Testim depërtimi për aplikacione uebi
Gjethe teston aplikacione web ashtu siç i qasen sulmuesit: hyrjet dhe sesionet, aksesi mes përdoruesve dhe roleve, trajtimi i hyrjeve, pagesat dhe logjika e biznesit. Testimi ndjek udhëzimet OWASP, çdo gjetje vjen me prova dhe një rregullim, dhe një ritestim konfirmon që problemet janë zgjidhur.
- Konsultim i parë falas
- Ofertë me shkrim për projektin tuaj
- Faza pagese fleksibile
Me një shikim
- Standardet
- OWASP Top 10, OWASP ASVS, WSTG
- Fokusi
- Kontrolli i qasjes, logjika, ekspozimi i të dhënave
- Qasja
- Zakonisht grey box me llogari testimi
- Rezultati
- Raport, rregullime e ritestim
Përkufizim
Çfarë është penetration testing për aplikacione uebi?
Penetration testing për aplikacione uebi është një vlerësim manual sigurie i një uebfaqeje ose aplikacioni që përpiqet të anashkalojë kontrollet, të arrijë te të dhëna që nuk duhet t'i ekspozojë e të abuzojë me veçoritë, për të gjetur e rregulluar dobësi të shfrytëzueshme.
Shumica e problemeve serioze në aplikacionet e uebit nuk janë ekzotike. Një përdorues që sheh faturën e një klienti tjetër duke ndryshuar një numër në shiritin e adresës. Një veprim administratori që kontrollon menunë por jo kërkesën pas saj. Një rivendosje fjalëkalimi që mund të ripërdoret. Këto sillen normalisht në sipërfaqe; aplikacioni thjesht i beson gjërës së gabuar. Gjetja e tyre kërkon një testues që kupton si duhet të funksionojë aplikacioni e kontrollon me qëllim nëse rregullat zbatohen në server, jo vetëm fshihen në ndërfaqe.
Për kë është?
Produkte SaaS
Disa klientë ndajnë një sistem, ndaj ndarja mes llogarive duhet të jetë e pakalueshme.
Dyqane online e sisteme rezervimi
Checkout-i, zbritjet, stoku e pagesat janë objektiva të zakonshme abuzimi.
Portale me të dhëna personale
Portalet e klientëve, pacientëve ose anëtarëve duhet t'i tregojnë çdo personi vetëm informacionin e vet.
Ekipe para një publikimi të madh
Një test para nisjes është momenti më i lirë për të gjetur probleme strukturore.
Çfarë përfshihet dhe çfarë mbani ju
Çfarë përfshihet
- Hartëzim i faqeve, funksioneve e roleve të përdoruesve
- Testim i autentikimit e rivendosjes së fjalëkalimit
- Shqyrtim i trajtimit të sesioneve e token-ave
- Testim i kontrollit të qasjes nëpër përdorues e role
- Testim i trajtimit të hyrjeve e injektimit
- Kontrolle të daljes e trajtimit nga ana e klientit
- Shqyrtim i trajtimit të ngarkimit e shkarkimit të skedarëve
- Testim i abuzimit të logjikës së biznesit e rrjedhave të punës
- Shqyrtim i ekspozimit të të dhënave të ndjeshme
- Shqyrtim i security headers, cookie-ve e TLS
- Shqyrtim i skripteve të palëve të treta e varësive
- Raport me prova, rregullime dhe ritestim
Çfarë merrni
Dorëzohet në fund. Mbetet e juaja.
- Raport testimi për aplikacionin web
- Gjetjet të lidhura me kategoritë OWASP
- Përshkrim i qartë për çdo problem të konfirmuar
- Plan rregullimi i prioritizuar
- Raport ritestimi
Çfarë kontrollojmë gjithmonë në një aplikacion uebi
- A mund një përdorues të lexojë ose ndryshojë të dhënat e një tjetri?
- A mund një përdorues normal të arrijë drejtpërdrejt te funksionet e administratorit?
- A mund të anashkalohen ose ripërdoren hyrjet?
- A skadojnë siç duhet rivendosjet e fjalëkalimeve e ftesat?
- A trajtohet ndonjëherë hyrja e përdoruesit si kod ose pyetje?
- A mund të dëmtojnë skedarët e ngarkuar serverin ose përdorues të tjerë?
- A mund të manipulohen çmimet, sasitë ose hapat e rrjedhës?
- A përmbajnë përgjigjet të dhëna që faqja nuk i shfaq kurrë?
