OWASP WSTG 4.x
OWASP WSTG 4.x
Год2025
ЯзыкРусский
Жанры
Программирование, ПО, БД
Скачать
PDF
Описание
OWASP «Руководство по тестированию веб-безопасности» (WSTG v.4.X+) является
основным ресурсом для тестирования кибербезопасности для разработчиков
веб-приложений и специалистов по безопасности.
WSTG - это всеобъемлющее руководство по тестированию безопасности веб-
приложений и веб-сервисов. Созданный совместными усилиями профессионалов
в области кибербезопасности и волонтеров, предоставляет набор лучших
практик, используемых тестировщиками проникновения и организациями по
всему миру.
Версия 4.X - промежуточная между текущей 4.2 и будущей 4.3.
Оглавление
- Оглавление:2
- 1. Предисловие от Ойна Кири6
- Почему OWASP?7
- Адаптация и расстановка приоритетов7
- Роль автоматизированного тестирования8
- Призыв к действию9
- 2. Введение9
- Проект OWASP по тестированию10
- Измерение безопасности: экономика небезопасного программного обеспечения11
- Что такое тестирование?11
- Зачем проводить тестирование?12
- Когда тестировать?12
- Что проверять?13
- Как ссылаться на сценарии тестирования в WSTG14
- Ссылки15
- Отзывы и комментарии15
- Принципы тестирования15
- Панацеи не существует15
- Думайте стратегически, а не тактически15
- SDLC — наше всё16
- Тестируйте раньше и чаще17
- Автоматизация тестирования17
- Учитывайте область применения18
- Развивайте правильное мышление18
- Понимание предмета18
- Используйте правильные инструменты19
- Дьявол кроется в деталях19
- Используйте исходный код, когда он доступен19
- Отключение компенсирующих мер для тестировщиков19
- Разработка метрик20
- Документируйте результаты тестирования20
- Объяснение методов тестирования21
- Ручные проверки и обзоры21
- Обзор21
- Преимущества21
- Недостатки22
- Моделирование угроз22
- Обзор22
- Преимущества23
- Недостатки23
- 2.6 Анализ исходного кода23
- Обзор23
- Преимущества24
- Недостатки24
- Тестирование на проникновение24
- Обзор24
- Преимущества25
- Недостатки25
- Необходимость сбалансированного подхода25
- Примечание о сканерах веб-приложений28
- Пример 1: «Волшебные» параметры28
- Пример 2: Плохая криптография29
- Примечание об инструментах статического анализа кода29
- Определение требований к тестированию безопасности30
- Задачи тестирования30
- Документация по требованиям безопасности30
- Контроль требований безопасности31
- Таксономии угроз и контрмер32
- Тестирование безопасности и анализ рисков33
- Определение функциональных и нефункциональных требований к тестированию34
- Функциональные требования к безопасности34
- Учёт рисков в требованиях к безопасности35
- Определение требований к тестированию безопасности на основе сценариев целевого и нецелевого использования36
- Шаг 1: Опишите функциональный сценарий37
- Шаг 2: Опишите негативный сценарий37
- Шаг 3. Опишите функциональные и негативные сценарии с примерами правильного и неправильного использования37
- Шаг 4. Выясните требования безопасности38
- Тесты безопасности, интегрированные в рабочие процессы разработки и тестирования39
- Тестирование безопасности в процессе разработки39
- Тестирование безопасности в процессе тестирования39
- Тесты безопасности, проводимые разработчиками41
- Тестирование безопасности на этапе разработки: модульные тесты41
- Функциональное тестирование безопасности43
- Тестирование безопасности на этапах интеграции и приёма в эксплуатацию: интеграционно-функциональные и приёмо-сдаточные испытания43
- Анализ данных по тестированию безопасности и отчётность45
- Цели для метрик и измерений при тестировании безопасности45
- Требования к отчетности48
- Экономическое обоснование49
- Ссылки50
- 3. Методика тестирования OWASP50
- 3.1 Обзор50
- Этап 1. До начала разработки51
- Этап 1.1. Определите свой SDLC51
- Этап 1.2. Ознакомьтесь с политиками и стандартами51
- Этап 1.3. Разработайте критерии измерения и метрики и обеспечьте их прослеживаемость52
- Этап 2. В процессе определения и проектирования52
- Этап 2.1. Ознакомьтесь с требованиями безопасности52
- Этап 2.2. Рассмотрите архитектуру приложений53
- Этап 2.3. Разработайте и проанализируйте UML-модели53
- Этап 2.4. Разработайте и проанализируйте модели угроз53
- Этап 3. В процессе разработки53
- Этап 3.1. Проведите «ознакомительную экскурсию» по коду54
- Этап 3.2. Проведите анализ исходного кода54
- Этап. 4. В процессе развёртывания55
- Этап 4.1. Протестируйте приложение на проникновение55
- Этап 4.2. Протестируйте безопасность настроек55
- Этап 5. В процессах сопровождения и эксплуатации55
- Этап 5.1. Проводите анализ эксплуатации приложения55
- Этап 5.2. Проводите регулярный анализ защищённости55
- Этап 5.3. Обеспечьте верификацию изменений55
- Типичный процесс тестирования в SDLC55
- Методологии тестирования на проникновение56
- Обзор56
- Руководства по тестированию от OWASP57
- Стандарт проведения тестирования на проникновение57
- Руководство по тестированию на проникновение от PCI57
- Руководство PCI DSS по тестированию на проникновение57
- Требования PCI DSS к тестированию на проникновение58
- Фреймворк для тестирования на проникновение58
- Техническое руководство по тестированию и оценке информационной безопасности59
- Руководство по методологии тестирования безопасности с открытым исходным кодом59
- Ссылки60
- 4. Тестирование безопасности веб-приложений60
- Введение и цели60
- Что такое тестирование безопасности web-приложений?60
- Что такое уязвимость?60
- Что такое угроза?61
- Что такое тест?61
- Подход к написанию этого руководства61
- Из чего состоит методология тестирования OWASP?61
- Пассивное тестирование62
- Активное тестирование62
- Разведка в поисковых системах и обнаружение утечек информации63
- Обзор63
