> For the complete documentation index, see [llms.txt](https://docs.pabloarrabal.com/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.pabloarrabal.com/explotacion/vulnerabilidades/mass-asignment-attack-parameter-binding.md).
# Mass-Asignment Attack / Parameter Binding
## ¿Qué es un Ataque de Asignamiento Masivo?
Un ataque de asignamiento masivo, es un ataque se realiza usando parámetros adicionales en la solicitud al servidor, para que este la interprete.
## Escenario 1
Nos encontramos en un formulario de registro, del cual interceptamos la petición de registro:
El servidor nos contesta con otro formato JSON:
Como vemos, en la respuesta del servidor, nos devuelve parámetros que nosotros no hemos enviado. Pues en este punto, podemos intentar hacer un Ataque de Asignamiento Masivo o Parameter Binding, en este caso, de lado de nuestra petición de registro vamos a añadir el parámetro de `role` y asignarle otro valor:
La respuesta a esta petición modificada es exitosa, y nuestro usuario se ha registrado con rol de administrador
{% hint style="info" %}
En algunos casos, el servidor no responde con ningún parámetro nuevo, por lo que podemos usar una ataque de fuerza bruta en las cabeceras de la solicitud para determinar que nombre de párametro y que valor, nos permitirá hacer cambios.
{% endhint %}
