Menu

Begyndervejledning til penetrationstest af webapplikationer

beginners guide web application penetration testing

Prøv Vores Instrument Til At Fjerne Problemer

Gennemtrængningstest aka Pen Test er den mest anvendte sikkerhedstestteknik til webapplikationer.

Test af webapplikationsindtrængning udføres ved at simulere uautoriserede angreb internt eller eksternt for at få adgang til følsomme data.

En webindtrængning hjælper slutbrugeren med at finde ud af muligheden for en hacker at få adgang til dataene fra internettet, finde ud af om sikkerheden på deres e-mail-servere og også få at vide, hvor sikkert webhostingwebstedet og serveren er.

Nå, lad os nu dække indholdet af denne artikel.

vb script interview spørgsmål og svar

pen test web apps

(billede kilde )

I denne gennemgangstest tutorial har jeg forsøgt at dække:

  • Behovet af Pentest til test af webapplikationer,
  • Standardmetodologi tilgængelig for Pentest,
  • Tilgang til webapplikation Pentest,
  • Hvad er de typer af test, vi kan udføre,
  • Skridt, der skal tages for at udføre en penetrationstest,
  • Værktøjer, der kan bruges til test,
  • Nogle af udbydere og udbydere af penetrationstest
  • Nogle af certificeringerne til Web Penetration-test

Anbefalede scanningsværktøjer til sårbarhed:

# 1) Netparker

Netsparker er nem at bruge og automatiseret webapplikation sikkerhedstestplatform, som du kan bruge til at identificere reelle og udnyttelige sårbarheder på dine hjemmesider.

Netsparker Banner

=> Prøv det bedste Netsparker Penetration Testing Tool

#to) Kiuwan

kiuwan banner

Find og rett sårbarheder i din kode på hvert trin i SDLC.

Kiuwan overholder de strengeste sikkerhedsstandarder, herunder OWASP, CWE, SANS 25, HIPPA og mere. Integrer Kiuwan i din IDE for øjeblikkelig feedback under udvikling. Kiuwan understøtter alle større programmeringssprog og integreres med førende DevOps-værktøjer.

=> Scan din kode gratis

Hvad du lærer:

Hvorfor er penetrationstest påkrævet?

Når vi taler om sikkerhed, er det mest almindelige ord, vi hører Sårbarhed .

Da jeg oprindeligt begyndte at arbejde som sikkerhedstester, blev jeg meget ofte forvirret med dette ord Sårbarhed, og jeg er sikker på, at mange af jer, mine læsere, ville falde i samme båd.

Til fordel for alle mine læsere vil jeg først afklare forskellen mellem sårbarhed og pen-test.

Så hvad er der? Sårbarhed ? Sårbarheden er en terminologi, der bruges til at identificere fejl i systemet, som kan udsætte systemet for sikkerhedstrusler.

Sårbarhedsscanning eller test af penne?

Sårbarhedsscanning lader brugeren finde ud af de kendte svagheder i applikationen og definerer metoder til at rette og forbedre den samlede sikkerhed i applikationen. Grundlæggende finder det ud af, om der er installeret sikkerhedsrettelser, om systemerne er korrekt konfigureret til at gøre angreb vanskelige.

Pen Tests simulerer primært realtidssystemer og hjælper brugeren med at finde ud af, om uautoriserede brugere kan få adgang til systemet, hvis ja, hvilken skade der kan forårsages, og hvilke data osv.

Derfor er sårbarhedsscanning en detektivkontrolmetode, der foreslår måder at forbedre sikkerhedsprogrammet og sikre, at kendte svagheder ikke dukker op igen, mens pen-test er en forebyggende kontrolmetode, der giver et samlet overblik over systemets eksisterende sikkerhedslag.

Skønt begge metoderne har sin betydning, men det afhænger af, hvad der virkelig forventes som en del af testen.

