ کا طریقہ کار کیا ہوگا، اور کن اثرات یا اقدامات کی اجازت نہیں ہے۔ جانچ کے لیے مجاز ہدف (target) صرف 10.0.0.20 ہے، اور مجاز انٹرفیس app.lab:3000 پر HTTP ہے۔ کسی دوسرے IP ایڈریس، بیرونی DNS نام، یا سروس کو بھیجی جانے والی درخواستیں دائرہ کار سے باہر سمجھی جائیں گی، چاہے براؤزر یا پراکسی کے ذریعے ان تک رسائی آسان ہی کیوں نہ ہو۔
یہ اصول ‘پرسسٹنس’ (رسائی برقرار رکھنے کی کوشش)، ‘ڈینائل آف سروس’ (سروس معطل کرنے کا حملہ)، فراہم کردہ لیب اکاؤنٹس کے علاوہ دیگر اسناد (credentials) کا دوبارہ استعمال، حفاظتی اقدامات کو چکمہ دینے کے لیے ‘پے لوڈ’ (payload) میں ردوبدل، اور غیر متعلقہ ایڈریسز کی اسکیننگ کو ممنوع قرار دیتے ہیں۔ یہ حدود لیب کو محفوظ رکھتی ہیں، اثرات کے غیر ارادی پھیلاؤ کو روکتی ہیں، اور جانچ کے نتائج کو زیرِ نظر ویب ایپلیکیشن کے رویے تک محدود رکھتی ہیں۔ امریکہ کا ‘کمپیوٹر فراڈ اینڈ ابیوز ایکٹ’ اور برطانیہ کا ‘کمپیوٹر مس یوز ایکٹ 1990’ اس بات کی وضاحت کرتے ہیں کہ تحریری اجازت اور واضح دائرہ کار کیوں اہم ہیں؛ تاہم، ان میں سے کوئی بھی حوالہ قانونی مشورے کے طور پر نہیں لیا جانا چاہیے۔ ہم ہر پابندی کا موازنہ اس کے لیے درکار ثبوت کی بنیاد پر کر سکتے ہیں: