Vorbereiten einer ASP.Net Website für Penetrationstests

Question

Im Laufe der Jahre habe ich ein paar von den Websites habe ich für Penetrationstests entwickelt werde von Kunden abgegeben. Die meiste Zeit die Probleme, die hervorgehoben werden, wenn die Ergebnisse beziehen Rückkehr auf das Standardverhalten von ASP .Net wie möglich Cross-Site-Scripting-Attacken etc.

Gibt es gute Artikel, auf die Schwachstellen standardmäßig vorhanden ist in einer ASP .NET-Anwendung und zweitens sind es gute Checklisten zu folgen, die eine Website im Voraus vorbereiten helfen?

Answer 1

Ich denke, dass die Checkliste ändert sich durch die Zeit, und seine Theorie mit der Erfahrung zusammen. Ich habe immer meine Log-Dateien überprüfen und neue Wege sehen, dass sie versuchen, meine Seite zu durchdringen -. Wie Scans auf „nicht vorhandene“ Dateien oder versuchen zufällige Abfragen ausführen

Eine gute Seite, die haben viele Artikel über das Eindringen : http://www.cgisecurity.com/pentest.html

Einige der Möglichkeiten, die auf meinen Seiten einzudringen versuchen.

Die häufigsten

• SQL-Injections , so dass ich überprüfe und Block-Benutzer, die meine Seiten mit dem "Select" Befehl auf der URL-Zeile nennen. Ich überprüfe auch für andere SQL-Befehle.
• forgoten Javascript Dateibrowser Ich sehe, dass in letzter Zeit sie für Links suchen wie: wwwmysite.com/plugins/editors/tinymce/jscripts/tiny_mce/plugins/tinybrowser/tinybrowser.php?type=file&folder=

Um sich zu finden ich das „Seite nicht gefunden“ Ereignis überwachen. Natürlich gefunden, wenn Seite dann dringen sie. Wie auch immer seine mehr möglich gescheitert Versuche zu sehen und sehen, was sie suchen.

Oracle Angriff

Auch in diesen Tagen sehe ich eine Menge Orakel Angriffe . Ich finde sie und blockieren die vollständige IP-Adresse des Angreifers mit diesem Code: Cryptographic: Padding ungültig ist und nicht entfernt werden kann und Validierung von Viewstate-MAC

Stealing Cookies

Ich folge auch den Antworten von dieser Frage: können einige Hacker stehlen das Cookie von einem Benutzer und Login mit diesem Namen auf einer Website?
Schwerpunkte:. Immer ssl-Verschlüsselung auf Login-Cookies (RequireSSL = true), und nicht statt Rollen auf Cookies (cacheRolesInCookies = false) verwenden

Block in fortgeschrittenen

ich auch schwarz aufgelistet ips Block aus dem Inneren des Systems / Programm / iis, aber in der Vergangenheit habe ich verwendet Peerguardian. Auch dort können Sie eine Menge schlechter IP-Listen, die Sie in fortgeschrittenen blockieren können. Mein einziger Hinweis auf diesem schlechten ips ist, dass ich blockiere sie nicht für immer, sondern nur für ein paar Tage. Der Block des schlechten ips hilft mir auch mit den hundert Spam-E-Mail. http://phoenixlabs.org/pg2/

Untersuchen Sie die Log

Ich denke, es gibt viele Möglichkeiten, dass die Leute denken und versuchen, auf Ihrer Website zu durchdringen. Der Punkt ist, wie man sie vorhersagen kann, und sie anmelden, bevor das passiert und macht immer einen besseren Mechanismus, sie zu vermeiden. Wie gesagt, ich die Seite überwachen nicht gefunden, und das Innere Fehler, dass die Seiten wirft. zeigen Sie mir diese 2 Methoden eine Menge Penetrationsversuche.

Hochladen von Skripten.