- Задача тестирования63
- Как тестировать64
- Поисковые системы64
- Операторы поиска65
- Просмотр кэшированного контента66
- Google Hacking или Dorking66
- Меры защиты67
- Fingerpinting веб-сервера67
- Обзор67
- Задача тестирования67
- Как тестировать68
- Захват баннера68
- Отправка некорректных запросов70
- Использование инструментов автоматизированного сканирования72
- Меры защиты73
- Анализ метафайлов web-сервера на предмет утечки информации73
- Обзор73
- Задачи тестирования73
- Как тестировать74
- Robots74
- Анализ robots.txt с помощью инструментов Google для web-мастеров75
- Теги META75
- META-тег ROBOTS76
- Информационные META-теги76
- Карта сайта78
- Security TXT79
- Humans TXT81
- Другие .well-known источники информации81
- Инструменты81
- Инвентаризация приложений на web-сервере82
- Обзор82
- Задача тестирования83
- Как тестировать83
- Подходы к решению проблемы 1 — нестандартные URL-адреса84
- Подходы к решению проблемы 2 — нестандартные порты85
- Подходы к решению проблемы 3 — виртуальные хосты87
- Передача DNS-зоны87
- Обратный DNS-запрос89
- Web-поиск в DNS89
- Обратный IP-запрос89
- Поиск в Google89
- SSL-сертификаты90
- Инструменты90
- Проверка содержимого веб-страницы на предмет утечки информации90
- Обзор90
- Задачи тестирования91
- Как тестировать92
- Просмотр комментариев и метаданных web-страницы92
- Поиск JavaScript на странице и во внешних файлах93
- Поиск файлов Source Map (карта кода)95
- Поиск сообщений при перенаправлении, которые содержат утечки информации96
- Инструменты96
- Ссылки96
- Технические стандарты96
- Определение точек входа в приложение96
- Обзор97
- Задача тестирования97
- Как тестировать97
- Запросы98
- Ответы99
- OWASP Attack Surface Detector99
- Как применяется99
- Тестирование точек входа в приложение102
- Пример 1102
- Пример 2102
- Инструменты103
- Ссылки103
- Пути выполнения приложения103
- Обзор103
- Задача тестирования103
- Как тестировать103
- Автоматическое сканирование104
- Инструменты105
- Ссылки105
- Определение фреймворка web-приложения105
- Обзор106
- Задача тестирования106
- Как тестировать106
- Метод чёрного ящика106
- HTTP-заголовки106
- Cookies108
- Исходный код HTML109
- Специфичные файлы и папки110
- Расширения файлов112
- Сообщения об ошибках113
- Распространённые идентификаторы113
- Cookies113
- Исходный код HTML114
- Общие маркеры114
- Специальные маркеры114
- Меры защиты115
- Инструменты115
- WhatWeb115
- Wappalyzer116
- Ссылки117
- Технические руководства117
- Архитектура приложения117
- Обзор117
- Задача тестирования117
- Как тестировать117
- Компоненты приложения118
- Web-сервер118
- Platform-as-a-Service (PaaS)118
- Serverless118
- Микросервисы119
- Статичное хранилище119
- Базы данных119
- Аутентификация120
- Сторонние сервисы и API120
- Сетевые компоненты121
- Обратный прокси-сервер121
- Балансировщик нагрузки121
- Сети доставки контента (CDN)122
- Средства безопасности123
- Межсетевой экран (МСЭ)123
- Система обнаружения и предотвращения сетевых вторжений123
- Web Application Firewall (WAF)123
- Тестирование управления конфигурацией и развертывания124
- Анализ конфигурации сетевой инфраструктуры124
- Обзор124
- Задачи тестирования125
- Как тестировать125
- Известные уязвимости сервера125
- Инструменты администрирования127
- Ссылки128
- Тестирование конфигурации платформы приложения128
- Обзор128
- Задачи тестирования129
- Как тестировать129
- Тестирование методом «чёрного ящика»129
- Примеры, известные файлы и каталоги129
- Анализ комментариев129
- Конфигурация системы130
- Тестирование методом «серого ящика»130
- Анализ конфигурации130
- Ведение журнала событий132
- Размещение журнала133
- Хранение журналов134
- Ротация журналов135
- Контроль доступа к журналам135
- Анализ журнала событий135
- Ссылки136
- Тестирование обработки расширений файлов на наличие чувствительной информации137
- Обзор137
- Задачи тестирования138
- Как тестировать138
- Перебор файлов и каталогов138
- Пример139
- Загрузка файла140
- Тестирование методом «серого ящика»140
- Инструменты140
- Анализ старых резервных копий и файлов без ссылок140
- Обзор141
- Угрозы142
- Задача тестирования143
- Как тестировать144
- Тестирование методом «чёрного ящика»144
- Вывод из соглашения о наименовании для опубликованного контента144
- Другие подсказки в опубликованном контенте144
- Угадывание145
- Информация, полученная из-за уязвимостей сервера и неправильной конфигурации147
- Использование общедоступной информации147
- Обход фильтра по имени файла148
- Тестирование методом «серого ящика»148
- Меры защиты148
- Инструменты149
- Нахождение административных интерфейсов приложения и инфраструктуры150
- Обзор150
- Задача тестирования151
- Как тестировать151
- Тестирование методом «чёрного ящика»151
- Тестирование методом «серого ящика»152
- Инструменты154
- Ссылки154
- Тестирование HTTP-методов154
- Обзор155
- Задачи тестирования155
- Как тестировать155
- Определить поддерживаемые методы155
- PUT и DELETE157
- Устаревшие web-серверы157
- RESTful API158
- TRACE158
- CONNECT159
- PATCH159
- Тестирование обхода контроля доступа160
- Тестирование переопределения HTTP-метода161
- Меры защиты162
- Инструменты162
- Ссылки162
- Тестирование HTTP Strict Transport Security (HSTS)163
- Обзор163
- Задача тестирования164
- Как тестировать164
- Ссылки164
- Проверка прав доступа на файлы164
- Обзор164
- Задачи тестирования165
- Как тестировать165
- Меры защиты165
- Инструменты165
- Ссылки166
- Проверка на захват поддомена166
- Обзор166
- GitHub166
- Просроченный домен167
- Задачи тестирования167
- Как тестировать167
- Тестирование методом «чёрного ящика»167
- Тестирование захвата субдомена DNS, указанного в записях A и CNAME167
- Тестирование захвата поддомена, указанного в записи NS170
- Тестирование методом «серого ящика»170
- Меры защиты170
- Инструменты170
- Ссылки170
- Тестирование облачного хранилища171
- Обзор171
- Задача тестирования171
- Как тестировать171
- Тестирование некорректной конфигурации корзины Amazon S3172
- Определение URL корзины173
- Тестирование в AWS-CLI173
- Инструменты174
- Ссылки174
- Тестирование Content Security Policy (CSP)174
- Обзор175
- Задача тестирования175
- Как тестировать175
- Меры защиты176
- Строгая политика176
- Инструменты176
- Ссылки176
- Поверка на Path Confusion177
- Обзор177
- Задачи тестирования177
- Как тестировать177
- Тестирование методом "черного ящика"177
- Тестирование методом "белого ящика"178
- Инструменты178
- Меры защиты178
- Ссылки178
- Тестирование управления идентификацией179
- Тестирование определения ролей (RBAC)179
- Обзор179
- Задачи тестирования179
- Как тестировать179
- Идентификация ролей179
- Переключение на доступные роли180
- Анализ разрешений ролей180
- Инструменты180
- Ссылки180
- Тестирование процесса регистрации пользователя181
- Обзор181
- Задачи тестирования181
- Как тестировать181
- Пример182
- Меры защиты183
- Инструменты183
- Ссылки183
- Тестирование процесса создания учётных записей183
- Обзор183
- Задача тестирования183
- Как тестировать183
- Пример184
- Инструменты185
- Перебор и угадывание учётных записей пользователей185
- Обзор185
- Задачи тестирования186
- Как тестировать186
- Сообщения в HTTP-ответах186
- Тестирование действительных учётных данных186
- Тестирование действительного пользователя с неправильным паролем186
- Тестирование несуществующего имени пользователя187
- Другие способы перебора учётных записей187
- Анализ кода ошибки, полученного на страницах входа188
- Анализ URL-адресов и перенаправлений188
- Зондирование URI188
- Анализ заголовков web-страниц188
- Анализ сообщения, полученного при восстановлении189
- Дружелюбное сообщение об ошибке 404189
- Анализ времени отклика189
- Угадывание имён пользователей189
- Тестирование имперсонификации пользователей190
- Тестирование методом серого ящика191
- Тестирование сообщений об ошибках аутентификации191
- Меры защиты192
- Инструменты192
- Ссылки192
- Тестирование политики в отношении имён пользователей192
- Обзор192
- Задачи тестирования192
- Как тестировать193
- Меры защиты193
- Тестирование аутентификации193
- Тестирование учётных данных по умолчанию193
- Обзор193
- Задачи тестирования193
- Как тестировать194
- Тестирование на учётные данные по умолчанию от поставщика194
- Тестирование на пароли по умолчанию для организации194
- Тестирование паролей по умолчанию, сгенерированных приложением195
- Инструменты195
- Ссылки195
- Тестирование механизма блокировки195
- Обзор195
- Задачи тестирования196
- Как тестировать196
- Механизм блокировки196
- Уникальные механизмы блокировки197
- Механизм разблокировки199
- Меры защиты199
- Ссылки200
- Тестирование обхода схемы аутентификации200
- Обзор200
- Задача тестирования201
- Как тестировать201
- Прямой запрос к странице202
- Изменение параметров202
- Предсказуемые идентификаторы сессии203
- SQL-инъекция (аутентификация в HTML-форме)205
- Вольное сравнение в PHP206
- Инструменты207
- Ссылки207
- Тестирование уязвимого запоминания пароля207
- Обзор207
- Задача тестирования208
- Как тестировать208
- Меры защиты208
- Тестирование уязвимостей кэша браузера208
- Обзор208
- Задачи тестирования209
- Как тестировать209
- История браузера209
- Кэш браузера210
- Анализ кэшированной информации211
- Проверка обработки кэша в мобильных браузерах211
- Тестирование методом серого ящика211
- Инструменты212
- Ссылки212
- Технические руководства212
- Тестирование парольной политики212
- Обзор212
- Задача тестирования212
- Как тестировать212
- Меры защиты213
- Ссылки213
- Тестирование ответа на контрольный вопрос213
- Обзор213
- Заранее подготовленные вопросы214
- Самостоятельно созданные вопросы214
- Задачи тестирования214
- Как тестировать215
- Тестирование недостатков в заранее подготовленных вопросах215
- Проверка недостатков в вопросах, созданных самостоятельно215
- Тестирование ответов методом перебора215
- Ссылки216
- Тестирование функций изменения или сброса пароля216
- Обзор216
- Задача тестирования217
- Как тестировать217
- Сбор информации217
- Общие вопросы217
- Email: отправка нового пароля218
- Email: отправка ссылки219
- Токены, отправляемые с помощью SMS или звонка по телефону221
- Контрольные вопросы222
- Аутентифицированная идентификация и изменения конфигурации222
- Аутентифицированное изменение пароля223
- Ссылки223
- Тестирование аутентификации в альтернативных каналах224
- Обзор224
- Пример225
- Задачи тестирования225
- Как тестировать225
- Разобраться с основным механизмом225
- Определить другие каналы225
- Инвентаризация функций аутентификации226
- Анализ и тестирование226
- Связанные тестовые примеры227
- Меры защиты227
- Тестирование мультифакторной аутентификации (MFA)227
- Обзор227
- Задачи тестирования227
- Как тестировать228
- Типы МФА228
- Проверка обхода МФА228
- Проверка управления МФА230
- Проверка параметров восстановления МФА230
- Коды восстановления230
- Процесс сброса МФА230
- Альтернативные способы аутентификации230
- Одноразовые пароли231
- HOTP и TOTP232
- Email, SMS и телефон232
- Мобильные приложения и Push-уведомления233
- Фильтрация по IP-адресу и местоположению233
- Сертификаты и смарт-карты234
- Связанные сценарии тестирования235
- Меры защиты235
- Ссылки235
- Тестирование авторизации236
- Тестирование включения файлов при обходе каталогов236
- Обзор236
- Задачи тестирования237
- Как тестировать237
- Тестирование методом чёрного ящика237
- Перебор входных векторов237
- Методы тестирования238
- Особенности Windows239
- Тестирование методом серого ящика240
- Инструменты241
- Ссылки241
- Технические руководства241
- Тестирование обхода схемы авторизации242
- Обзор242
- Задача тестирования242
- Как тестировать242
- Тестирование горизонтального обхода схемы авторизации242
- Тестирование доступа к административным функциям244
- Проверка доступа к ресурсам, предназначенным для другой роли244
- Тестирование обработки запросов со специальными заголовками245
- 1. Отправить обычный запрос без заголовка X-Original-Url или X-Rewrite-Url245
- 2. Отправить запрос с заголовком X-Original-Url, указывающим на несуществующий ресурс245
- 3. Отправить запрос с заголовком X-Rewrite-Url, указывающим на несуществующий ресурс246
- 4. Другие заголовки, которые следует рассмотреть246
- Меры защиты247
- Инструменты247
- Ссылки247
- Тестирование повышения привилегий247
- Обзор247
- Задачи тестирования248
- Как тестировать248
- Тестирование манипулирования ролями/привилегиями248
- Манипулирование с группой пользователей248
- Манипулирование с профилем пользователя249
- Манипулирование со значением условия250
- Манипуляции с IP-адресом250
- Тестирование вертикального обхода схемы авторизации250
- Сценарий тестирования ролей для сайта банка251
- Доступ к странице администратора252
- Обход URL253
- Белый ящик253
- Перебор Session ID253
- Ссылки253
- Техническое руководство253
- Инструменты253
- Тестирование небезопасных прямых ссылок на объекты (IDOR)253
- Обзор254
- Задачи тестирования254
- Как тестировать254
- Значение параметра используется непосредственно для извлечения записи из базы данных255
- Значение параметра используется непосредственно для выполнения операции в системе255
- Значение параметра используется непосредственно для доступа к ресурсам файловой системы256
- Значение параметра используется непосредственно для доступа к функциям приложения256
- Ссылки257
- Тестирование уязвимостей в OAuth257
- Обзор257
- Задача тестирования259
- Как тестировать259
- Тестирование на наличие устаревших потоков259
- Публичные клиентские приложения261
- Конфиденциальные клиентские приложения261
- Раскрытие учётных данных262
- Связанный сценарий тестирования263
- Меры защиты263
- Инструменты263
- Ссылки263
- Тестирование уязвимостей сервера авторизации OAuth264
- Обзор264
- Задачи тестирования264
- Как тестировать264
- Тестирование на недостаточный контроль Redirect URI264
- Тестирование на инъекцию кода авторизации266
- Тестирование публичных клиентских приложений266
- Тестирование конфиденциальных клиентских приложений266
- Тестирование атаки на отключение PKCE267
- Тестирование подделки межсайтовых запросов на странице согласия268
- Тестирование на перехват клика269
- Как тестировать270
- Тестирование срока действия токена270
- Тестирование подтверждения срока действия токена доступа270
- Протестируйте проверку срока действия токена обновления271
- Связанные сценарии тестирования272
- Меры защиты273
- Инструменты273
- Ссылки273
- Тестирование уязвимостей клиента OAuth274
- Обзор274
- Задачи тестирования274
- Как тестировать274
- Тестирование на раскрытие секрета клиента274
- Тестирование на предмет неправильного хранения токенов275
- Тестирование инъекции токена доступа275
- Связанные сценарии тестирования276
- Меры защиты276
- Инструменты276
- Ссылки277
- Тестирование управления сессиями277
- Тестирование схемы управления сессиями277
- Обзор277
- Задачи тестирования278
- Как тестировать279
- Тестирование методом чёрного ящика и примеры279
- Сбор Cookie279
- Анализ сессии280
- Предсказуемость и случайность Session ID281
- Реверс-инжиниринг Cookie282
- Атаки методом перебора284
- Тестирование методом серого ящика и примеры284
- Инструменты285
- Ссылки285
- Технические руководства285
- Тестирование атрибутов Cookie286
- Обзор286
- Задача тестирования286
- Как тестировать286
- Атрибуты Cookie287
- Атрибут Secure287
- Атрибут HttpOnly287
- Атрибут Domain287
- Атрибут Path288
- Атрибут Expires288
- Атрибут SameSite288
- Префиксы Cookie289
- Префикс Host289
- Префикс Secure290
- Рекомендованная практика290
- Инструменты290
- Перехватывающие прокси290
- Плагины для браузера290
- Ссылки291
- Тестирование фиксации сессии291
- Обзор291
- Задачи тестирования292
- Как тестировать292
- Тест с принудительным cookie293
- Меры защиты294
- Инструменты294
- Ссылки295
- Тестирование незащищённых параметров сессии295
- Обзор295
- Задачи тестирования295
- Как тестировать296
- Тестирование уязвимостей шифрования и повторного использования сессионных токенов296
- Тестирование уязвимостей прокси-серверов и кэширования296
- Тестирование на уязвимости в GET и POST297
- Тестирование уязвимостей канала передачи298
- Ссылки298
- Технические руководства298
- Тестирование подделки межсайтовых запросов (CSRF)299
- Обзор299
- Задачи тестирования304
- Как тестировать304
- Меры защиты306
- Инструменты306
- Ссылки306
- Тестирование выхода из системы306
- Обзор306
- Задачи тестирования308
- Как тестировать308
- Тестирование пользовательского интерфейса выхода из системы308
- Тестирование завершения сессии на стороне сервера308
- Тестирование тайм-аута сессии309
- Тестирование завершения сессии в системе единого входа (Single Sign-Off)309
- Инструменты310
- Ссылки310
- Технические руководства310
- Тестирование тайм-аута сессии310
- Обзор310
- Задача тестирования311
- Как тестирования311
- Тестирование методом чёрного ящика311
- Тестирование методом серого ящика312
- Ссылки313
- Ресурсы OWASP313
- Тестирование перегрузки переменных сессии (Session Puzzling)313
- Обзор313
- Задачи тестирования314
- Как тестировать314
- Тестирование методом чёрного ящика314
- Примеры314
- Тестирование методом серого ящика314
- Меры защиты314
- Ссылки314
- Тестирование перехвата сессии315
- Обзор315
- Задачи тестирования316
- Как тестировать316
- Инструменты317
- Тестирование JSON Web Token317
- Обзор317
- Задачи тестирования317
- Как тестировать318
- Состав318
- Анализ компонентов318
- Заголовок318
- Полезная нагрузка318
- Подпись319
- Анализ использования319
- Проверка подписи320
- Алгоритм None320
- «Психоподписи» ECDSA321
- Некриптостойкие ключи HMAC321
- Путаница между HMAC и открытым ключом322
- Открытый ключ, предоставленный злоумышленником323
- Связанные сценарии тестирования323
- Меры защиты323
- Инструменты323
- Ссылки324
- Тестирование контроля входных данных324
- Тестирование отражённых межсайтовых скриптов (Reflected XSS)324
- Обзор324
- Задачи тестирования325
- Как тестировать325
- Тестирование методом чёрного ящика325
- Обнаружение входных векторов325
- Анализ входных векторов325
- Анализ воздействия326
- Пример №1326
- Пример №2327
- Обход фильтров XSS328
- Пример №3: значение атрибута тега329
- Пример №4: другой синтаксис или кодировка329
- Пример №5: обход нерекурсивной фильтрации329
- Пример №6: включение внешнего скрипта330
- Пример №7: загрязнение параметров HTTP (англ.: HTTP Parameter Pollution, HPP)330
- Тестирование методом серого ящика331
- Инструменты331
- Ссылки332
- Ресурсы OWASP332
- Книги332
- Технические руководства332
- Тестирование хранимых межсайтовых скриптов (Stored XSS)333
- Обзор333
- Задачи тестирования334
- Как тестировать334
- Тестирование методом чёрного ящика334
- Формы ввода334
- Анализ HTML-кода334
- Тестирование хранимых XSS335
- Эксплуатация хранимых XSS с BeEF336
- Загрузка файла338
- Слепой межсайтовый скриптинг339
- Тестирование методом серого ящика339
- Инструменты341
- Ссылки341
- Ресурсы OWASP341
- Книги341
- Технические руководства341
- Тестирование «загрязнения» параметров HTTP342
- Обзор342
- Контроль входных данных и обход фильтров342
- Обход аутентификации343
- Ожидаемое поведение сервера приложений344
- Задачи тестирования345
- Как тестировать345
- HPP со стороны сервера345
- HPP со стороны клиента347
- Инструменты347
- Ссылки348
- Технические руководства348
- 4.7.4 Тестирование SQL-инъекций348
- Обзор348
- Задачи тестирования350
- Как тестировать350
- Методы обнаружения350
- Стандартное тестирование SQL-инъекций351
- Классическая SQL-инъекция351
- Оператор SELECT353
- Составные запросы354
- Определение базы данных354
- Ошибки, выдаваемые приложением355
- Методы эксплуатации356
- Метод эксплуатации UNION356
- Эксплуатация методом логического вывода364
- Метод эксплуатации на основе ошибок366
- Внеполосные методы эксплуатации367
- Метод эксплуатации с временной задержкой368
- Инъекция хранимой процедуры369
- Автоматизированная эксплуатация370
- Методы уклонения от сигнатур SQL-инъекций370
- Пробелы370
- Null-байт371
- Комментарии в SQL371
- Кодировка URL371
- Кодировка символов372
- Конкатенация строк372
- Шестнадцатеричная кодировка372
- Объявление переменных372
- Альтернативное выражение 'or 1 = 1'373
- SQL-инъекция с символами подстановки373
- Меры защиты373
- Инструменты374
- Ссылки374
- Технические руководства374
- Документация по уязвимостям SQL-инъекций в продуктах374
- Тестирование Oracle375
- Обзор375
- Как тестировать375
- Как работает шлюз PL/SQL375
- Определение наличия шлюза PL/SQL377
- Заголовки ответов сервера377
- NULL-тест378
- Доступ к известным пакетам379
- Доступ к произвольным пакетам PL/SQL в базе данных379
- Тестирование шлюза PL/SQL на наличие недостатков380
- Обход списка исключений PL/SQL380
- Обход списка исключений — способ 1380
- Обход списка исключений — способ 2380
- Обход списка исключений — способ 3381
- Обход списка исключений — способ 4381
- Обход списка исключений — способ 5381
- Обход списка исключений — способ 6381
- Оценка пользовательских web-приложений PL/SQL386
- Тестирование на наличие SQL-инъекций386
- Инструменты386
- Ссылки387
- Технические руководства387
- Тестирование MySQL387
- Обзор387
- Как тестировать387
- Проблема с одинарными кавычками388
- Несколько смешанных запросов388
- Сбор информации389
- Векторы атак391
- Классическая атака SQL-инъекции392
- Внеполосная SQL-инъекция392
- Слепая SQL-инъекция393
- Инструменты393
- Ссылки393
- Технические руководства393
- Исследования по теме393
- Тестирование MS SQL Server393
- Обзор393
- Как тестировать394
- Характеристики MS SQL Server394
- Пример 1: Тестирование SQL-инъекций в запросе GET396
- Пример 2: Тестирование SQL-инъекций в запросе GET396
- Пример 3: Тестирование в запросе POST396
- Пример 4: Ещё один (полезный) пример GET397
- Пример 5: Нестандартный xp_cmdshell397
- Пример 6: Referer / User-Agent398
- Пример 7: SQL Server в качестве сканера портов399
- Пример 8: Загрузка исполняемых файлов399
- Получение информации, когда она не отображается (внеполосно)401
- Слепые атаки SQL-инъекций401
- Пример 9: Подбор пароля системного администратора403
- Инструменты404
- Ссылки404
- Технические руководства404
- Тестирование PostgreSQL405
- Обзор405
- Как тестировать?405
- Идентификация PostgreSQL405
- Слепая инъекция405
- Одинарная кавычка без экранирования406
- Векторы атак407
- Ссылки410
- Тестирование MS Access411
- Обзор411
- Как тестировать411
- Идентификация MS Access411
- Базовое тестирование412
- Тестирование слепых SQL-инъекций414
- Ссылки415
- Тестирование NoSQL-инъекций416
- Обзор416
- Как тестировать417
- Тестирование уязвимостей NoSQL-инъекций в MongoDB417
- Пример 1417
- Пример 2418
- Ссылки419
- Полезные нагрузки для инъекций419
- Технические руководства419
- Тестирование ORM-инъекций419
- Обзор419
- Как тестировать419
- Определение реализации ORM420
- Злоупотребление уровнем ORM420
- Ссылки421
- Тестирование на стороне клиента421
- Обзор421
- Задачи тестирования422
- Как тестировать422
- Идентификация базы данных Web SQL422
- Инъекция в web SQL DB422
- Меры защиты423
- Ссылки423
- Тестирование LDAP-инъекций423
- Обзор424
- Задачи тестирования425
- Как тестировать425
- Пример 1: Фильтры поиска425
- Пример 2: Вход в систему425
- Инструменты426
- Ссылки426
- Технические руководства426
- Тестирование XML-инъекций426
- Обзор427
- Задачи тестирования427
- Как тестировать427
- Обнаружение429
- Инъекция тегов434
- Анализ исходного кода437
- Инструменты438
- Ссылки439
- Тестирование SSI-инъекций439
- Обзор439
- Задачи тестирования439
- Как тестировать440
- Инструменты441
- Ссылки441
- Тестирование XPath-инъекций442
- Обзор442
- Задача тестирования442
- Как тестировать443
- Ссылки444
- Технические руководства444
- Тестирование IMAP/SMTP-инъекций444
- Обзор444
- Задачи тестирования445
- Как тестировать446
- Выявление уязвимых параметров446
- Понимание потоков информации и структуры развёртывания клиента448
- Инъекция команд IMAP/SMTP449
- Ссылки450
- Технические руководства450
- Тестирование инъекции кода451
- Обзор451
- Задачи тестирования451
- Как тестировать451
- Тестирование методом чёрного ящика451
- Тестирование уязвимостей PHP-инъекций451
- Тестирование методом серого ящика451
- Тестирование на наличие уязвимостей для инъекции кода ASP451
- Ссылки452
- Тестирование включения файлов (LFI/RFI)452
- Обзор452
- Задачи тестирования453
- Как тестировать453
- Тестирование включения локального файла453
- Тестирование включения удалённого файлов457
- Меры защиты457
- Инструменты458
- Ссылки458
- Тестирование инъекции команд ОС458
- Обзор458
- Задача тестирования459
- Как тестировать459
- Пример459
- Специальные символы для инъекции команд461
- Анализ кода в незащищённых API462
- Java462
- C/C++462
- Python462
- PHP462
- Меры защиты463
- Нейтрализация463
- Разрешения463
- Инструменты463
- Ссылки463
- Тестирование инъекций в строке форматирования464
- Обзор464
- Задача тестирования465
- Как тестировать465
- Статический анализ466
- Анализ кода вручную466
- Инъекция спецификатора преобразования466
- Ручная инъекция466
- Инструментальный фаззинг467
- Тестирование инкубационных уязвимостей468
- Обзор468
- Задачи тестирования470
- Как тестировать470
- Тестирование методом чёрного ящика470
- Пример с загрузкой файла470
- Пример с XSS на доске объявлений470
- Пример SQL-инъекции470
- Неправильно настроенный сервер471
- Тестирование методом серого ящика472
- Инструменты472
- Ссылки472
- Рекомендации472
- Технические руководства472
- Тестирование HTTP Splitting/Smuggling472
- Обзор473
- Задачи тестирования473
- Как тестировать473
- Тестирование методом чёрного ящика473
- HTTP Splitting473
- Тестирование методом серого ящика476
- HTTP Splitting476
- HTTP Smuggling476
- Ссылки478
- Технические руководства478
- Тестирование входящих HTTP-запросов478
- Обзор478
- Задачи тестирования479
- Как тестировать479
- Обратный прокси479
- Перенаправление портов479
- Захват сетевого трафика на уровне TCP480
- Инструменты480
- Ссылки480
- Тестирование инъекций в заголовке Host481
- Обзор481
- Задачи тестирования481
- Как тестировать481
- Обход заголовка X-Forwarded-Host482
- Отравление web-кэша483
- Отравление при сбросе пароля483
- Доступ к частным виртуальным хостам484
- Ссылки485
- Тестирование инъекции шаблона на стороне сервера (SSTI)485
- Обзор485
- Пример: Twig485
- Пример: Flask/Jinja2486
- Задачи тестирования487
- Как тестировать487
- Выявление уязвимости для инъекции шаблона487
- Идентификация шаблонизатора488
- Создание эксплойта RCE488
- Инструменты489
- Ссылки489
- Тестирование подделки запроса на стороне сервера (SSRF)489
- Обзор489
- Задачи тестирования490
- Как тестировать490
- Загрузить содержимое файла490
- Обратиться к странице с ограниченным доступом491
- Извлечь локальный файл491
- Используемые HTTP-методы491
- Генераторы PDF491
- Распространённые пути обхода фильтра492
- Меры защиты492
- Ссылки492
- Тестирование массового переназначения493
- Обзор493
- Задачи тестирования493
- Как тестировать494
- Тестирование методом чёрного ящика495
- Обнаружение обработчиков495
- Определение чувствительных полей496
- Оценка влияния497
- Тестирование методом серого ящика497
- Java497
- PHP498
- .NET498
- Меры защиты498
- Ссылки499
- Тестирование некорректной обработки ошибок499
- Обзор499
- Задачи тестирования500
- Как тестировать500
- Web-серверы500
- Applications501
- Меры защиты502
- Тестовый полигон502
- Ссылки502
- Тестирование криптозащиты502
- Тестирование безопасности транспортного уровня (TLS)502
- Обзор502
- Задачи тестирования503
- Как тестировать503
- Конфигурация сервера503
- Эксплуатируемость503
- Сертификаты504
- Криптографические уязвимости504
- Достоверность504
- Уязвимости реализации505
- Уязвимости приложений505
- Смешанный активный контент505
- Перенаправление с HTTP на HTTPS505
- Автоматизированное тестирование506
- Ручное тестирование506
- Ссылки507
- Тестирование оракула дополнений507
- Обзор507
- Пример 1507
- Задачи тестирования508
- Как тестировать508
- Тестирование методом чёрного ящика508
- Пример 2509
- Пример 3510
- Тестирование методом серого ящика510
- Пример 4510
- Инструменты510
- Ссылки510
- Тестирование передачи чувствительной информации по незашифрованным каналам511
- Обзор511
- Задачи тестирования512
- Как тестировать512
- Пример 1: Базовая аутентификация через HTTP512
- Пример 2: Аутентификация на основе форм через HTTP513
- Пример 3: Cookie с Session ID передаётся по HTTP513
- Пример 4: Сброс и изменение пароля или другие манипуляции с учётной записью через HTTP514
- Пример 5: Поиск чувствительной информации в исходном коде или журналах515
- Меры защиты515
- Инструменты515
- Ссылки515
- Тестирование шифрования516
- Обзор516
- Задачи тестирования516
- Как тестировать516
- Базовый чек-лист по безопасности516
- Анализ исходного кода517
- Инструменты519
- Ссылки520
- Тестирование бизнес-логики520
- Введение в бизнес-логику520
- Запреты и ограничения521
- Проблемы с тестированием логики521
- Инструменты522
- Перехватывающие прокси522
- Дополнения для web-браузера523
- Разные инструменты тестирования523
- Ссылки523
- Технические руководства523
- От OWASP524
- Полезные web-сайты524
- Книга524
- Тестирование форматно-логического контроля данных524
- Обзор524
- Пример 1525
- Пример 2525
- Пример 3525
- Задачи тестирования526
- Как тестировать526
- Общая методика тестирования526
- Специальная методика тестирования526
- Связанные сценарии тестирования526
- Меры защиты527
- Инструменты527
- Ссылки527
- Тестирование способности подделывать запросы527
- Обзор527
- Пример 1528
- Пример 2528
- Задачи тестирования529
- Как тестировать529
- Через угадывание предполагаемых значений529
- Через выявление скрытых опций529
- Связанные сценарии тестирования529
- Меры защиты529
- Инструменты529
- Ссылки529
- Тестирование проверки целостности530
- Обзор530
- Пример 1531
- Пример 2531
- Пример 3531
- Пример 4531
- Задачи тестирования532
- Как тестировать532
- Специальный метод тестирования 1532
- Специальный метод тестирования 2532
- Специальный метод тестирования 3532
- Связанные сценарии тестирования532
- Меры защиты533
- Инструменты533
- Ссылки533
- Тестирование времени обработки533
- Обзор533
- Пример 1534
- Пример 2534
- Пример 3535
- Пример 4535
- Задачи тестирования535
- Как тестировать535
- Связанные сценарии тестирования535
- Меры защиты536
- Тестирование ограничений на количество раз, которое функция может быть вызвана536
- Обзор536
- Пример537
- Задачи тестирования537
- Как тестировать537
- Связанные сценарии тестирования537
- Меры защиты537
- Ссылки538
- Тестирование обхода потока операций538
- Обзор538
- Пример 1539
- Пример 2539
- Задачи тестирования539
- Как тестировать539
- Метод тестирования 1539
- Метод тестирования 2539
- Связанные сценарии тестирования540
- Меры защиты540
- Ссылки540
- Тестирование защиты от нецелевого использования приложений541
- Обзор541
- Пример541
- Задачи тестирования542
- Как тестировать542
- Связанные сценарии тестирования543
- Меры защиты543
- Ссылки543
- Тестирование загрузки файлов непредусмотренных типов544
- Обзор544
- Пример544
- Задачи тестирования545
- Как тестировать545
- Конкретный метод тестирования545
- Связанные сценарии тестирования545
- Меры защиты545
- Ссылки546
- Тестирование загрузки вредоносных файлов546
- Обзор546
- Пример547
- Задачи тестирования547
- Как тестировать547
- Вредоносные типы файлов547
- Web-оболочки547
- Уклонение от фильтра548
- Вредоносное содержимое файла549
- Вредоносный код549
- Обход каталогов через архивы (Zip Slip)549
- Zip-бомбы549
- XML-файлы550
- Другие форматы файлов550
- Анализ исходного кода550
- Связанные сценарии тестирования551
- Меры защиты551
- Инструменты551
- Ссылки551
- Тестирование платёжных функций551
- Обзор552
- Задачи тестирования552
- Как тестировать552
- Способы интеграции с платёжным шлюзом552
- PCI DSS552
- Подделка количества553
- Подделка цен554
- В приложении554
- На платёжном шлюзе554
- Зашифрованные сведения о транзакциях556
- Защищённый хэш556
- Подделка валюты557
- Запросы с задержкой по времени557
- Промокоды558
- Нарушение процесса оплаты558
- Комиссии за обработку транзакций559
- Номера тестовых карт559
- Логистика тестирования560
- Связанные сценарии тестирования560
- Меры защиты560
- Ссылки560
- 4.11 Тестирование на стороне клиента561
- Тестирование XSS на основе DOM561
- Обзор561
- Задачи тестирования562
- Как тестировать562
- Меры защиты564
- Ссылки564
- Тестирование «само-XSS» на основе DOM565
- Обзор565
- Как тестировать565
- Пример565
- Меры защиты567
- Ссылки567
- Тестирование выполнения JavaScript567
- Обзор567
- Задача тестирования568
- Как тестировать568
- Тестирование HTML-инъекции569
- Обзор569
- Задача тестирования570
- Как тестировать570
- Тестирование перенаправления URL на стороне клиента571
- Обзор571
- Задачи тестирования572
- Как тестировать572
- Тестирование CSS-инъекций573
- Обзор573
- Задачи тестирования575
- Как тестировать575
- Тестирование манипулирования ресурсами на стороне клиента576
- Обзор576
- Задачи тестирования578
- Как тестировать579
- Тестирование Cross Origin Resource Sharing (CORS)579
- Обзор579
- Origin и Access-Control-Allow-Origin580
- Access-Control-Request-Method и Access-Control-Allow-Method580
- Access-Control-Request-Headers и Access-Control-Allow-Headers581
- Access-Control-Allow-Credentials581
- Контроль входных данных581
- Другие заголовки581
- Задачи тестирования581
- Как тестировать582
- Небезопасная конфигурация CORS582
- Произвольный Access-Control-Allow-Origin582
- Динамическая политика CORS583
- Недостаточный контроль входных данных584
- Удалённый XSS с CORS584
- Ссылки586
- Тестирование межсайтовых Flash586
- Обзор586
- Открытые редиректоры587
- Атаки и версии Flash Player588
- Задачи тестирования588
- Как тестировать589
- Декомпиляция589
- Неопределенные переменные FlashVars589
- Небезопасные методы591
- Эксплуатация отражённых XSS592
- GetURL (AS2) / NavigateToURL (AS3)592
- Использование asfunction593
- ExternalInterface593
- HTML-инъекции594
- Тестирование перехвата клика (Clickjacking)595
- Обзор595
- Задачи тестирования597
- Как тестировать597
- Обход защиты от кликджекинга598
- Защита на стороне клиента: блокировка запуска во фрейме598
- Защита на стороне сервера: X-Frame-Options604
- Доказательство концепции605
- Ссылки610
- Тестирование WebSockets611
- Обзор611
- Origin611
- Конфиденциальность и целостность611
- Нейтрализация входных данных612
- Задачи тестирования612
- Как тестировать612
- Тестирование методом чёрного ящика612
- Пример 1613
- Пример 2613
- Тестирование методом серого ящика614
- Инструменты614
- Ссылки614
- Тестирование обмена web-сообщениями615
- Обзор615
- Безопасность отправителя сообщения616
- Задачи тестирования616
- Как тестировать616
- Оценить безопасность отправителя616
- Оценить контроль входных данных617
- Статический анализ кода617
- Тестирование хранилищ браузера618
- Обзор618
- Задачи тестирования619
- Как тестировать619
- Локальное хранилище619
- Вывод всех записей ключ-значение локального хранилища619
- Сессионное хранилище620
- Вывод всех записей ключ-значение сессионного хранилища620
- IndexedDB620
- Вывод содержимого IndexedDB621
- Web SQL621
- Cookie621
- Вывести все Cookie622
- Глобальный объект Window622
- Вывести все записи в объекте Window623
- Цепочка атаки623
- Меры защиты623
- Ссылки623
- Тестирование включения межсайтовых скриптов (XSSI)624
- Обзор624
- Задачи тестирования625
- Как тестировать625
- Сбор информации с помощью аутентифицированных и неаутентифицированных сессий пользователей625
- Могут ли чувствительные данные быть раскрыты с помощью JavaScript?625
- 1. Утечка чувствительных данных через глобальные переменные626
- 2. Утечка чувствительных данных через глобальные параметры функций627
- 3. Утечка чувствительных данных через CSV с «кражей цитат»628
- 4. Утечка чувствительных данных из-за ошибок во время выполнения JavaScript630
- 5. Утечка чувствительных данных через цепочку прототипов с this631
- Тестирование Reverse Tabnabbing633
- Обзор633
- Пример633
- Как тестировать634
- Меры защиты634
- Ссылки634
- Тестирование API634
- Тестирование GraphQL634
- Обзор635
- Задачи тестирования635
- Как тестировать635
- Запросы интроспекции635
- Использование собственной интроспекции GraphQL635
- Использование GraphiQL641
- Использование GraphQL Playground641
- Выводы по интроспекции643
- Авторизация643
- Инъекции645
- SQL-инъекции646
- Межсайтовый скриптинг (XSS)647
- Отказ в обслуживании запросов (DoS)649
- Пакетные атаки651
- Подробное сообщение об ошибке652
- Раскрытие базового API653
- Меры защиты653
- Инструменты654
- Ссылки654
- Отчёты654
- Структура отчёта654
- Об этом разделе654
- 1. Введение655
- 1.1 Контроль версий655
- 1.2 Оглавление655
- 1.3 Участники проекта655
- 1.4 Область тестирования655
- 1.5 Ограничения655
- 1.6 План-график проекта656
- 1.7 Отказ от ответственности656
- 2. Резюме656
- 3. Результаты656
- 3.1 Сводный перечень результатов657
- 3.2 Подробное описание результатов657
- Приложения658
- Ссылки658
- Схемы наименования уязвимостей658
- Software Identification Tag659
- Примеры SWID660
- Common Platform Enumeration661
- Примеры CPE662
- Package URL662
- Примеры PURL663
- Рекомендации по использованию663
- Ссылки664
- Известные реализации664
- Приложения664
- Ресурсы по инструментам тестирования664
- Введение664
- Общее тестирование web-приложений665
- Web-прокси665
- Расширения Firefox665
- Расширения Chrome665
- Тестирование конкретных уязвимостей666
- Тестирование SQL-инъекций666
- Тестирование TLS666
- Тестирование атак методом перебора666
- Взлом хэшей666
- Удалённый перебор666
- Фаззеры666
- Дорки666
- Замедление HTTP666
- Зеркалирование сайта667
- Обнаружение контента667
- Обнаружение портов и сервисов667
- Сканеры уязвимостей667
- Фреймворки для эксплуатации уязвимостей667
- Дистрибутивы Linux667
- Анализаторы исходного кода667
- Инструменты автоматизации браузера667
- Инструменты с открытым исходным кодом668
- Рекомендуется к прочтению668
- Технические руководства668
- Книги668
- Полезные сайты669
- Видео670
- Заведомо небезопасные web-приложения670
- Векторы для фаззинга670
- Закодированные инъекции671
- Предпосылки671
- Кодирование входных данных — уклонение от фильтра671
- Кодирование вывода — консенсус между сервером и браузером671
- Закодированные инъекции673
- Базовая кодировка673
- Шестнадцатеричная кодировка674
- Кодировка UTF-7674
- Многобайтовые кодировки675
- Ссылки675
- История675
- Руководители675
- Авторы четвёртой версии676
- Рецензенты четвёртой версии676
- Авторы третьей версии677
- Рецензенты третьей версии677
- Авторы второй версии678
- Рецензенты второй версии678
- Использование инструментов разработчика в браузере679
- Доступ к инструментам разработчика679
- Возможности679
- Переключение агента пользователя680
- Связанный сценарий тестирования680
- Google Chrome680
- Mozilla Firefox681
- Редактирование/переотправка запросов682
- Связанные сценарии тестирования682
- Mozilla Firefox682
- Google Chrome683
- Редактирование Cookie683
- Связанные сценарии тестирования683
- Google Chrome683
- Mozilla Firefox683
- Редактирование локального хранилища684
- Связанный сценарий тестирования684
- Google Chrome684
- Mozilla Firefox684
- Отключение CSS685
- Связанный сценарий тестирования685
- Общее685
- Отключение JavaScript685
- Google Chrome685
- Mozilla Firefox685
- Просмотр HTTP-заголовков685
- Google Chrome685
- Mozilla Firefox687
- Копии экрана687
- Связанный сценарий тестирования687
- Google Chrome687
- Mozilla Firefox687
- Автономный режим687
- Google Chrome687
- Mozilla Firefox688
- Кодирование и декодирование689
- Связанные сценарии тестирования689
- Общее689
- Режим адаптивного дизайна689
- Связанные сценарии тестирования689
- Google Chrome689
- Mozilla Firefox689
- Ссылки690