Hvad er en webapplikationspenetrationstest?
En webapplikationspenetrationstest er en aktivitet designet til at måle, hvordan et internetbaseret program ville opføre sig under et angreb eller udnyttelse. Disse test bruger en række softwareprogrammer til at scanne en applikation og derefter udføre forskellige handlinger, der kan forekomme under et faktisk angreb. En webapplikationspenetrationstest kan udføres af et udviklingshold eller en tredjeparts tjenesteudbyder. Hvis der bruges en ekstern udbyder, vil udviklingsteamet eller informationsteknologi (IT) personale undertiden ikke blive underrettet om testen af ledelsen. Dette kan give en webapplikationspenetrationstest mulighed for at afdække mangler, der ellers kan være gået upåagtet hen, hvilket kan tillade, at disse problemer kan rettes inden udgivelsen af softwaren.
webapplikationer er softwarepakker, der kan fås adgang til og køres over internettet. Disse applikationer kan udføre mange funktioner, og i nogle tilfælde er de ansvarlige for håndtering af data, der betragtes som private eller endda værdifulde. For atUndgå at kompromittere angreb, gennemtrængningstest udføres typisk for at finde eventuelle svagheder eller let udnyttede områder i koden.
Typiske webapplikationspenetrationstest begynder med en informationsindsamlingsfase. Formålet med dette trin er at bestemme så meget information om applikationen som muligt. Ved at sende anmodninger til applikationen og bruge værktøjer som scannere og søgemaskiner, er det ofte muligt at få information såsom softwareversionsnumre og fejlmeddelelser, der ofte bruges til at finde udnyttelse senere.
Efter at en tilstrækkelig mængde information er blevet akkumuleret, er det næste mål med en webapplikationspenetrationstest at udføre en række forskellige angreb og udnyttelse. I nogle tilfælde vil de oplysninger, der er indsamlet i den første fase, identificere udnyttelse, som applikationen kan være sårbar over for. Hvis der ikke blev opdaget nogen åbenlyse sårbarhederEt komplet udvalg af angreb og udnyttelse kan forsøges.
Mange forskellige tekniske sårbarheder kan placeres ved en webapplikationspenetrationstest. Disse tests vil typisk forsøge at bruge metoder, såsom Universal Resource Locator (URL) manipulation, session -kapring og struktureret forespørgselssprog (SQL) injektion til at bryde ind i en applikation. Der kan også være et forsøg på at indlede en bufferoverløb eller andre lignende handlinger, der kan få en applikation til at opføre sig unormalt. Hvis nogen af disse angreb eller udnyttelse får applikationen til at afsløre følsomme data til penetrationstesteren, rapporteres manglerne typisk sammen med et foreslået handlingsforløb.