Seguridad de las Aplicaciones Web, 2ª Edición

Capítulo 33. Defender datos y objetos

Este trabajo se ha traducido utilizando IA. Agradecemos tus opiniones y comentarios: [e-mail]

A pesar de que es un objetivo para diversas formas de ataque, los datos y objetos dentro del código de las aplicaciones son en realidad bastante sencillos de defender. Fuera del almacenamiento de datos en una base de datos, la mayoría de los objetos con los que interactúan los lenguajes de programación se almacenan de forma efímera (en memoria) o persistente (en el sistema de archivos).

Dado que los lenguajes de programación realizan operaciones principalmente en memoria, la mayoría de las veces, cuando se trata de datos persistentes almacenados en archivos, los datos se llevan a la memoria mientras duran las operaciones. Por ello, hay muchos casos en los que las defensas que benefician a los datos efímeros también beneficiarán a los datos del sistema de archivos.

Defensa contra la asignación masiva

Asignación masiva los ataques son relativamente fáciles de prevenir siempre que se tenga en cuenta la seguridad al programar una aplicación web. Considera la siguiente vulnerabilidad de asignación masiva:

/*
 * This is a server-side API endpoint for updating player data
 * for the web-based video game "MegaGame".
*/
app.post("updatePlayerData", function(req, res, next) {
 // if client sent back player state data, update in the database
 if (!!req.body.data) {
   db.update(session.currentUser, req.body.data);
   return res.sendStatus(200 ...