saltar al contenido
sec/atlas

laboratorio atlas

Rómpelo, arréglalo, demuéstralo

Cada ejercicio tiene tres pasos: explotar el fallo, aplicar la corrección y volver a lanzar el mismo ataque para ver que falla. Es una simulación con datos falsos que corre solo en tu navegador.

El mapa de otra persona

Has iniciado sesión como Acme Logistics (cliente 1).

La historia

Los clientes de Atlas obtienen sus mapas con GET /v1/maps/:id. Eres un cliente, y tus mapas tienen ids del 1 al 3. Otras empresas, incluidos competidores, usan la misma API.

Tu objetivo

Leer un mapa que no es tuyo.

  1. Rómpelo
  2. Arréglalo
  3. Demuéstralo

Código vulnerable

router.get("/v1/maps/:id", requireApiKey, async (req, res) => {
  const map = await db.maps.findById(req.params.id);
  if (!map) return res.sendStatus(404);
  res.json(map);
});
míralo en la empresa →

Ataque

Nada sale de tu ordenador. No se usa ningún servidor real.

prueba estos

Pista: Tus mapas son del 1 al 3. Prueba el 4.

Respuesta

Envía una petición para ver la respuesta.