Pse problemet e kontrollit të qasjes janë gjetja më e zakonshme
Kontrolli i thyer i qasjes qëndron në krye të OWASP Top 10 me të drejtë. Framework-et i trajtojnë automatikisht shumë detyra sigurie, por nuk mund të dinë cilat regjistrime i përkasin cilit klient, ose cilat butona mund t'i shtypë një menaxher. Ato rregulla jetojnë në kodin tuaj, të shkruara veçori pas veçorie, e një kontroll që mungon mjafton.
E testojmë këtë në mënyrë sistematike: kërkesat e rëndësishme përsëriten si përdorues e role të tjera, me identifikues të ndryshuar, për të parë nëse serveri e zbaton rregullin apo vetëm ndërfaqja e fsheh opsionin. Është punë e kujdesshme e e përsëritshme, e prej saj vijnë shumë nga gjetjet serioze në aplikacionet moderne.
Fushat e OWASP Top 10 që mbulojmë
| Zona | Shembull i asaj që kontrollojmë |
|---|---|
| Kontroll i thyer i qasjes | Shikimi ose redaktimi i regjistrimeve të përdoruesve të tjerë |
| Dështime kriptografike | Të dhëna të ndjeshme të dërguara ose ruajtura pa mbrojtje të duhur |
| Injektimi | Pyetje ose komanda të ndërtuara nga hyrja e përdoruesit |
| Dizajn i pasigurt | Rrjedha që mund të abuzohen sipas dizajnit |
| Konfigurim i gabuar sigurie | Faqe debug, cilësime të paracaktuara, gabime të hollësishme |
| Komponentë të cenueshëm | Biblioteka të vjetruara me dobësi të njohura |
| Dështime autentikimi | Trajtim i dobët i hyrjes, sesionit ose rivendosjes |
| Integriteti i softuerit e të dhënave | Përditësime të pasigurta ose kod i palëve të treta që nuk i besohet |
| Regjistrim dhe monitorim | Sulme që do të kalonin pa u vënë re |
| Falsifikim kërkese nga ana e serverit (SSRF) | Serveri që merr adresa të kontrolluara nga një sulmues |
Testimi i pjesëve të një aplikacioni që skanerët i anashkalojnë
Skanerët automatikë janë të mirë në pikasjen e hyrjes së reflektuar e modeleve të njohura, por nuk e kuptojnë për çfarë shërben aplikacioni juaj. Nuk mund ta dinë që një kod zbritjeje duhet të vlejë vetëm një herë, që një faturë draft nuk duhet të jetë e pagueshme, ose që një agjent mbështetjeje duhet të shohë tiketat por të mos ndryshojë faturimin. Ato rregulla janë specifike për biznesin tuaj, e thyerja e tyre është pikërisht si ndodh abuzimi real.
Pjesën më të madhe të një testi aplikacioni uebi e kalojmë në këtë anë njerëzore: lexojmë si duhet të funksionojë çdo veçori, pastaj kontrollojmë nëse serveri e zbaton realisht kur një kërkesë vjen jashtë radhe, me vlerë të ndryshuar ose nga llogaria e gabuar. Është më e ngadaltë se skanimi dhe shumë më e dobishme, sepse arrin problemet që kushtojnë para e besim, jo ato që një mjet do t'i kishte shënuar gjithsesi.
Si funksionon testimi i depërtimit për aplikacione web, hap pas hapi
Çdo hap ka një rezultat të qartë që mund ta shqyrtoni. Afatet dakordësohen në ofertën tuaj.
- 1
Fusha e punës
Aplikacioni, mjediset, rolet dhe llogaritë e testimit dakordësohen me shkrim.
- 2
Hartë
Çdo faqe, kërkesë dhe rol katalogohet para fillimit të testimit.
- 3
Testoni
Testim manual nëpër fushat OWASP dhe logjikën tuaj të biznesit.
- 4
Verifikimi
Çdo gjetje konfirmohet me kujdes, me prova të sigurta të ndikimit.
- 5
Raportoni
Gjetje, vlerësime rreziku dhe rregullime që zhvilluesit tuaj mund t'i ndjekin.
- 6
Ritestoni
Rregullimet verifikohen dhe raporti përditësohet.
Mjetet dhe çfarë e formëson ofertën tuaj
Çmimi bazohet në projektin tuaj dhe bihet dakord në ofertën tuaj. Këto janë gjërat që e lëvizin atë.
| Faktori | Pse ka rëndësi |
|---|---|
| Madhësia e aplikacionit | Më shumë faqe, formularë e endpoint-e nënkuptojnë më shumë për t'u hartëzuar e testuar. |
| Rolet dhe tenant-ët | Çdo rol e kufi klienti i shumëfishon testet e kontrollit të qasjes. |
| Rrjedhat e punës | Pagesat, miratimet dhe proceset shumëhapëshe kërkojnë testim të kujdesshëm të logjikës. |
| Mjedisi | Një kopje staging e qëndrueshme e përshpejton testimin; prodhimi i brishtë kërkon më shumë kujdes. |
| Qasja te kodi burimor | Një rishikim white box krahas testimit shton thellësi e përpjekje. |
| Zona | Mjetet |
|---|---|
| Proxy testimi | Burp Suite, OWASP ZAP, mjete zhvilluesi të shfletuesit |
| Zbulimi | mjete zbulimi përmbajtjeje, mjete nëndomenesh |
| Mbështetja | Postman, skripta të personalizuara |
| Udhëzime | OWASP WSTG, OWASP ASVS, OWASP Top 10, CVSS |
Gabime të zakonshme që duhen shmangur
Çfarë shohim që shkon keq më shpesh dhe si e shmang një projekt i mirë.
Fshehja e butonave në vend të kontrollit të lejeve
Nëse serveri nuk verifikon çdo kërkesë, kushdo që e gjen adresën mund ta përdorë funksionin.
Besimi te vlerat nga shfletuesi
Çmimet, ID-të e përdoruesve dhe rolet e dërguara nga shfletuesi mund të ndryshohen; serveri duhet t'i vendosë ato.
Mesazhe gabimesh shumë të detajuara
Stack trace dhe gabimet e bazës së të dhënave u japin sulmuesve një hartë të sistemit tuaj.
Testimi vetëm me një llogari
Pa llogari për disa përdorues dhe role, problemet e kontrollit të aksesit mbeten të fshehura.
Pyetje të shpeshta
A ju duhet kodi ynë burimor?
Jo, shumica e testeve të aplikacioneve të uebit janë grey box me llogari testimi. Qasja te kodi burimor na ndihmon të shkojmë më thellë e është e dobishme për aplikacione kritike.
A mund të testoni një aplikacion single-page të ndërtuar me React ose Vue?
Po. Ndërfaqja punon në shfletues, ndaj përqendrohemi te API-t pas saj, ku duhet të merren vendimet reale të sigurisë.
A testoni në prodhim apo staging?
Të dyja. Staging është më i sigurt kur pasqyron prodhimin nga afër. Nëse testojmë prodhimin, biem dakord për dritare kohore e shmangim veprime që mund të ndikojnë klientë realë.
A do të krijoni porosi ose email-e reale?
Vetëm ku bihet dakord. Përdorim llogari testimi e mënyra pagese testuese e pastrojmë të dhënat e testimit që krijojmë.
Si e vlerësoni rrezikun?
Çdo gjetje merr një vlerësim sipas sa lehtë mund të shfrytëzohet e çfarë mund të fitojë një sulmues, me CVSS ku përshtatet krahas ndikimit të biznesit në gjuhë të thjeshtë.
A mjafton mbulimi i OWASP Top 10?
Është bazë e fortë. Testojmë edhe logjikën tuaj specifike të biznesit, të cilën asnjë listë e përgjithshme nuk e mbulon plotësisht.
A mund të ritestoni pasi të rregullojmë gjërat?
Po, një ritestim i gjetjeve është i përfshirë e raporti përditësohet me rezultatet.
A mund t'i rregulloni edhe problemet?
Po. Si ekip zhvillimi mund t'i zbatojmë rregullimet, ose t'i shqyrtojmë rregullimet e ekipit tuaj para ritestimit.
Shërbime të ngjashme
Testim depërtimi
Teste sigurie të autorizuara e me fushë të përcaktuar me raport për rregullim.
Testim sigurie për API
Teste REST e GraphQL kundrejt OWASP API Top 10.
Rishikim i sigurt i kodit
Shqyrto bazën e kodit për të meta sigurie para publikimit.
Vlerësim i cenueshmërive
Gjej, rendit e planifiko rregullime për dobësi të njohura.
Aplikacione uebi dhe SaaS
Portale, dashboard-e dhe produkte me abonim.
Siguria e uebfaqes
Forcim, pastrim malware dhe shqyrtime sigurie.
Testimi i depërtimit të aplikacioneve web sipas industrisë
Zbuloni çfarë ekspozon realisht aplikacioni juaj web.
Na tregoni çfarë ju duhet. Merrni një vlerësim të sinqertë, një plan të qartë dhe një ofertë me shkrim. Konsultimi i parë është gjithmonë falas.
- Çfarë ndodh më pas
- 1Na tregoni çfarë ju nevojitet
- 2Synojmë t'ju përgjigjemi brenda 24 orëve me pyetje
- 3Merrni një ofertë me shkrim për projektin tuaj