De flesta intrång i webbapplikationer börjar inte med en exotisk exploit. De börjar med ett anrop som applikationen borde ha nekat: en annan kunds faktura, ett pris som har ändrats på vägen, en lösenordsåterställning som litar på fel HTTP-huvud. Skannrar missar de här bristerna eftersom de inte vet vad applikationen är till för.
Vi testar som inloggade användare i varje roll, kartlägger vad varje roll kan nå och försöker sedan ta oss över varje gräns mellan rollerna. Automatiska verktyg täcker de kända klasserna. Specialisternas tid går till logik, åtkomstkontroll och kedjor av små svagheter som tillsammans leder till ett intrång.
01Omfattning
Vad vi testar
Autentisering, sessioner, återställning av lösenord och flerfaktorsautentisering
Horisontell och vertikal åtkomstkontroll, isolering mellan tenanter
Grey box som standard: vi arbetar med konton och dokumentation, eftersom det ger flest fynd på den tid som finns. Black box passar när du vill mäta vad en utomstående uppnår utan någon information. White box lägger till källkoden och beskrivs under säkerhetsgranskning av källkod.
Testar ni i produktionsmiljön?
Vi föredrar en miljö som motsvarar produktionsmiljön. Där det bara finns en produktionsmiljö kommer vi överens om testfönster, undviker destruktiva ingrepp och arbetar med egna testdata.
Räcker det inte med en sårbarhetsskanner?
En skanner hittar kända mönster i enskilda anrop. Den vet inte att en kund inte får se en annan kunds beställningar, eller att en rabatt inte får användas två gånger. Sådana brister hittas av människor som förstår applikationen.