Большинство взломов веб-приложений начинается не с экзотического эксплойта, а с запроса, который приложение должно было отклонить: чужой счёт, цена, изменённая по пути, восстановление пароля, доверяющее не тому заголовку. Сканеры таких ошибок не находят, потому что не знают, для чего приложение предназначено.
Мы работаем под учётными записями всех ролей, выясняем, что доступно каждой из них, и пытаемся пересечь каждую границу между ними. Известные классы уязвимостей закрывают автоматические инструменты. Время специалистов уходит на логику, разграничение доступа и цепочки мелких недостатков, которые вместе дают компрометацию.
01Объём
Что мы проверяем
Аутентификация, сессии, восстановление пароля, многофакторная аутентификация
Горизонтальное и вертикальное разграничение доступа, изоляция арендаторов
Бизнес-логика: платежи, скидки, лимиты, процессы, состояния гонки
Инъекции: SQL, NoSQL, команды, шаблоны, внешние сущности XML
Класс недостатка, лежащего в основе каждой находки.
The MITRE Corporation
06Вопросы
Вопросы об этой услуге
Чёрный, серый или белый ящик?
По умолчанию серый: мы работаем с учётными записями и документацией, потому что так за отведённое время находится больше всего. Чёрный ящик уместен, когда нужно измерить, чего добьётся посторонний без какой-либо информации. Белый ящик добавляет исходный код и описан в услуге «Аудит исходного кода».
Вы тестируете на рабочей среде?
Мы предпочитаем среду, которая соответствует рабочей. Если есть только рабочая, согласуем окна тестирования, избегаем разрушающих действий и работаем с собственными тестовыми данными.
Разве сканера уязвимостей недостаточно?
Сканер находит известные шаблоны в отдельных запросах. Он не знает, что один клиент не должен видеть заказы другого или что скидку нельзя применить дважды. Такие ошибки находят люди, которые понимают приложение.