Cosa dovrebbe essere incluso nelle regole di base per una revisione di attacco?

Question

#1 da (2 voti)

8

Ho elaborato alcune regole di base per una chiamata per attacco contraddittorio -revisione. Ho cercato di coprire i seguenti argomenti:

Link al criterio che voglio applicare.
Collegamento a un banco di prova e istruzioni di installazione minime se ciò risulta ingombrante.
Alcuni suggerimenti su come dimostrare un attacco.
Ciò che un utente malintenzionato potrebbe ottenere.
Ciò che è fuori dai limiti - cose che, se attaccate, non daranno credito.
Come divulgare una vulnerabilità, richiedere crediti, ecc.
Puntatori ai forum per ulteriori domande

Quale dovrebbe essere un documento come questo? Qualcosa che dovrei aggiungere o tralasciare?

Che cosa nella mia specifica bozza (link sopra) è confuso, mal pensato, o semplicemente semplice?

audit web-application attacks penetration-test

posta Mike Samuel 23.08.2011 - 20:23

fonte

1 risposta

score 2 · Accepted Answer

Penso che il tuo documento sia ottimo.

Se mi hai costretto a criticare qualcosa , vorrei menzionare due cose:

Comprendere la politica che si vuole applicare richiede un po 'di fare: richiede la lettura di un mucchio di codice ed espressioni regolari. Non so se sia evitabile.
Lo scenario di attacco sembra un po 'limitato. Le regole di base non sembrano coprire il caso in cui il frammento HTML sanitizzato (ad esempio, da un venditore eBay) è composto insieme ad HTML attendibile (da eBay stesso) per formare un documento HTML e non dice quali proprietà di sicurezza deve essere applicato in questo caso. Ad esempio, in quel tipo di situazione, il lettore è costretto a indovinare se si sta tentando di proteggere la riservatezza del resto della pagina. Se il frammento HTML sanitizzato può in qualche modo scoprire il valore di altri segreti memorizzati nello stesso documento (ad esempio, i token CSRF trovati nei parametri di forma nascosti nella parte attendibile del documento) ed esfiltrarlo, è un attacco? Sospetto di sì, lo è.

Ma queste sono critiche minori, e penso che le regole di base pubblicate siano eccellenti.