Wenn Sie Zugriff auf das Hochladen von Dateien geben haben, Bilder und andere Sachen stellen Sie sicher, dass sie nicht auf dem Upload-Verzeichnis ausgeführt werden kann. Dies kann durch doppelte Überprüfung der Erweiterung der Datei getan Äther und auch durch das Ausführen von Programmen und Skripts zu deaktivieren auf dem Verzeichnis, von dem Server selbst, sondern auch durch eine web.config auf dem Upload-Verzeichnis platzieren mit:

<configuration>
    <system.web>
      <authorization>
        <deny users="*" />
      </authorization>
    </system.web>
</configuration>

Lesen Sie einen Fall: Ich habe gehackt. Das Böse aspx Datei hochgeladen AspxSpy genannt. Sie versuchen immer noch. Helfen Sie mir Trap Them!

Answer 2

Checkliste:

Web Application Security Guide / Checkliste

Auch viele kostenlosen Tools zur Verfügung stehen zum Testen der Sicherheit von Webanwendungen, können Sie versuchen, diese:

• Netsparker . Netsparker Community Edition ist ein SQL-Injection-Scanner
• WEBSECURIFY
• Watcher : Watcher ist ein Fiddler Addon die Ziele Penetration Tester in passiv zu finden Web-Anwendungsschwachstellen zu unterstützen.
• Wapiti : Web Application Vulnerability Scanner / Security Auditor
• N-Stalker
• Skipfish : Skipfish ist ein aktives Web Application Security Aufklärungswerkzeug. Er bereitet eine interaktive Sitemap für die gezielte Website durch eine rekursive Crawl und Wörterbuch-basierten Sonden durchgeführt wird. Die resultierende Karte wird dann mit der Ausgabe von einer Anzahl von aktiven (aber hoffentlich nicht störenden) Sicherheitskontrollen kommentiert. Der Abschlussbericht durch das Werkzeug erzeugt wird, soll als Grundlage für die professionellen Web-Anwendung Sicherheitsbewertungen dienen.
• Scrawlr
• X5s : X5s ist ein Fiddler Addon der Ziele Penetrationstester bei der Suche nach Cross-Site-Scripting-Schwachstellen zu unterstützen. Es ist Hauptziel ist es, Ihnen die Hotspots identifizieren zu helfen, wo XSS von auftreten können: 1. Detecting wo sichere Verschlüsselungen wurden nicht angewendet emittiert Benutzereingaben. 2. Erkennen, wo Unicode-Zeichen Transformationen könnten Bypass Sicherheitsfilter. 3. Detecting wo nicht-kürzeste UTF-8-Codierungen Macht Bypass Sicherheitsfilter
• Exploit-Me : Exploit-Me ist eine Suite von Firefox Web Application Security Test-Tools entworfen leicht und einfach zu bedienen sein.

Free Web Application Security Testing-Tools

Answer 3

Sie möchten nicht mit einem Link, um die gute Antwort von Aristos maskieren, aber Google veröffentlichte eine Codelab die möglichen Webanwendungen Exploits zeigen: sein (neu) -called google-Greyerzer .

Es ist eher eine Lern ??Art und Weise die möglichen Exploits als eine Checkliste, aber das Inhaltsverzeichnis zu verstehen kann Ihnen helfen, Ihre Checkliste zu tun.

Hier sind einige Kategorien zu berücksichtigen:

• Cross-Site Scripting (XSS)
  • Datei-Upload-XSS
  • Reflected XSS
  • Gespeicherte XSS
  • Gespeicherte XSS über HTML-Attribut
  • Gespeicherte XSS über AJAX
  • Reflected XSS über AJAX
• Client-State-Manipulation
  • Erhöhung von Berechtigungen
  • Cookie Manipulation
• Cross-Site Request Forgery (XSRF)
• Cross-Site-Script Inclusion (XSSI)
• Path-Traversal
  • Offenlegung von Informationen über den Pfad Traversal
  • Daten über den Pfad Manipulation Traversal
• Denial of Service
  • DoS - Beenden Sie den Server
  • DoS - Überlastung des Servers
• Codeausführung (remote)
• Konfiguration Vulnerabilities (Offenlegung von Informationen)
• AJAX Schwachstellen
  • DoS über AJAX
  • Phishing via AJAX
• Pufferüberlauf und Ganzzahlüberlauf
• SQL Injection