Domande con tag 'owasp'

domande con tag
1
risposta

Perché dovrei eseguire OWASP Broken Web Applications Project come solo host o NAT?

Abbiamo difficoltà a far funzionare VMWare in modalità bridge. Possiamo farlo funzionare in modalità Bridged. Perché è così importante eseguirlo solo con host o NAT?     
posta 14.12.2013 - 21:12
3
risposte

È possibile esportare un report da OWASP ZAP in base a un singolo sito Web?

Ho una lista di 30 siti Web che ho scannerizzato. Devo estrarre un rapporto per ogni singolo sito web. È possibile farlo? In questo momento sto solo facendo un report e ottenendo i risultati per tutti e 30 e viene fuori in una grande quantità di...
posta 23.04.2014 - 16:40
1
risposta

Perché la parte XX di Injection non è nella Top 10 di OWASP?

Sto cercando di spiegarmi perché XXE non rientra nella categoria Injection, in quanto è una forma di iniezione XML. XML External Entity è un attacco che manipola il parser / interprete XML, per ottenere la divulgazione di alcuni dati (ad es....
posta 12.05.2018 - 11:30
3
risposte

Test per OWASP utilizzando componenti con vulnerabilità note?

Sto provando a pensare a come testare un'applicazione per OWASP "Uso di componenti con vulnerabilità note" . Se la mia comprensione è corretta, si tratta di molto con librerie / moduli non aggiornati, ma se si sta testando un'applicazione (e...
posta 16.05.2018 - 15:17
3
risposte

I risultati di nikto differiscono dagli altri scanner di vulnerabilità, è più o meno preciso?

Stavo facendo un po 'di scansione su un'applicazione web, ho usato OWASP zap e Nessus. I rischi che questi due rilevati erano da medi a bassi, pochissime vulnerabilità. Poi ho provato nikto, e i risultati sono stati enormi. Ha rilevato potenz...
posta 03.05.2018 - 18:22
1
risposta

Esclude i nomi di file dai modelli mod_security

Ho una domanda riguardante mod_security. Ho installato mod_security sul mio server e la serie di regole OWASP. Tuttavia, ora le persone hanno problemi durante l'accesso alla mia pagina. Ad esempio, un problema è che le immagini non vengono vi...
posta 25.07.2012 - 11:09
1
risposta

Deserializzazione JSON disinfettante

Attualmente sto studiando le best practice per la deserializzazione JSON sicura di input non attendibili per la mappatura degli oggetti. Dopo la ricerca, sembra che ... il mappatore di jackson predefinito: link e disinfettante JSON OWASP...
posta 25.10.2018 - 18:51
1
risposta

Autenticazione con OWASP ZAP Script

Al momento sto lavorando a uno script python che automatizzerà lo zap per me, quindi non devo entrare e spostare manualmente i campi o eseguire la scansione delle pagine. La parte su cui sono bloccato è che attualmente il mio script può solo ese...
posta 12.07.2018 - 22:18
1
risposta

Qualcuno può evidenziare la differenza chiave tra CRLF Injection, HTTP Response Splitting e HTTP Header Injection?

Credo che ognuna di queste sia strettamente interconnessa, ad esempio, si verificherà la divisione di risposta HTTP in caso di immissione di caratteri CRLF (% 0d% 0a) e ciò comporterà anche l'iniezione di intestazioni HTTP che controllano le ris...
posta 21.08.2018 - 08:54
1
risposta

Mitigazione basata su token di intestazione di origine Vs

OWASP CSRF Prevention cheatsheet parla di due mitigazioni popolari per CSRF - Origin / Referrer controllo dell'intestazione e basato sul token. Ci sono problemi legati alla mitigazione basata sul controllo dell'origine / referrer che potreb...
posta 10.08.2018 - 02:35