Vairums ielaušanos tīmekļa lietotnēs nesākas ar eksotisku ievainojamības izmantošanas paņēmienu. Tās sākas ar pieprasījumu, kas lietotnei bija jānoraida: cita klienta rēķins, pa ceļam mainīta cena, paroles atjaunošana, kas uzticas nepareizai galvenei. Skeneri šīs nepilnības nepamana, jo nezina, kam lietotne ir paredzēta.
Testējam kā autentificēti lietotāji ar katru lomu, noskaidrojam, kam katra loma var piekļūt, un pēc tam mēģinām pārkāpt katru robežu starp lomām. Automātiskie rīki aptver zināmās ievainojamību klases. Speciālistu laiks tiek veltīts loģikai, piekļuves kontrolei un sīku nepilnību ķēdēm, kas kopā noved pie sistēmas kompromitēšanas.
01Tvērums
Ko mēs testējam
Autentifikācija, sesijas, paroles atjaunošana un daudzfaktoru autentifikācija
Horizontālā un vertikālā piekļuves kontrole, nomnieku izolācija
Biznesa loģika: maksājumi, atlaides, limiti, darbplūsmas, vienlaicīgu pieprasījumu sacensība
Injekcijas: SQL, NoSQL, komandu, veidņu, XML ārējo entītiju
Nepilnības klase, kas ir katra konstatējuma pamatā.
The MITRE Corporation
06Jautājumi
Jautājumi par šo pakalpojumu
Melnās, pelēkās vai baltās kastes metode?
Pēc noklusējuma pelēkās kastes metode: strādājam ar kontiem un dokumentāciju, jo tā pieejamajā laikā atrodam visvairāk. Melnās kastes metode ir piemērota, ja vēlaties izmērīt, ko panāk nepiederīga persona bez jebkādas informācijas. Baltās kastes metode papildus ietver pirmkodu, un to apraksta pakalpojums „Pirmkoda drošības pārbaude”.
Vai testējat produkcijas vidē?
Dodam priekšroku videi, kas atbilst produkcijas videi. Ja ir tikai produkcijas vide, saskaņojam testēšanas logus, izvairāmies no destruktīvām darbībām un strādājam ar saviem testa datiem.
Vai ar ievainojamību skeneri nepietiek?
Skeneris atrod zināmus modeļus atsevišķos pieprasījumos. Tas nezina, ka vienam klientam nedrīkst būt redzami cita klienta pasūtījumi vai ka atlaidi nedrīkst piemērot divreiz. Šādas nepilnības atrod cilvēki, kas saprot lietotni.