📄 Factura #1040

Logueado como: alice

← Volver a mis facturas

Detalle de Factura pagada

Factura

#1040

Monto Total

$4.250.000

Fecha de Emisión

15/03/2025

Fecha de Vencimiento

15/04/2025

Descripción

Servicio de consultoría mensual - Marzo 2025

Creada por

alice (user_id=2)

👤 Datos del Cliente

Constructora González y Asociados SpA

RUT: 76.543.210-K

Email:
contacto@gonzalezasociados.cl

Teléfono:
+56 2 2345 6789

Dirección:
Av. Providencia 1234, Of. 501, Santiago

🛡️ Versión Segura

Probar ver_secure.php

La versión segura verifica que la factura te pertenezca antes de mostrarla.

A01:2025 Básica

🔴 VULNERABLE

Broken Access Control

Este endpoint no verifica ownership. La query solo filtra por id, no por user_id.

Resultado: podés ver facturas de otros usuarios simplemente cambiando el número en la URL.

# Facturas de alice: 1040, 1041, 1042
# Facturas de bob: 1043, 1044, 1045
# Facturas de carlos: 1046, 1047, 1048

# Probá estos (siendo alice):
curl http://localhost:8082/a01_facturas/ver.php?id=1043
curl http://localhost:8082/a01_facturas/ver.php?id=1046

# Vas a ver datos de otros clientes

Herramientas: curl Burp Suite

// VULNERABLE (este archivo):
$stmt = $pdo->prepare("
    SELECT * FROM invoices WHERE id = ?
");
$stmt->execute([$id]);

// SEGURO (ver_secure.php):
$stmt = $pdo->prepare("
    SELECT * FROM invoices 
    WHERE id = ? AND user_id = ?
");
$stmt->execute([$id, $_SESSION['user_id']]);

Optus, Australia (2022)

11 millones de clientes expuestos. IDs secuenciales sin verificación de ownership.

CWEs: CWE-639 CWE-285

🛡️ Ver versión segura