Som testere er det bydende nødvendigt at være klar over formålet med testen, før vi hopper ind i testen. Hvis du er klar over målet, kan du meget vel definere, om du har brug for en sårbarhedsscanning eller pen-test.

Betydningen og behovet for test af webapppen:

  • Pentest Hjælper med at identificere ukendte sårbarheder.
  • Hjælper med at kontrollere effektiviteten af ​​de overordnede sikkerhedspolitikker.
  • Hjælp til at teste de eksponerede komponenter offentligt som firewalls, routere og DNS.
  • Gør det muligt for brugeren at finde ud af den mest sårbare rute, gennem hvilken et angreb kan foretages
  • Hjælper med at finde smuthuller, der kan føre til tyveri af følsomme data.

Hvis man ser på den nuværende efterspørgsel på markedet, har der været en kraftig stigning i mobilforbrug, hvilket bliver et stort potentiale for angreb. Adgang til websteder via mobiltelefoner er tilbøjelige til hyppigere angreb og dermed kompromittering af data.

konvertere youtube til wav-fil gratis

Penetration Testing bliver således meget vigtigt for at sikre, at vi bygger et sikkert system, der kan bruges af brugere uden bekymringer om hacking eller tab af data.

Metode til test af webpenetration

Metoden er intet andet end et sæt retningslinjer for sikkerhedsbranchen om, hvordan testen skal udføres. Der er nogle veletablerede og berømte metoder og standarder, som kan bruges til testning, men da hver webapplikation kræver forskellige typer test, der skal udføres, kan testere oprette deres egne metoder ved at henvise til de tilgængelige standarder på markedet.

Nogle af sikkerhedstestmetoder og -standarder er -

  • OWASP (Åbn webapplikationssikkerhedsprojekt)
  • OSSTMM (Open Source Security Testing Methodology Manual)
  • PTF (Penetration Testing Framework)
  • ISSAF (Sikkerhedsvurderingsramme for informationssystemer)
  • PCI DSS (Standard for betalingskortsektorens datasikkerhed)

Testscenarier:

Nedenfor er nogle af testscenarierne, som kan testes som en del af Test af webapplikationsindtrængning (WAPT):

  1. Cross Site Scripting
  2. SQL-injektion
  3. Brudt godkendelse og session management
  4. Fejl ved upload af fil
  5. Caching-serverangreb
  6. Sikkerhedsfejlkonfigurationer
  7. Forfalskning på tværs af websteder
  8. Adgangskodebrydning

Selvom jeg har nævnt listen, bør testere ikke blindt oprette deres testmetodologi baseret på ovenstående konventionelle standarder.

Her er eneksempelfor at bevise, hvorfor jeg siger det.

Overvej at du bliver bedt om at penetrere en e-handelswebsite, og tænk nu på, om alle sårbarheder på et e-handelswebsted kan identificeres ved hjælp af de konventionelle metoder til OWASP som XSS, SQL-injektion osv.

Svaret er et nej, fordi e-handel fungerer på en meget anden platform og teknologi sammenlignet med andre websteder. For at gøre din pen-test til e-handelswebsite effektiv, bør testere designe en metode, der involverer mangler som ordrehåndtering, kupon- og belønningsstyring, Payment Gateway-integration og Content Management-systemintegration.

Så inden du beslutter dig for metoden, skal du være meget sikker på, hvilke typer websteder der forventes testet, og hvilken metode der kan hjælpe med at finde de maksimale sårbarheder.

Typer af webpenetrationstest

Webapplikationer kan penetrationstestes på 2 måder. Test kan designes til at simulere et indvendigt eller et udvendigt angreb.

# 1) Intern penetrationstest -

Som navnet antyder, udføres den interne pen-test inden for organisationen via LAN, derfor inkluderer den test af webapplikationer, der hostes på intranettet.

Dette hjælper med at finde ud af, om der kan være sårbarheder, der findes i virksomhedens firewall.

