В своем докладе на практических примерах поведаю вам, как проводить поиск различных видов уязвимостей для улучшения безопасности веб-приложений. Специальными гостями нашей программы будут:
- xss
- sql injection
- man in the middle
- brute force
QA Fest 2019. Петр Тарасенко. QA Hackathon - The Cookbook 22
QA Fest 2017. Святослав Логин. Как провести тестирование на безопасность Web application
1. Киев 2016
Первый в Украине фестиваль тестирования
Как провести тестирование
на безопасность Web application
Святослав Логин
2. Киев 2016<Как тестировать фичи прямо на продакшене с помощью Release-train и Feature flags>
О себе:
- Святослав Логин
- QA --} Automation QA --} QA Lead
в Evo.company
- 4 года в тестировании
- 6 проектов
11. Киев 2016
Поиск XSS -> OWASP ZAP
OWASP ZAP- это инструмент для
тестирования на проникновения и
нахождения уязвимостей в веб-
приложениях.
12. Киев 2016
- Перехват прокси
- Автоматизированный сканер
- Fuzzing
- Поддержка аутентификаций и
сессий
- Мощный API на основе REST
- Поддержка большого количества
скриптовых языков
- Активно развивается
международной командой
добровольцев
Каковы плюсы OWASP ZAP
19. Киев 2016
Поиск SQL injection -> SQLmap
SQLmap- это инструмент с открытым
исходным кодом для тестирования на
проникновение, который
автоматизирует процесс выявления и
эксплуатирования уязвимостей SQL-
инъекций и захват серверов баз
данных.
20. Киев 2016
Работа с SQLmap
-u для указания URL
--random-agen для снижения подозрительной
активности
-tor для использования защищенного канала
--dbs смотрим какие базы доступны
--table смотрим таблицу
--columns смотрим колонки
--dump скачиваем путь к базе
24. Киев 2016
Как защитится
1. Не помещать в БД данные без обработки.
2. Не помещать в запрос управляющие структуры и
идентификаторы, введенные пользователем.
3. Добавить капчу
https://haveibeenpwned.com/
26. Киев 2016
Сниффинг -> Wireshark
Сниффинг
- Wireshark используется сетевыми
специалистами по всему миру
для решения проблем, анализа,
разработки программного
обеспечения и протоколов, а
также в образовании.
33. Киев 2016
Как защитится?
1. Не позволяйте посторонним лицам иметь доступ
в вашу сеть.
2. Когда вы сами пользуетесь публичными точками
доступа, то, хотя бы, помните об угрозе перехвата
пароля.
3. Используйте VPN, эта технология способна
решить все проблемы с небезопасными сетями
4. Самый действенный способ — SSL-сертификаты.
35. Киев 2016
Brute force -> Hydra
Hydra - Утилита для подбора
аутентификационных данных
методом грубой силы (brute
force).
36. Киев 2016
Работа с Hydra
s - ПОРТ
l - ЛОГИН
p - ПАРОЛЬ
x - Генерация паролей для брутфорса, наберите "-x -h"
для помощи
o - ФАЙЛ
f - Выйти, когда пара логин/пароль подобрана
t - ЗАДАЧИ
w - ВРЕМЯ