bac-business-logic-checklist

KO | EN

gitlite — search

#javascript #llm #go #android #machine-learning #docker #macos #windows #kubernetes #vue #awesome-list #security #mcp #openai

bac-business-logic-checklist

(★ 15)

No description available.

bac-business-logic-checklist Latest Version Download

Download Latest Version (.zip)

// repository documentation

Was this content helpful?

★ 0 (0 ratings)

# QA Checklist: Broken Access Control (Business Logic Vulnerabilities)

## 1. Права по умолчанию
- [ ] Зарегистрировать нового пользователя с каждой роли и проверить доступ к функционалу
- [ ] Если регистрация не доступна, проверить по URL регистрации [register_wordlist.txt](./register_wordlist.txt)
- [ ] Сравнить стартовые права разных ролей. Часто могут быть не доступны через UI, но быть через API. Если права проверяются через методы вида GET /roles, то можно замокать различные значения и посмотреть через интерфейс

## 2. Интеграция
- [ ] Проверить доступы к методам с токеном интегратора
- [ ] Если есть перенос данных с другого сервиса во время использования или регистрации, то проверить как перенесутся роли. Особенно, когда ролевая модель не совпадает.

## 3. Автопродление и временные доступы
- [ ] Если доступы платные, то оплатить на 1 месяц и подождать сбросятся ли доступы
- [ ] Проверить отбираются ли доступы, если права временные

## 4. Коллизии прав доступа
- [ ] Проверить может ли пользователь редактировать свои права сам
- [ ] Дать пользователю права на сущность и добавить в эту сущность администратора. Проверить не появится ли возможность редактировать права администратора
- [ ] Дать права только на управления управления пользователями. Проверить может ли он сбрасывать пароль/2fa у учетной записи больше чем его роль
- [ ] Дать права только на управления управления пользователями. Проверить может ли он добавить себе права до администратора
- [ ] Создать пользователя с двумя ролями, например покупатель и продавец. Проверить, чьи права приоритетнее
- [ ] Зайти под учетной записью админа в функциона пользователя. Например, пользователь имеет доступ к своей компании, другие компании скрыты, но если зайти в функционал пользователей, то можно увидить все компании. Это бывает когда проверяется роль, но не доступ в компанию
- [ ] Если есть действия, которые добавляют роль, например купил у магазина товар - стал, его покупателем, то проверяем не появились ли доступы до админской части
- [ ] Проверять "null", "nill", "None", "Undefined" и тд в названиях
- [ ] Если в системе есть группа ролей и позволяет добавить доступ на проект всем с группой, например dev. Создать пользователя с именем dev и проверить не будут ли попадать он в ту же группу.

## 5. Отобрали права
- [ ] У пользователя была роль редактор, её убрали - проверить, может ли он редактировать старые объекты.
- [ ] Проверить, аннулируются ли все активные токены после отзыва роли. Особенно проверять в WebSocket - токен не инвалидируется и остается с теми же доступами 
- [ ] Попробовать использовать старую прямую ссылку к ресурсу после отзыва прав.

## 6. Проблемы последовательности
- [ ] Начать процесc, например, оформление заказа, отобрать права, потом завершить процесс - проверить, что система корректно блокирует действие.  
- [ ] Пропустить шаг, например, напрямую вызвать финальный эндпоинт без прохождения промежуточных шагов
- [ ] Если доступ есть по времени или после последовательности, то проверить все варианты. Например, товар нельзя отменить, когда он перешел в статус "доставка курьером"

## 7. Обработка ошибок
- [ ] Отправить несколько раз запрос без прав и проверить, не появились ли данные. Например, когда за права отвечает один микросервис, а за исполнение другой, то при необработанной ошибке можно поллучить доступ.  
- [ ] Попробовать доступ к чужой сущности и убедиться, что в ответе нет информации о данных этой сущности. Например, вызвал GET /project/3432 и вернулся 403  у вас нет прав на проект "Найм нового персонала компании ООО Рога и копыта"
- [ ] Проверить, что система не расскрывает структуру данных в ошибке при исключении.

bac-business-logic-checklist

bac-business-logic-checklist Latest Version Download

Today's picks

Was this content helpful?

Recent Feedback

bac-business-logic-checklist

bac-business-logic-checklist Latest Version Download

Today's picks

Was this content helpful?

Recent Feedback

Download README