Vi tror altid, at angreb kun kan ske eksternt, og mange gange er den interne Pentest overset eller ikke tillagt stor betydning.

Dybest set inkluderer det ondsindede medarbejderangreb fra utilfredse medarbejdere eller entreprenører, der ville have trukket sig, men opmærksomme på de interne sikkerhedspolitikker og adgangskoder, socialtekniske angreb, simulering af phishing-angreb og angreb ved hjælp af brugerrettigheder eller misbrug af en ulåst terminal.

Test udføres hovedsageligt ved at få adgang til miljøet uden korrekt legitimationsoplysninger og identificere, om en

#to) Test af ekstern penetration -

Dette er angreb, der udføres eksternt uden for organisationen og inkluderer test af webapplikationer, der hostes på internettet.

Testere opfører sig som hackere, der ikke er meget opmærksomme på det interne system.

For at simulere sådanne angreb får testere IP-adressen til målsystemet og får ikke andre oplysninger. De er forpligtet til at søge og scanne offentlige websider og finde vores oplysninger om målværter og derefter kompromittere de fundne værter.

Dybest set inkluderer det test af servere, firewalls og IDS.

Metode til test af webpen:

Det kan udføres i 3 faser:

Faserne til testning af webapplikation

# 1) Planlægningsfase (inden test)

Før test starter, anbefales det at planlægge, hvilke typer test der skal udføres, hvordan testningen skal udføres, afgøre, om QA har brug for yderligere adgang til værktøjer osv.

  • Definition af omfang - Dette er det samme som vores funktionelle test, hvor vi definerer omfanget af vores test, inden vi starter vores testindsats.
  • Dokumentationens tilgængelighed til testere - Sørg for, at testere har alle de krævede dokumenter, som f.eks. Dokumenter, der beskriver webarkitekturen, integrationspunkter, integrering af webservices osv. Testeren skal være opmærksom på HTTP / HTTPS-protokollens grundlæggende information og kende til webapplikationsarkitektur, trafikaflytning.
  • Bestemmelse af succeskriterier - I modsætning til vores funktionelle testtilfælde, hvor vi kan udlede forventede resultater fra brugernes krav / funktionelle krav, fungerer pen-test efter en anden model. Succeskriterierne eller testcases bestående kriterier skal defineres og godkendes.
  • Gennemgang af testresultaterne fra den tidligere test - Hvis tidligere test nogensinde blev udført, er det godt at gennemgå testresultaterne for at forstå, hvilke sårbarheder der eksisterede tidligere, og hvilken afhjælpning der blev taget for at løse. Dette giver altid et bedre billede af testerne.
  • Forståelse af miljøet - Testere bør få viden om miljøet, før de begynder at teste. Dette trin skal sikre, at de giver en forståelse af firewalls eller andre sikkerhedsprotokoller, der kræves deaktiveret for at udføre testen. Browser, der skal testes, skal konverteres til en angrebsplatform, normalt ved at ændre fuldmagter.

# 2) Angreb / ​​udførelsesfase (under test):

Webpenetrationstest kan udføres fra et hvilket som helst sted i betragtning af, at internetudbyderen ikke burde være begrænset af porte og tjenester.

  • Sørg for at køre en test med forskellige brugerroller - Testere bør sørge for at køre tests med brugere, der har forskellige roller, da systemet kan opføre sig forskelligt med hensyn til brugere, der har det forskellige privilegium.
  • Bevidsthed om, hvordan man håndterer efter udnyttelse - Testere skal følge succeskriterierne defineret som en del af fase 1 for at rapportere enhver udnyttelse, og de skal også følge den definerede proces med rapportering af sårbarheder, der findes under test. Dette trin involverer primært testeren for at finde ud af, hvad der skal gøres, når de har fundet ud af, at systemet er kompromitteret.
  • Generering af testrapporter - Enhver test udført uden ordentlig rapportering hjælper ikke organisationen meget, det samme er tilfældet med penetrationstest af webapplikationer. For at sikre, at testresultaterne deles ordentligt med alle interessenter, bør testere oprette korrekte rapporter med oplysninger om fundne sårbarheder, den anvendte metode til test, sværhedsgrad og placeringen af ​​det fundne problem.

Webapp pen test trin

# 3) Fase efter udførelse (efter test):

Når testen er afsluttet, og testrapporter deles med alle berørte teams, skal den følgende liste bearbejdes af alle -

  • Foreslå afhjælpning - Pen-test bør ikke bare ende med at identificere sårbarheder. Det pågældende team inklusive et QA-medlem bør gennemgå de resultater, der er rapporteret af testere, og derefter diskutere afhjælpningen.
  • Test sårbarheder igen - Efter at afhjælpningen er taget og implementeret, bør testere teste igen for at sikre, at de faste sårbarheder ikke vises som en del af deres gentest.
  • Ryd op - Som en del af Pentest foretager testere ændringer i proxyindstillingerne, så oprydning skal udføres, og alle ændringer vendes tilbage.

Topværktøjer til penetrationstest

Nu, da du allerede har læst hele artiklen, tror jeg nu, at du har en meget bedre idé om, hvad og hvordan kan vi penetrationsteste en webapplikation.

Så fortæl mig, kan vi manuelt udføre penetrationstest, eller sker det altid ved at automatisere ved hjælp af et værktøj. Ingen tvivl om, jeg tror, ​​de fleste af jer siger Automation. :)

Det er sandt, fordi automatisering bringer hastighed, undgår manuel menneskelig fejl, fremragende dækning og flere andre fordele, men hvad Pen Test angår, kræver det os at udføre nogle manuelle test.

Manuel test hjælper med at finde sårbarheder relateret til Business Logic, hvilket reducerer de falske positive.

Værktøjer er tilbøjelige til at give en masse falske positive, og det er derfor nødvendigt med manuel indgriben for at afgøre, om de er reelle sårbarheder.

Læs også - Sådan tester du webapplikationssikkerhed ved hjælp af værktøjet Acunetix Web Vulnerability Scanner (WVS)

Værktøjer oprettes for at automatisere vores testindsats. Nedenfor finder du en liste over nogle af de værktøjer, der kan bruges til Pentest:

  1. Gratis pen-testværktøj
  2. Veracode
  3. Vega
  4. Burp-suite
  5. NetSparker
  6. Arachni
  7. Acunetix
  8. ZAP

For flere værktøjer kan du også henvise - 37 Kraftfulde pen-testværktøjer til hver penetrationstester

hvordan man skriver testcases i Excel

De bedste virksomheder inden for penetrationstest

Serviceudbydere er virksomheder, der leverer tjenester, der imødekommer organisationernes testbehov. De udmærker sig normalt og har ekspertise inden for forskellige testområder og kan udføre test i deres hostede testmiljø.

Nedenfor er nogle af de førende virksomheder, der leverer penetrationstesttjenester:

Nogle gennemtrængningstestcertificeringer:

Hvis du er interesseret i at blive certificeret på webapppenetreringscertificering, kan du vælge nedenstående certificeringer:

  • OSWE (Offensive Security Web Expert)
  • GWAPT (GIAC Web Application Penetration Tester)
  • CWAPT (Certificeret webapp-penetrationstester)
  • eWPT (elearnSecurity Web Application Penetration Tester)

Konklusion

I denne vejledning præsenterede vi en oversigt over, hvordan penetrationstest udføres for webapplikationer.

Med disse oplysninger kan penetrationstesteren starte sårbarhedstest.

Ideelt set kan penetrationstest hjælpe os med at oprette sikker software. Det er en dyr metode, så frekvensen kan holdes som en gang om året.

Hvis du vil vide mere om penetrationstest, skal du læse nedenstående relaterede artikler:

Del din mening eller oplevelse om Pentest nedenfor.

Anbefalet læsning

^