Выбор ответа Senior OWASP Top 10 и API Top 10 обновлено
Unrestricted Resource Consumption
Вопрос
Эндпоинт GET /api/reports?limit= принимает любой limit и строит отчёт синхронно. Какая категория API Top 10 здесь главная и как защититься?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Unrestricted Resource Consumption: ограничить limit и частоту, отчёты делать асинхронно. Атакующий отправит limit=10000000 и положит сервис или раздует счёт за облако.
Варианты ответа
- Unrestricted Resource Consumption: ограничить limit и частоту, отчёты делать асинхронноправильный ответ
- BOLA: проверить, что отчёт принадлежит пользователю, и отдавать только свои строки
- Improper Inventory Management: задокументировать эндпоинт и его параметры в OpenAPI
- Security Misconfiguration: выключить отладку и подробные ошибки на этом эндпоинте
Разбор
Атакующий отправит limit=10000000 и положит сервис или раздует счёт за облако. Нужны лимиты на параметры, размер ответа, частоту и стоимость запросов, таймауты и очередь для тяжёлых задач. Проверка владельца и документация полезны, но эту проблему не решают.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.