5

Me deparei com o termo Over-posting enquanto seguia o guia da Microsoft de criação de aplicações em ASP.NET Core.

Eu havia feito uma pergunta a respeito do uso de atributos na assinatura de um método, que neste caso, foi o atributo Bind seguido dos campos que foram submetidos pelo formulário. No qual este atributo tinha a finalidade de proteger o controller contra um over-posting.

Entretanto, a minha maior dúvida é a respeito do tal do over-posting, eu sei como me proteger dele neste cenário, mas não sei o que ele é de fato.

Dúvidas

  1. O que é um ataque de tipo Over-posting?
  2. Quando e como ocorre um ataque deste tipo?
  3. Quais danos ele pode causar para a minha aplicação?

1 Resposta 1

5

Isso guarda alguma semelhança com o SQL Injection, só que agora por causa de uma automação que um framework fornece para diminuir o trabalho de codificação. Geralmente ocorre com MVC e ORM.

O que costuma ocorrer é que o que vem do URL é desserializado para um objeto que é persistido posteriormente no banco de dados. Se você não limitar o que deve ser desserializado é possível mandar dados que não deveriam ser alterados por algo que vem de fora. Pode mudar uma senha, trocar o saldo, zerar algum histórico, mudar uma identidade, etc.

Dependendo do sistema pode causar o mesmo estrago que o SQL Injection, embora seja provável que ocorra algo menos pior.

É o velho problema de ter que validar todas as informações que vem de fonte externa a aplicação. Ocorre quando faz na mão e quando não sabe usar o framework direito. Você nunca tem controle sobre o que de fora, só aceite o que você tem certeza que não tem perigo, bloqueie todo o resto.

O Bind ajuda, mas não resolve tudo. Tem casos que a validação não é "pode ou não pode" receber o campo, tem o jeito que pode e o jeito que não pode.

A maioria das aplicações que tem por aí está sujeita a isso, inclusive escritas por pessoas experientes. Já vi curso tido como bom que deixa esta brecha sem ser coberta, ensina-se fazer o estrago, mas não como combatê-lo.

Veja mais em Usar validação via cliente é suficiente?.

Coloquei no GitHub para referência futura.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .