Penetračné testy webových aplikácií

Tento prístup dokáže odhaliť širšiu škálu zraniteľností, ktoré automatizované testy nedokážu odhaliť, najmä v obchodnej logike, zložitých komunikačných prepojeniach, autorizačných mechanizmoch alebo možnosti vystavenia verejne dostupných citlivých údajov. 

Penetračné testy a skeny zraniteľností sú zamerané predovšetkým na identifikáciu bezpečnostných slabín, ktoré sa môžu vyskytovať v konfigurácii, pri spracovaní dát alebo v dôsledku nesprávnej implementácie. Zahŕňa aj bezpečnostnú kontrolu všetkých funkcií, autentifikačných a autorizačných mechanizmov, obchodnej logiky, spôsobu spracovania citlivých informácií a ďalších oblastí.

Pri realizácii penetračných testov vychádzame predovšetkým z aktuálnej metodiky OWASP Testing Guide a používame techniky uvedené nižšie: 

Information Gathering (Zhromažďovanie informácií)

• fáza zameraná na zhromaždenie čo najväčšieho množstva informácií,
• použitie voľne dostupných nástrojov (vyhľadávačov, skenerov, jednoduchých dotazov HTTP alebo špeciálne upravených požiadaviek),
• zverejnenie informácií, napríklad vo forme chybových hlásení alebo oznámení o verziách a použitých technológiách.

Configuration and Deploy Management Testing (Testovanie riadenia konfigurácie a nasadenia)

• Analýza infraštruktúry a architektúry topológie,
• skúmanie technických informácií, ako je zdrojový kód, povolené HTTP metódy, administračná funkcionalita, metódy autentifikácie a informácie o konfigurácii infraštruktúry.

Identity Management Testing (Testovanie správy identít)

• overenie mechanizmu na správu používateľov a ich rolí,
• testovanie parametrov, identifikácia bezpečnostných chýb, zraniteľností vedúcich k priamej kompromitácii používateľských účtov.

Autentication Testing (Testovanie overovania)

• analýza funkčnosti procesu overovania a pokusov o jeho obídenie.

Autorization Testing (Autorizačné testovanie)

• zisťovanie spôsobov, ako obísť pravidlá autorizácie a nastavenia používateľských práv,
• hľadanie spôsobov, ako zvýšiť pridelené oprávnenia.

Session Management Testing (Testovanie správy relácií)

• analýza možnosti odcudzenia overenej relácie používateľa, zisťovanie možností a vykonávania útokov typu man-in-the-middle a podobných útokov.

Data Validation Testing (Testovanie validácie údajov)

• jedna z najdôležitejších častí penetračného testovania - tu sa skúma odolnosť aplikácie voči útokom, ako sú SQL/Code Injection, Cross-Site Scripting, Local File Inclusion a iné.

Error Handling Testing (Testovanie spracovania chýb)

• testovanie úniku citlivých informácií z často veľmi podrobných chybových hlásení, ktoré generujú neštandardné vstupy z hľadiska veľkosti aj obsahu.

Cryptography Testing (Testovanie kryptografie)

• overenie, či aplikácia akceptuje zastarané, nefunkčné alebo úplne nevhodné (žiadne) kryptografické mechanizmy.

Business Logic Testing

• skúmanie všetkých workflow funkcionalít a hľadanie možnosti ich zneužitia na vykonávanie činností, ktoré nie sú v súlade s možnosťami použitia v danej aplikácii.

Client Side Testing (Testovanie na strane klienta)

• overovanie toho, ako efektívne sú mechanizmy, ktoré aplikácia používa na ochranu používateľov pred špecializovanými útokmi, ktoré sú zamerané priamo na používateľa a jeho prehliadač,
• testovanie rôznych typov injekcií klientských skriptovacích jazykov a manipulácie s parametrami spravovanými prehliadačom.

Naše penetračné testy: pre tých, ktorí si neželajú neočakávané návštevy vo svete kybernetických nepriateľov, ale radi by ich prekvapili vlastnou pripravenosťou.