8. Чтение верстки страницы
Желательно:
1. Полное отсутствие комментариев!
2. Если комментарии есть, то не должно быть:
a. Логинов, паролей
b. IP - адресов, портов, URL - любых данных о
конфигурации окружения
c. Никакой информации про фреймворки и версии
d. Никакой информации о разработчике
10. A&A (authorization & authentication)
Авторизация — предоставление определённому
лицу или группе лиц прав на выполнение
определённых действий; а также процесс проверки
(подтверждения) данных прав при попытке
выполнения этих действий.
Аутентификация — проверка подлинности
пользователя путем сравнения введённого им
пароля (для указанного логина) с паролем,
сохраненным в базе данных пользовательских
логинов.
11. A&A (authorization & authentication)
Горизонтальное повышение привилегий - доступ одного пользователя к
информации другого пользователя.
Вертикальное повышение привилегий - от пользователя к админу.
12. A&A (authorization & authentication)
1. Проверка релевантности контента правам доступа пользователей
2. Проверка доступа по URL
3. Проверка сообщений об ошибке при введении неверного
логина/пароля (сообщения “неверный пароль для пользователя Х”
облегчает брут-форс атаку)
Что проверяем?
20. Примеры SQL инъекции
Select * From table Where title= ‘param’ Select * From table Where title=‘ ‘ OR 1=1 -- -
21. Чек лист
1. Проверка комментариев в вкладке Elements в HTML коде
2. Если в приложении есть несколько пользователей с различными правами
доступа необходимо установить у пользователя ограничения и проверить их
применение:
a. На UI
b. Доступ по URL
3. Проверка сообщения при введении правильного логина и не правильного пароля
4. В поля, которые отправляются на сервер (логин, комментарии итд)
a. <script>alert(1)</script>
b. <img src=o onerror=alert(1)>
c. <h1>qwerty</h1>
d. ‘ or 1=1 -- -
22. Программы
1. Основные многофункциональные
a. Burp Suite
b. OWASP ZAP
2. Kali Linux
3. Для подбора паролей (Brute force ) - Hydra
4. Для перехвата запросов
a. Fiddler
b. Charles (MacOS)
5. Для анализа сетевого трафика
a. Wireshark
b. Ettercap
6. XSS - BEef
7. SQL injections - SQLmap
23. Ссылки
1. OWASP TOP 10 2017
2. OWASP testing guide
3. Mobile Top 10 2016
4. Потренироваться в поиске XSS можно тут
5. Блог Святослава Логина
6. База уязвимостей
7. Тестовое задание
8. Портал для обучения HTML, JS, SQL ...