Come gestire i sottoprodotti per il test delle penne?

5

Spesso quando si esegue un pen-test è necessario martellare alcune parti del sito che potrebbero essere visibili ad altri utenti. Se, ad esempio, sospetti che una sezione di commenti sia vulnerabile a XSS, potresti inviare 20 o più commenti con input molto strani per verificarlo.

Come devo minimizzare la visibilità di un test di penetrazione ai normali utenti? Dovrei richiedere i privilegi di amministratore dal proprietario del sito in modo che possa passare e cancellare tutto ciò che sarebbe visibile agli utenti regolari? Sarebbe meglio richiedere l'installazione di un'istanza separata dell'applicazione a scopo di test? Esiste una best practice accettata per la gestione di questo tipo di cose?

    
posta Abe Miessler 30.10.2013 - 18:32
fonte

2 risposte

6

Secondo me, per testare le applicazioni, l'approccio migliore è lavorare su un mirror del sito di produzione (clonare il sito prod se si utilizzano macchine virtuali o utilizzare un ambiente di test). La chiave è che il codice distribuito dovrebbe essere lo stesso della produzione. In questo tipo di ambiente dovresti essere in grado di automatizzare senza problemi riguardo ai dati creati.

Se non puoi farlo, l'impatto dipende dal cliente e dal sito. In molte circostanze è possibile chiedere agli utenti di test, mantenere tutti i contenuti sotto quegli utenti e quindi richiedere che vengano eliminati alla fine del test.

Se ciò non è possibile, assicurati di avere la conversazione su questi effetti collaterali prima che inizi a testare. Quello che non vuoi succedere è che tu entri nel test, qualcuno nel business nota che il loro sito si sta riempiendo di "garbage" e chiudono il test.

Naturalmente, un idealista di sicurezza sosterrebbe che essi avrebbero dovuto proteggere contro l'automazione del modulo di presentazione sul loro sito, ma che non ha intenzione di fermare una persona di marketing irato chiedendosi perché hanno diverse centinaia di messaggi di posta elettronica sui nuovi commenti sul loro blog: o )

Anche come @johndeters dice che è molto importante tenere traccia dei dati e nel report raccomandare esplicitamente di pulirli. Ho avuto casi in cui qualcuno è tornato da me 9 mesi dopo un test per lamentarsi che i miei dati di test avevano causato il fallimento del loro aggiornamento e sono stato molto felice di poterli indirizzare verso la sezione del mio rapporto dove ho detto loro di rimuovere i dati di test.

    
risposta data 30.10.2013 - 22:08
fonte
0

Un approccio è che puoi semplicemente fare ciò che devi fare e osservare come affrontano il fallout. Forse il loro team di sicurezza risponderà e ti bloccherà - questo è un buon risultato. Forse il loro team di sicurezza non ti individuerà, non importa quanti commenti posticipati pubblichi, è un brutto risultato.

Tieni traccia di loro. Quando hai finito, dovresti informarli di tutti i problemi che hai fatto e che devono essere ripuliti.

    
risposta data 30.10.2013 - 21:29
fonte

Leggi altre domande sui tag