Foglio di sicurezza Web / elenco ToDo

C'è sempre il elenco delle vulnerabilità del Web top ten OWASP

Un piccolo riassunto di ciascuno dal rapporto di OWASP:

1. Injection - I difetti di iniezione, come SQL, OS e LDAP injection, si verificano quando dati non affidabili vengono inviati a un interprete come parte di un comando o di una query. I dati ostili dell'aggressore possono ingannare l'interprete nell'esecuzione di comandi non previsti o nell'accesso a dati non autorizzati.

2. Script tra siti : i difetti XSS si verificano ogni volta che un'applicazione riceve dati non attendibili e li invia a un browser Web senza convalida e escaping appropriati. XSS consente agli aggressori di eseguire script nel browser della vittima, che possono dirottare sessioni utente, deturpare siti Web o reindirizzare l'utente a siti dannosi.

3. Autenticazione interrotta e gestione delle sessioni - Le funzioni dell'applicazione relative all'autenticazione e alla gestione delle sessioni spesso non sono implementate correttamente, consentendo agli autori di attacchi di compromettere password, chiavi, token di sessione o sfruttare altri difetti di implementazione assumere le identità degli altri utenti.

4. Riferimenti agli oggetti diretti non sicuri : un riferimento ad oggetti diretti si verifica quando uno sviluppatore espone un riferimento a un oggetto di implementazione interno, ad esempio un file, una directory o una chiave di database. Senza un controllo di controllo degli accessi o altra protezione, i malintenzionati possono manipolare questi riferimenti per accedere a dati non autorizzati.

5. Errore di richiesta tra siti (CSRF) - Un attacco CSRF obbliga il browser di una vittima connessa a inviare una richiesta HTTP falsificata, incluso il cookie di sessione della vittima e qualsiasi altra autenticazione inclusa automaticamente informazioni, a un'applicazione Web vulnerabile. Ciò consente all'autore dell'attacco di forzare il browser della vittima a generare richieste che l'applicazione vulnerabile ritiene siano richieste legittime della vittima.

6. Configurazione errata della sicurezza - Una buona protezione richiede che sia definita e distribuita una configurazione sicura per l'applicazione, i framework, il server delle applicazioni, il server Web, il server del database e la piattaforma. Tutte queste impostazioni devono essere definite, implementate e gestite in quanto non vengono fornite con impostazioni predefinite sicure. Ciò include l'aggiornamento di tutti i software, incluse tutte le librerie di codici utilizzate dall'applicazione.

7. Archiviazione crittografica non sicura : molte applicazioni Web non proteggono adeguatamente dati sensibili, come carte di credito, SSN e credenziali di autenticazione, con crittografia o hashing appropriati. Gli aggressori possono rubare o modificare tali dati debolmente protetti per compiere furti d'identità, frodi con carte di credito o altri crimini.

8. Errore di limitazione dell'accesso agli URL : molte applicazioni Web controllano i diritti di accesso agli URL prima di visualizzare link e pulsanti protetti. Tuttavia, le applicazioni devono eseguire controlli di controllo dell'accesso simili ogni volta che si accede a queste pagine, o gli autori di attacchi saranno in grado di falsificare gli URL per accedere comunque a tali pagine nascoste.

9. Protezione livello di trasporto insufficiente : le applicazioni spesso non riescono a autenticare, crittografare e proteggere la riservatezza e l'integrità del traffico di rete sensibile. Quando lo fanno, a volte supportano algoritmi deboli, utilizzano certificati scaduti o non validi o non li usano correttamente.

10. Reindirizzati e inoltro non convalidati : le applicazioni Web reindirizzano e inoltrano spesso gli utenti ad altre pagine e siti Web e utilizzano dati non attendibili per determinare le pagine di destinazione. Senza un'adeguata convalida, gli utenti malintenzionati possono reindirizzare le vittime a siti di phishing o malware o utilizzare in avanti le pagine non autorizzate.

Il progetto MITER CWE elenca le debolezze del software e il progetto MITER CAPEC elenca le strade per l'enumerazione dei percorsi di attacco contro le applicazioni.

Entrambe fanno parte del progetto Making Security Measurable , che comprende cose come CVE, che spero tu abbia sentito. In caso contrario, fammi sapere tramite commento e darò una introduzione più accessibile. CVE, CWE e CAPEC sono i primi 3 progetti elencati in questo link.

OWASP Top 10 o Classificazione delle minacce WASC potrebbe darti una buona panoramica su ciò che potrebbe essere testato e su cosa concentrarti. Se vuoi approfondire, la Guida al test OWASP è una grande risorsa (può anche aiutarti a creare una sorta di "check list", che si adatta ai requisiti di sicurezza delle tue applicazioni web.

Il progetto Open Web Application Security (OWASP) pubblica regolarmente un elenco di problemi di sicurezza comuni: 2004 , < a href="https://www.owasp.org/index.php/Top_10_2007"> 2007 , 2010

Sull'argomento di XSS: Scheda trucchi per la prevenzione degli script di cross-site fornisce molti informazioni su come evitare la vulnerabilità XSS. Il Xcore Cheat Sheet elenca le comuni vulnerabilità di xss in dune ai casi mancanti nella logica di escape.