تست بررسی‌های یکپارچگی

بررسی یکپارچگی چیست؟

بررسی یکپارچگی (Integrity Checks) شامل اطمینان از این است که داده‌ها در طول فرآیند تغییر نمی‌کنند. این شامل بررسی عدم تغییر قیمت، موجودی، وضعیت سفارش و سایر داده‌های حساس است.

نقاط ضعف رایج

روش‌شناسی تست

مرحله ۱: شناسایی داده‌های حساس

تمام داده‌هایی که باید یکپارچه بمانند شناسایی کنید: قیمت، موجودی، وضعیت سفارش، نقش کاربری و اطلاعات پرداخت.

مرحله ۲: بررسی محل ذخیره‌سازی

• آیا قیمت در hidden field ذخیره شده؟
• آیا موجودی در cookie ذخیره شده؟
• آیا وضعیت سفارش در URL قابل تغییر است؟
• آیا ID کاربر قابل حدس است؟

مرحله ۳: تست تغییر داده‌ها

1// درخواست اصلی
2POST /api/checkout
3{"product_id": 1, "price": 10000}
4
5// درخواست تغییر یافته
6POST /api/checkout
7{"product_id": 1, "price": 100}
8
9// اگر سرور قیمت را از درخواست بخواند،
10// مهاجم می‌تواند قیمت را تغییر دهد.

مرحله ۴: بررسی محافظت‌ها

• آیا قیمت از پایگاه داده خوانده می‌شود؟
• آیا از HMAC برای امضای داده‌ها استفاده شده؟
• آیا موجودی قبل از تأیید بررسی می‌شود؟
• آیا وضعیت سفارش فقط توسط سرور تغییر می‌کند؟

راه‌حل

• خواندن قیمت و موجودی از پایگاه داده در سمت سرور
• استفاده از HMAC برای امضای داده‌های حساس
• بررسی موجودی قبل از تأیید سفارش
• استفاده از UUID به جای ID قابل حدس
• ثبت لاگ برای تغییرات غیرمنتظره