Пентест сайта и веб-приложений

Пентест веб-приложений: что это?

Пентесту могут подвергаться различные объекты – контроллеры домена, системы контроля и управления доступом, беспроводные сети и так далее. Также объектом пентеста могут быть веб-приложения. Веб-приложения могут иметь ряд специфических уязвимостей, которые могут быть проверены в рамках пентеста.

Например:

• Использование слабых паролей;
• Различные виды инъекций — вид атак, при которых злоумышленник может внедрить в форму Web-интерфейса приложения специальный код, который выполнится на сервере;
• Межсайтовый скриптинг (XSS) — вид атак, при которых злонамеренный код через веб-сервер попадает на компьютеры пользователей и там исполняется;
• Небезопасные конфигурации. Например, использование небезопасных настроек «по умолчанию», неправильных настроек доступа и т.д;
• Использование для разработки веб-приложений фреймворков и платформ, имеющих уязвимости;
• Хранение в доступных местах забытых, временных, неиспользуемых файлов, бэкапов, в которых может содержаться чувствительная информация;
• Другое.

Помимо обнаружения уязвимостей, по согласованию с Заказчиком, эксперты компании могут проводить эксплуатацию найденных уязвимостей, который позволит более полно оценить последствия атак с использованием обнаруженных уязвимостей.

Этапы проведения тестирования на проникновение
веб-приложений

Основные этапы:

• Планирование тестирования и первоначальная разведка. Определяются объем, цели и методы тестирования. Определяются версии служб и приложений, используемое оборудование, открытые порты и прочая информация, которая будет использоваться на последующих этапах;
• Сканирование и попытка получения доступа. Проводятся непосредственные атаки на веб-приложение для выявления уязвимостей с попыткой эксплуатации найденных уязвимостей;
• Сохранение доступа. Попытка обеспечения постоянного присутствия в эксплуатируемой системе путем эксплуатации найденных уязвимостей, либо установки дополнительного вредоносного ПО;
• Анализ результатов пентеста и подготовка отчета.

Сканирование и попытка получения доступа включает следующие виды работ:

• Сбор информации о веб-приложении из открытых источников;
• Исследование процессов управления учетными записями, в том числе возможность получить перечень активных учетных записей злоумышленником;
• Исследование процессов проверки вводимых данных (XSS, различные виды инъекций);
• Исследование процессов управления ошибками (может ли злоумышленник узнать что-нибудь о Вас из сообщений об ошибках);
• Исследование применяемых технологий шифрования трафика (может ли злоумышленник расшифровать трафик);
• Исследование возможности загрузки вредоносных файлов, получения доступа к чужим аккаунтам;
• Исследование процессов аутентификации и авторизации, в том числе возможность перехвата логина/пароля и обхода процесса аутентификации;
• Исследование процессов управления сессиями, в том числе возможность повторного использования cookie-файлов и перехвата сессии;
• Исследование процессов проверки вводимых данных (XSS, различные виды инъекций);
• Исследование бизнес-логики веб-приложения;
• Выявление уязвимостей, актуальных для веб-приложения;
• Изучение архитектуры веб-приложения (какие технологии применяются, какой функционал присутствует);
• Исследование возможных векторов атак злоумышленников с учетом информации об архитектуре веб-приложения;
• Анализ влияния на инфраструктуру Заказчика с учетом наличия учетных данных администратора веб-приложения.

Способы проведения пентеста веб-приложений

Методы тестирования:

• «Белый ящик»

Эксперт получает максимальный доступ администратора к тестируемым IT-ресурсам, а также полную информацию о функционале, структуре приложения, его исходные коды.

• «Черный ящик»

В распоряжение предоставляется лишь общедоступная информация, например, только IP-адрес, другую информацию эксперт должен попытаться добыть самостоятельно.

• «Серый ящик»

Комбинирование предыдущих двух вариантов, при котором предоставляемая информация определяется стоящими перед тестированием задачами.

Кроме того, существуют два основных подхода к определению как тестируемое приложение реагирует на попытки вторжения:

• Статический анализ (SAST) — проверка кода приложения.
• Динамический анализ (DAST) — проверка приложения в рабочем состоянии.

Выбор того или иного способа тестирования определяется задачами тестирования.

Программное обеспечение для проведения тестирования

Программное обеспечение для тестирования веб-приложений можно разделить на средства ручного, автоматизированного и автоматического тестирования, специализированные и универсальные средства.

Специалисты нашей компании применяют специализированное ПО для ручного и автоматизированного поиска уязвимостей:

• Утилита Nmap — настраивает сканирование расширенного количества проверяемых IP-объектов, определяет состояние подсетей сканируемой области, включая порты и другие сервисы, поддерживает различные операционные системы, независимо от версии;
• Инструмент Nessus — для автоматического обнаружения системных уязвимостей, у этого приложения открытый исходный код по принципу General Public License;
• Дистрибутив KaliLinux — специализированные настройки, набор инструментов, а также системных приложений для тестирования на проникновение;
• Утилита THC Hydra — брутфорс различных сервисов, в том числе, веб-приложений;
• Утилита Burp Suite — инструмент для пентеста, в том числе и для брута веб-форм;
• OWAS ZAP — специализированный инструмент для тестирования web-приложений;
• Утилита WPSeku — средство тестирования Wordpress;
• Фреймворк Metasploit;
• Фреймворк тестирования на проникновение;
• Другие.

Выбор того или иного средства индивидуален и определяется для каждого пентеста отдельно. Вплоть до того, что в отдельных случаях эксперты нашей компании могут использовать скрипты, написанные самостоятельно.

Результаты пентеста и тестирования на проникновение

По результатам тестирования оформляется отчет о пентесте, в котором приводится подробная информация об обнаруженных уязвимостях, количественная оценка их опасности. Также определяются способы, которыми они обнаружены, каким образом могут быть использованы злоумышленником и конкретные рекомендации по их устранению.

Заказать пентест можно онлайн на нашем сайте или по телефону. Сотрудники компании проинформируют о сроках и стоимости услуг, расскажут о последовательности работ по оценке рисков при тестировании на несанкционированное проникновение.