Para empezarCualquier atacante con un navegador puede robar la base de datos entera de tu empresa si cometes este único error en tus APIs.
El nuevo talón de Aquiles
Más del ochenta por ciento del tráfico web actual pasa por APIs, convirtiéndolas en el vector de ataque favorito frente a las aplicaciones web tradicionales. Un fallo en un endpoint expone directamente la lógica de negocio y bases de datos completas.
Qué es BOLA
BOLA, o Broken Object Level Authorization, ocurre cuando una API no valida correctamente si el usuario autenticado tiene permisos reales para acceder al objeto solicitado, permitiendo manipular IDs en la URL para ver datos ajenos.
Explotando un endpoint vulnerable
Un atacante intercepta una petición legítima y modifica el parámetro numérico del recurso para comprobar si el servidor entrega información privada sin verificar la propiedad.
$ curl -H 'Authorization: Bearer eyJhbGci...' https://api.target.com/v1/users/1042/profile
{"status": 200, "user": "victim_user", "email": "[email protected]"}
El Top 3 de OWASP APIs
El ranking de OWASP para APIs destaca tres riesgos críticos que todo pentester debe buscar de forma sistemática durante sus auditorías.
Marca cada paso al entenderlo · 0/3
Cuidado con la Asignación Masiva
La asignación masiva ocurre cuando el framework acepta automáticamente todos los campos enviados en un JSON y los mapea al modelo de datos. Esto permite que un usuario normal añada propiedades como 'is_admin=true' en el registro.
Mitigación y defensa en profundidad
La defensa requiere implementar controles estrictos de autorización en cada controlador, validar esquemas de datos de entrada rígidamente y aplicar limitación de tasas o rate limiting en todos los endpoints sensibles.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar