Тестирование на проникновение веб-приложений направлено на поиск уязвимостей, в результате эксплуатации которых атакующий может получить доступ к хранимой и обрабатываемой информации или нарушить нормальную работу сайта или веб-приложения.
Используемые методы:
- Получение предварительной информации о веб-ресурсе на основе источников информации, доступных потенциальному нарушителю.
- Анализ веб-приложения от имени аутентифицированного и анонимного пользователя.
- Автоматизированное сканирование на наличие веб-уязвимостей с использованием зарекомендовавших себя инструментальных средств.
- Ручная верификация и анализ результатов инструментального сканирования, проверка соответствия конфигурации веб-приложения рекомендациям по безопасной настройке программного обеспечения (CMS, фреймворков, веб-сервера, сервера приложений и т.п.).
Ручная проверка проходит по методологии OWASP Top 10, но не ограничивается ею. Проверка включает в себя следующие категории:
- Ошибки контроля доступа
- Криптографические сбои
- Инъекции
- Неправильные конфигурации
- Уязвимые и устаревшие компоненты
- Ошибки идентификации и аутентификации
- Ошибки целостности программного обеспечения и данных
- Регистрация безопасности и мониторинг сбоев
- Подделка запросов на стороне сервера
- Прочие атаки, целью которых является выполнение кода на стороне сервера
- Подбор паролей пользователей веб-приложения