Scansione vulnerabilità delle applicazioni Web - Falsi positivi: riconoscimento ed eliminazione

Question

Scansione vulnerabilità delle applicazioni Web - Falsi positivi: riconoscimento ed eliminazione

#1 da (1 voti)
#2 da (1 voti)

1

Vulnerabilità delle applicazioni Web e falsi positivi potenziali

Come Penetration Tester la scansione delle vulnerabilità delle applicazioni è una parte importante di qualsiasi metodologia di test di penetrazione. Nella fase Scansione delle applicazioni ci sono diversi tipi di vulnerabilità che possono emergere. I principali sono ...

Iniezione SQL SQL / cieca, scripting cross-site / scripting cross-site persistente, comando di iniezione, Iniezione XPath, Attacchi SOAP / AJAX, Scissione della risposta CSRF / HTTP, attacchi arbitrari di upload di file, file remoto incluso (iniezione di codice PHP), errori di applicazione ..... ecc (Potrei averne lasciato fuori, per favore non grigliarmi se ho dimenticato di menzionarli sopra)

Quando si utilizza uno scanner, si può essere certi di riscontrare un falso positivo. Nella mia esperienza, la vulnerabilità di SQL injection è ciò che sta per ospitare i falsi positivi.

I falsi positivi sono un cattivo sottoprodotto dell'utilizzo di scanner creati per risparmiare tempo. Non ho trovato un argomento che tocchi direttamente questo argomento e volessi iniziare un breve Q & A.

Quindi ecco il punto di questo intero post: Di fronte all'output di scansione e una potenziale vulnerabilità in realtà è un falso positivo. Quali sono le misure efficaci per determinare questi "falsi positivi" (se non già designati come tali), verificandoli e quindi correggendoli?

So che esiste un processo indipendente per ogni vulnerabilità, ma vorrei concentrarmi inizialmente su SQL injection e cross-site scripting.

Qualsiasi aiuto è apprezzato ...

web-application vulnerability-scanners

posta Sh1nu11bi 15.10.2014 - 21:05

fonte

2 risposte

Leggi altre domande sui tag web-application vulnerability-scanners

Utilizzo della suite di crittografia: comandi di distribuzione Aggiornamento passphrase chiave SSH e posizioni multiple

score 1 · Answer 1

L'utilizzo di altri strumenti speciali per aiutarti a verificare le vulnerabilità segnalate o potenziali può essere di grande aiuto.

Ad esempio, utilizzando strumenti come XSS Validator per confermare effettivamente l'esecuzione di JS.

Per SQLi, accenderò spesso più copie di SQLmap per testare i diversi vettori SQLi riportati mentre lavoro su altre attività .

Probabilmente non c'è modo di evitare il lavoro manuale o le indagini. Gli assegni di vulnerabilità più lunghi spesso riportano falsi positivi, ma se li si stringe troppo si ottengono falsi negativi. Penso che la maggior parte degli strumenti miri a un equilibrio ragionevole.

score 1 · Answer 2

Personalmente vedo molti falsi positivi con Cross Site Request Forgery.

Questa potrebbe non essere la risposta che stai cercando, ma devi verificarli al meglio delle tue possibilità.

Se trovi qualcosa al di là delle tue possibilità hai due opzioni:

impara come si fa - questo naturalmente richiede tempo ed esperienza, un lusso che non sempre abbiamo
affidati a un amministratore di sistema esperto
affidati a uno sviluppatore esperto
si appoggia al fornitore (se si tratta di un'app di terze parti) per confermare / negare la vulnerabilità

I risultati della scansione delle vulnerabilità possono coprire una vasta gamma di tecnologie e piattaforme. Non ci si può aspettare che tu sia un esperto in tutti loro.