Application Workflow
-
Categoría:
-
AccessControl
-
Referencia:
-
OWASP-AC-005
Descripcion:
La prueba de Application Workflow verifica que los flujos de trabajo (workflow) definidos en una aplicación funcionen según lo esperado. Esto incluye garantizar que las acciones que los usuarios deben realizar en una secuencia específica se respeten y no puedan realizarse fuera de orden. Por ejemplo, si un formulario requiere que el usuario complete la "Sección A" antes de acceder a la "Sección B", la prueba asegura que la aplicación no permita saltarse pasos o cambiar el orden.
Herramientas recomendadas:
Recomendaciones para realizar la prueba:
Realizar esta prueba si tu aplicación web dispone de alguna sección en la que el usuario tenga que seguir ordenadamente una secuencia específica. Se recomienda hacer de manera manual, intentando saltarse alguno de los pasos y observando el comportamiento. También se pueden emplear herramientas que permitan imitar comportamientos de usuario y programarlas para saltarse algún paso de esa secuencia. WebDriver puede ser una buena opción para ello. Tutorial disponible en : https://www.youtube.com/watch?v=NB8OceGZGjA
Recomendaciones para defenderse del ataque:
Asegúrate de que las solicitudes del cliente al servidor sean validadas para verificar que el flujo de trabajo se siga en el orden correcto. Por ejemplo, si un usuario intenta acceder a la "Sección B" sin haber completado la "Sección A", el servidor debe rechazar la solicitud. Puedes generar tokens únicos asociados con cada paso del flujo. Estos tokens deben validarse al pasar de un paso al siguiente.