Vă prezint o serie de articole despre cea mai completă metodologie de testare a securității aplicațiilor web - Ghidul de testare OWASP.
Testare: Introducere și sarcini
Această secțiune descrie metodologia de testare a securității aplicațiilor web OWASP și explică cum să căutați vulnerabilități în aplicațiile cauzate de defectele de securitate.
Ce este testarea securității aplicațiilor web?
Testarea de securitate este o modalitate de evaluare a securității unui sistem informatic sau a unei rețele, care constă în verificarea metodică a eficacității protecției sale. Testarea securității aplicațiilor web se concentrează numai pe evaluarea securității aplicațiilor Web. Procesul de testare include o căutare activă a oricăror puncte slabe, defecțiuni tehnice sau vulnerabilități din aplicație. Orice probleme de securitate descoperite ar trebui să fie anunțate proprietarului sistemului, este prevăzută, de asemenea, o evaluare a impactului problemelor detectate și a posibilelor modalități de eliminare a acestora.
Ce este o vulnerabilitate?
Vulnerabilitatea este o greșeală sau o slăbiciune în proiectarea sau implementarea unui sistem a cărui ecspelatatsiya poate compromite întregul sistem.
Ce este o amenințare?
Amenințarea poate fi totul (atacator extern, utilizator intern, instabilitate a sistemului etc.), care poate dăuna bunurilor folosite de aplicație (date din baza de date sau din sistemul de fișiere) în timp ce exploatează vulnerabilitatea.
Ce este testarea?
Testarea testează conformitatea aplicației Web cu toate cerințele de securitate.
Abordare pentru scrierea acestui ghid
Acest manual este deschis și comun:
- Deschis: fiecare expert în securitatea informațiilor poate participa, în ciuda experienței sale. De asemenea, acest proiect este complet gratuit.
- Împreună: înainte de publicarea articolului este o discuție despre acesta, al cărei scop este de a uni ideile participanților.
În scopul acestei abordări, ne propunem să creăm o metodologie de testare care:
- serial;
- reproductibile;
- atentă;
- Sub controlul calității.
Problemele care vor fi luate în considerare sunt pe deplin documentate și testate. Este important să se utilizeze metodologia atunci când se testează toate vulnerabilitățile cunoscute, este, de asemenea, necesar să se documenteze toate acțiunile întreprinse.
Ce este metodologia de testare OWASP?
Testarea securității nu va fi niciodată o știință exactă, cu o anumită listă de posibile probleme care trebuie testate. De fapt, testarea testelor de securitate este un set de metode de testare a aplicațiilor web în anumite circumstanțe. Scopul acestui proiect este de a colecta toate metodele posibile de testare, de a explica aceste metode și de a menține acest manual actualizat. Metodologia de testare a securității aplicațiilor web OWASP se bazează pe metoda cutiei neagră. Informațiile despre aplicația testată sunt limitate sau nu sunt disponibile deloc.
Modelul de testare constă din următoarele elemente:
- Tester - cel care face testele;
- Instrumente și metodologie - nucleul acestui proiect;
- O aplicație testată folosind metoda cutie neagră.
În general, testarea poate fi împărțită în două etape:
În timpul fazei pasive, testerul încearcă să înțeleagă logica aplicației și "joacă" cu ea. Se pot utiliza instrumente de colectare a informațiilor. De exemplu, utilizând un proxy HTTP, puteți examina toate cererile și răspunsurile HTTP. La sfârșitul acestei etape, testerul trebuie să înțeleagă toate punctele de intrare ale aplicației (de exemplu, antete HTTP, parametri și cookie-uri). Secțiunea "Colectarea informațiilor" explică modul de efectuare a testelor în timpul fazei pasive.
De exemplu, un tester ar putea găsi așa ceva:
Această adresă URL poate indica existența unui formular de autentificare care necesită un nume de utilizator și o parolă.
Următorii parametri reprezintă două puncte de intrare în aplicație:
Toate punctele de intrare găsite în timpul fazei pasive trebuie testate în viitor. De asemenea, este util pentru etapa următoare să creați un tabel cu directoarele și fișierele de aplicații, cu toate punctele de intrare (interceptarea proxy-urilor poate fi utilizată pentru a compune un tabel similar, stochează toate cererile și parametrii de afișare).
În timpul acestei faze, testerul efectuează teste în conformitate cu metodologia, care constă din următoarele secțiuni.
Toate testele au fost împărțite în unsprezece subsecțiuni:
Trimiteți-le prietenilor: