웹 보안 테스트

https://stackoverflow.com/questions/1722160

19-09-2019
|

문제

당신의 경험에서, 당신은 사이트 취약점 측면에서 무엇을 발견하거나, 일했거나, 어떤 일을 했습니까? 이러한 문제를 완화하기 위해 어떤 조치를 취했습니까?

여기에는 XSS (크로스 사이트 스크립팅), SQL 주입 공격, 평범한 오래된 DDO 또는 사이트 고객에 대한 피싱 시도가 포함될 수 있습니다. 어제 만 감사 사이트와 다양한 취약점에 대한 잠재력을위한 Firefox 도구의 전체 섹션을 발견했습니다.

역할을 위해이 분야에 대한 나의 지식을 확장하려고하므로 읽거나 배우는 더 많은 정보가 항상 좋습니다. 견고한 링크도 감사합니다! 그리고 당신이 찾은 최악의 최악의 전쟁 이야기 또는 당신이 본 가장 무서운 구멍 - 경험에서 배우는 것은 때때로 가장 좋은 방법입니다!

해결책

보안 검토, 화이트 박스 및 블랙 박스를 수십 개의 응용 프로그램 및 사이트에 대해 수행했습니다.

XSS 및 SQL 주입은 많은 프레스를 얻지 만 가장 일반적인 보안 결함이 무엇인지 알고 있습니까? 프로덕션 코드에서 디버그 및 테스트 기능을 남겨 둡니다. 우편 매개 변수 (isdebug = true)를 조작하거나 사이트를 거부하고 남은 페이지를 찾아 보안에 관한 최악의 실수입니다. 테스트/디버그 코드를 포함하는 경우 별도의 코드 브랜치에 넣거나 출시 전에 제거 할 체크리스트를 준비하십시오.
내가 본 다음으로 가장 일반적인 취약점은 단순히 페이지 소스에서 URL을 잡아 보안 메커니즘을 우회하는 능력입니다. 기술 이름은 'Forceful Navigation'또는 'Forced Browsing'입니다. 이것은 HTML을 읽을 수있는 사람이라면 누구나 할 수 있지만 다양한 응용 프로그램이 취약하다는 것에 놀랐습니다. 어제 티켓 구매 사이트를 검토 한 후이 방법을 사용하여 매진 쇼를위한 티켓을 구입할 수있었습니다. 이전 사이트에서는 결제를 완전히 건너 뛸 수있었습니다 (많은 PayPal 사이트가 Post 매개 변수를 통해 PayPal에 "구매 완전한"URL을 전달합니다!). 완료, 결제, 가용성, 정확성 등을 보장하기 위해 일종의 백엔드 상태가 필요하거나 점검이 필요합니다.
솔직히 말해서, 나는 보통 AppScan, Burp Proxy, Webscarab, Fortify, FindBugs 또는 YASCA (예산 및 소스 코드 접근성에 따라)와 같은 도구가 XSS 및 SQL 주입 공격을 찾을 수있게 해줍니다. 나는 간단한 물건을 스스로 시도하고, 명백한 구멍을 찾을 것이지만, 자신을 시험해 볼 수있는 알려진 조합이 너무 많습니다. 나는 더 발전된 또는 최근에 발견 된 결함을 위해 작은 스크립트와 테스트 케이스를 보관합니다.

나는 하루 종일 갈 수 있기 때문에 3시에 멈출 것입니다. 나는 당신의 질문에서 초점을 잃고 있으며 아무도 텍스트 벽을 읽고 싶어하지 않습니다.

새롭고 노련한 웹 보안 전문가를위한 리소스 : (Argh. 아직 링크를 게시 할 수 없습니다. 복사/붙여 넣기. 죄송합니다)

오픈 웹 애플리케이션 보안 프로젝트 (OWASP)

http://www.owasp.org/

웹 보안 테스트 요리 책

이 책은 감사인, 테스터 및 개발자를 위해 쓰여졌습니다. O'Reilly 책에는 매우 드문 일입니다.

WebSecurityTesting.com

Fortify의 취약성 분류

www.fortify.com/vulncat/

일반적인 약점 열거 (경고 : 광범위한)

nvd.nist.gov/cwe.cfm

일반적인 공격 패턴 열거 및 분류 (경고 : 더욱 광범위)

capec.mitre.org/

Google의 웹 보안 자습서

(오히려 약한)

code.google.com/edu/security/index.html

다른 팁

문서 라이브러리가 포함 된 웹 앱 프로젝트에 가입했습니다. 문서를 참조하는 방식은 비슷했습니다 http://example.com/getDocument?file=somefile.pdf. 물론 나는 단지 파일 =/etc/passwd를 시도해야했고 물론 효과가있었습니다.

솔루션 : 사용자 입력 소독을 수행하거나 URL에서 요청한 리소스와 실제 파일 시스템 리소스간에 어느 정도의 추상화 수준을 사용하십시오.

이것은 SQL 주사 공격의 사촌입니다. 의심스럽게 보이는 허용 요청을 검사하여 클라이언트에게 너무 많은 제어를 제공합니다.

라이센스 : CC-BY-SA ~와 함께 속성

제휴하지 않습니다 StackOverflow