Веб-қосымшалар мен API қорғалуы
Қаскөй бөтен деректерді оқитын, төлемді айналып өтетін немесе әкімші құқықтарын алатын осалдықтарды іздейміз. OWASP бойынша тіркелгімен де, онсыз да қолмен тексереміз.
- Сұрау
GET /api/orders/10482A клиенті - Жауап200 OK: B клиентінің аты, телефоны және мекенжайы бар тапсырысыАғып кету
- СебебіAPI тапсырыстың кімге тиесілі екенін тексермейдіOWASP API1
- ТүзетуСұрау кезінде объект иесін серверде тексеруҰсыным
CVSS 7.5 бағасы бар IDOR, тест стендінде қайталанды
Нені тексереміз
- Веб-қосымшалар
- Сайттар, жеке кабинеттер, интернет-банкинг, клиенттер мен серіктестерге арналған порталдар.
- API
- REST, GraphQL және SOAP: авторизация, объектілерге қол жеткізу, сұрауларды шектеу.
- Мобильді қосымшалар
- Android және iOS: құрылғыда деректерді сақтау, сервермен алмасу, талдаудан қорғау.
- Бастапқы код
- Кодты қолмен және автоматты талдау, репозиторийдегі тәуелділіктер мен құпияларды тексеру.
Фотосуреттер
Фото: Sai Kiran Anagani, CC0; Christopher Bowns, CC BY-SA 2.0; Syced, CC0; Markus Spiske, CC0, Wikimedia Commons.
Тестілеу модельдері
Қара жәшік
Бөгде адам ретінде тестілейміз: тіркелгісіз және жүйе туралы мәліметсіз.
Сұр жәшік
Әртүрлі рөлдердің тіркелгілерін алып, бір рөл басқа рөлдің атынан әрекет ете ала ма, соны тексереміз.
Ақ жәшік
Бастапқы код пен API құжаттамасын алып, сырттан көрінбейтін қателерді табамыз.
Жұмыс қалай өтеді
- 01
Шекаралар
Мекенжайларды, рөлдерді, тест тіркелгілерін және жұмыс терезесін келісеміз. Таңдауыңыз бойынша көшірмеде немесе жұмыс ортасында тестілейміз.
- 02
Қосымша картасы
Функцияларды, рөлдерді, деректерді енгізу нүктелерін және API шақыруларын зерттейміз.
- 03
Тестілеу
OWASP ASVS бойынша тексереміз: авторизацияны, бизнес-логиканы, инъекцияларды, файлдарды жүктеуді және сессиялардың жұмысын.
- 04
Есеп
Осалдықтарды сұраулармен, жауаптармен және қайталау қадамдарымен сипаттаймыз. Әзірлеушілерге нақты түзетулер береміз.
- 05
Қайта тексеру
Түзетулерден кейін табылған осалдықтарды қайта тексереміз.
Сіз не аласыз
- CVSS бағасы мен дәлелдері бар осалдықтар тізімі.
- Әзірлеушілерге код және конфигурация деңгейіндегі ұсынымдар.
- Түзетулерден кейінгі қайта тексеру.
- Басшылық пен аудиторларға арналған есеп.
Сұрақтар
Өз сұрағыңызды қоюЖұмыс істеп тұрған сайтты тестілеуге бола ма?
Иә, егер жұмыс терезесін келісіп, клиенттер деректерін өзгертетін тексерулерді алып тастасақ. Терең тексерулер үшін тест стендіндегі көшірме қолайлырақ.
Сізге бастапқы код керек пе?
Қара және сұр жәшік үшін код керек емес. Кодпен тексеру сол уақытта көбірек табады, әсіресе авторизация мен бизнес-логика қателерін.
Есеп PCI DSS бойынша тексеруге жарай ма?
Есеп әдістемені, шекараларды және нәтижелерді аудиторлар күткендей сипаттайды. Тестілеуге қойылатын талаптарды аудиторыңызбен алдын ала келісеміз.
Міндетті талқылау
Міндет пен мерзімді сипаттаңыз. Біз жауап беріп, жұмыс шекарасын нақтылаймыз және жоспар ұсынамыз.
- Шарт. Шарт пен құпиялылық туралы келісімнен бастаймыз. Жұмыс шекарасы мен рұқсаттарды жазбаша бекітеміз.
- Шекаралар. Мақсаттарды, жүйелерді, мерзімдерді және ақау болған жағдайдағы байланыстарды жұмыс басталғанға дейін келісеміз.
- Жұмыс. Жұмыс барысын хабарлап отырамыз, сыни осалдықтар туралы бірден айтамыз.
- Есеп. Басшылыққа арналған есепті және дәлелдері мен ұсынымдары бар техникалық есепті береміз.
Немесе бізге жазыңыз: info@dozorsecurity.kz