Testando Controle de Acesso Quebrado

Quando Usar

• Durante testes de penetração autorizados como a avaliação principal para OWASP A01:2021 - Controle de Acesso Quebrado
• Ao avaliar implementações de controle de acesso baseado em função (RBAC) em todos os endpoints da aplicação
• Para testar aplicações multi-inquilino onde usuários de uma organização não devem acessar os dados de outra
• Ao avaliar endpoints de API em busca de verificações de autorização ausentes ou inconsistentes
• Durante auditorias de segurança onde escalonamento de privilégios e acesso não autorizado são preocupações primárias

Pré-requisitos

• Autorização: Acordo escrito de teste de penetração para o alvo
• Burp Suite Professional: Com a extensão Authorize para testes automatizados de controle de acesso
• Múltiplas contas de teste: Contas em cada nível de função (administrador, gerente, usuário, convidado)
• Matriz de funções da aplicação: Documentação do que cada função deve e não deve acessar
• curl/httpie: Para testes manuais de endpoints com diferentes contextos de autenticação
• ffuf: Para descobrir endpoints ocultos que podem não ter controles de acesso

Fluxo de Trabalho

Passo 1: Mapear Todos os Endpoints e Criar Matriz de Controle de Acesso

Documente cada endpoint e o nível de acesso esperado para cada função.

# Extract all endpoints from Burp Site Map
# Target > Site Map > Right-click > Copy URLs in this host

# Build a matrix of endpoints vs roles:
# | Endpoint              | Admin | Manager | User | Guest |
# |-----------------------|-------|---------|------|-------|
# | GET /admin/dashboard  | Allow | Deny    | Deny | Deny  |
# | GET /api/users        | Allow | Allow   | Deny | Deny  |
# | PUT /api/users/{id}   | Allow | Deny    | Own  | Deny  |
# | DELETE /api/posts/{id} | Allow | Allow   | Own  | Deny  |

# Discover hidden endpoints
ffuf -u "https://target.example.com/FUZZ" \
  -w /usr/share/seclists/Discovery/Web-Content/raft-medium-directories.txt \
  -mc 200,301,302,403 -fc 404 \
  -H "Authorization: Bearer $USER_TOKEN" \
  -o endpoints.json -of json

# API endpoint discovery
ffuf -u "https://target.example.com/api/v1/FUZZ" \
  -w /usr/share/seclists/Discovery/Web-Content/api/api-endpoints.txt \
  -mc 200,201,204,301,302,401,403,405 -fc 404 \
  -H "Authorization: Bearer $USER_TOKEN"

Passo 2: Configurar Testes Automatizados de Controle de Acesso

Configure a extensão Burp Authorize para testes paralelos baseados em função.

# Install Authorize extension:
# Burp > Extender > BApp Store > Search "Authorize" > Install

# Configuration for three-tier testing:
# 1. Browse the application as Admin (capture all requests)
# 2. In Authorize tab:
#    a. Add Regular User's session token in "Replace cookies/headers"
#    b. Optionally add a second row for Unauthenticated (no auth header)

# Example header replacement setup:
# Row 1 (Low-privilege user):
#   Cookie: session=low_priv_user_session
#   Authorization: Bearer low_priv_token
#
# Row 2 (Unauthenticated):
#   [Empty - removes all auth headers]

# Enable interception in Authorize:
# - Check "Intercept requests from Proxy"
# - Check "Intercept requests from Repeater"

# Authorize shows results as:
# Green  = Properly restricted (different response for different user)
# Red    = POTENTIALLY VULNERABLE (same response regardless of role)
# Orange = Uncertain (needs manual verification)

Passo 3: Testar Escalonamento Vertical de Privilégios

Tente acessar funcionalidades de privilégio mais alto com contas de privilégio mais baixo.

# Coletar tokens para cada função
ADMIN_TOKEN="Bearer admin_jwt_here"
MANAGER_TOKEN="Bearer manager_jwt_here"
USER_TOKEN="Bearer user_jwt_here"

# Testar endpoints de administrador com token de usuário
ADMIN_ENDPOINTS=(
  "GET /admin/dashboard"
  "GET /admin/users"
  "POST /admin/users/create"
  "PUT /admin/settings"
  "DELETE /admin/users/5"
  "GET /admin/logs"
  "GET /admin/reports/export"
  "POST /admin/backup"
)

for entry in "${ADMIN_ENDPOINTS[@]}"; do
  method=$(echo "$entry" | cut -d' ' -f1)
  endpoint=$(echo "$entry" | cut -d' ' -f2)
  echo -n "$method $endpoint (como usuário): "
  status=$(curl -s -o /dev/null -w "%{http_code}" \
    -X "$method" \
    -H "Authorization: $USER_TOKEN" \
    -H "Content-Type: application/json" \
    "https://target.example.com$endpoint")
  if [ "$status" == "200" ] || [ "$status" == "201" ]; then
    echo "VULNERÁVEL ($status)"
  else
    echo "OK ($status)"
  fi
done

# Testar com cabeçalhos de substituição de método
curl -s -o /dev/null -w "%{http_code}" \
  -X POST \
  -H "Authorization: $USER_TOKEN" \
  -H "X-HTTP-Method-Override: DELETE" \

…