Hinweise:

• Sie können einfach erraten, welche URL der Admin-Bereich haben könnte.

• Alternativ können Sie versuchen, eine Referenz oder einen Hinweis im Quellcode zu finden.

Hinweise:

• Wenn Sie den Adminbereich erfolgreich gefunden haben, ist das Löschen des 5-Sterne-Feedbacks sehr einfach.

Bei dieser Challenge müssen Sie auf den Einkaufskorb eines anderen Benutzers zugreifen. Dies würde einem Angreifer die Möglichkeit geben, das Kaufverhalten der Opfer auszuspionieren. Er könnte auch die Gegenstände oder deren Menge manipulieren, in der Hoffnung, dass dies beim Checkout unbemerkt bleibt.

Hinweise:

• Probieren Sie alle vorhandenen Funktionen des Warenkorb aus, während Sie den HTTP-Traffic im Auge behalten.

• Es kann eine clientseitige Verknüpfung vom Benutzer zum Warenkorb geben, die Sie manipulieren können.

• Diese Aufgabe wird im Scoreboard nicht als gelöst angezeigt, sollte der Angriff über SQL-Injection ausgeführt werden. Suchen Sie nach einer anderen Möglichkeit.

Der Juice Shop bietet Nutzern die Möglichkeit ein Feedback zu geben, einschließlich einer Sternebewertung und eines Kommentars. Wenn Sie angemeldet sind, wird das Feedback dem aktuellen Benutzer zugeordnet. Wenn Sie nicht angemeldet sind, wird das Feedback anonym gepostet. Bei dieser Challenge geht es darum das Feedback im Namen eines anderen Nutzers zu geben.

Hinweise:

• Diese Challenge kann über die Benutzeroberfläche oder durch Abfangen der Kommunikation mit dem RESTful-Backend gelöst werden.

• Um den clientseitigen Ansatzpunkt zu finden, analysieren Sie das HTML-Formular, das für die Feedback-Übermittlung verwendet wird.

Für diese Herausforderung müssen Sie sich die Hände schmutzig machen, indem Sie ein Produkt in den Warenkorb eines anderen legen, das nicht schon drin sein kann!

Hinweise:

• Überprüfen Sie den HTTP-Traffic, während Sie Produkte in Ihren eigenen Warenkorb legen

Das OWASP SSL Advanced Forensic Tool (O-Saft) enthält in seiner Beschreibung einen Link, der zur Wiki-Seite des Projekts führt. In dieser Challenge sollten Sie den Link ändern, sodass er Sie stattdessen an https://owasp.slack.com schickt.

Hinweise:

• Theoretisch gibt es drei Möglichkeiten, diese Challenge zu meistern:

  • Suchen Sie eine Verwaltungsfunktion in der Webanwendung, mit der Sie Produktdaten ändern können

  • Suchen Sie nach möglichen Lücken in der RESTful-API, mit denen Sie ein Produkt aktualisieren können

  • SQL Injection-Angriff, der eine UPDATE-Anweisung für Produktdaten einleitet

  • In der Praxis sollten sich zwei dieser drei Wege als Sackgassen erweisen