ประเมินความปลอดภัยเว็บแอปที่ได้รับอนุญาต

กระบวนการ

ทำตามลำดับนี้

1. ขออนุญาตเป็นลายลักษณ์อักษร และบันทึกโฮสต์เป้าหมาย สภาพแวดล้อม หน้าต่างทดสอบ เทคนิคที่อนุญาต ข้อมูลที่ยกเว้น ผู้ติดต่อยกระดับ และเงื่อนไขหยุด
2. แผนที่แอปพลิเคชัน ตัวตน บทบาท จุดเข้า API ขอบความเชื่อถือ และฟังก์ชันอ่อนไหว โดยไม่เกินขอบเขตที่ตกลง
3. สร้างแผนทดสอบจากด้านที่เกี่ยวข้องของ OWASP Web Security Testing Guide และจัดลำดับตามผลกระทบธุรกิจและพื้นผิวโจมตีที่เปิด
4. ทดสอบการยืนยันตัวตน การจัดการเซสชัน การอนุญาต การจัดการอินพุต ตรรกะธุรกิจ การตั้งค่า และการควบคุมฝั่งไคลเอนต์ โดยใช้คำขอที่ไม่ทำลายก่อน
5. ยืนยันผลการค้นพบที่สงสัยด้วยหลักฐานน้อยที่สุดที่จำเป็น อย่าเข้าถึงระเบียนที่ไม่เกี่ยวข้อง สร้างความคงอยู่ หรือทดสอบปฏิเสธบริการ เว้นแต่ได้รับอนุญาตชัด
6. บันทึกหลักฐานที่ทำซ้ำได้ สินทรัพย์ที่กระทบ เงื่อนไขก่อน ผลกระทบ เหตุผลความรุนแรง และการแก้ไขที่ปลอดภัยของแต่ละผลการค้นพบที่ยืนยัน
7. ส่งรายงานผ่านช่องที่อนุมัติ จัดการอ่านผลกับเจ้าของ และทดสอบการแก้ที่ตกลงซ้ำภายในหน้าต่างอนุญาต

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• กฎการปฏิบัติและขอบเขตเป็นลายลักษณ์อักษร
• บัญชีทดสอบและตารางบทบาท
• URL เป้าหมายหรือข้อกำหนด API
• หน้าต่างทดสอบที่อนุมัติและผู้ติดต่อฉุกเฉิน

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/performing-web-application-penetration-test/SKILL.md
• skills/cybersecurity-skills/performing-web-application-vulnerability-triage/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

ทุกการทดสอบในขอบเขตที่วางแผนถูกทำเครื่องหมายผ่าน ไม่ผ่าน หรือไม่ได้ทดสอบพร้อมเหตุผล ผลการค้นพบที่ยืนยันมีหลักฐานทำซ้ำได้และเจ้าของ รายงานถูกส่งและรับทราบแล้ว

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. owasp.org/www-project-web-security-testing-guide/
2. wstg.owasp.org/latest/4-Web_Application_Security_Testing/00-Introduction_and_Objectives/
3. github.com/OWASP/wstg

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล