Руководство по тестированию на проникновение на основе OWASP + Дополнения

Это руководство предназначено для тестировщиков на проникновение, которые ищут подходящие тестовые примеры, необходимые в ходе проекта тестирования на проникновение. Я переработал OWASP Testing Guide v4 с моей точки зрения, включив 9 классов тестов, и каждый класс содержит несколько тестовых примеров для проведения против цели. Каждый тестовый пример охватывает несколько тестов OWASP, что также полезно для отчета. Я также добавил 15 дополнительных тестовых примеров, помеченных как EXTRA-TEST. Надеюсь, это будет полезно как в проектах тестирования на проникновение, так и в bug bounty.

TODO:

1. Добавить ресурсы для каждого теста.

Сбор информации

• • Технологии идентификации * Идентификация веб-сервера (OTG-INFO-002) * Перечисление приложений на веб-сервере (OTG-INFO-004) * Идентификация фреймворка веб-приложения (OTG-INFO-008) * Идентификация веб-приложения (OTG-INFO-009)
• • Утечка информации * Проведение поискового обнаружения и разведки для утечки информации (OTG-INFO-001) * Проверка метафайлов веб-сервера на утечку информации (OTG-INFO-003) * Проверка комментариев и метаданных веб-страниц на утечку информации (OTG-INFO-005) * Анализ кодов ошибок (OTG-ERR-001) * Анализ стек-трейсов (OTG-ERR-002) * Проведение фаззинга скрытых и чувствительных файлов или каталогов (EXTRA-TEST-014)
• • Индексация каталогов * Поиск индексации каталогов (EXTRA-TEST-001)
• • Хранение чувствительной информации на стороне клиента * Тестирование локального хранилища (OTG-CLIENT-012)

Управление конфигурацией и развертыванием

• • Перечисление интерфейсов администрирования инфраструктуры и приложений * Перечисление интерфейсов администрирования инфраструктуры и приложений (OTG-CONFIG-005) * Тестирование конфигурации сети/инфраструктуры (OTG-CONFIG-001)
• • Обнаружение скрытых ресурсов * Проверка старых, резервных и неиспользуемых файлов на чувствительную информацию (OTG-CONFIG-004)
• • HTTP-заголовки безопасности * Тестирование на отсутствие HTTP-заголовков безопасности (EXTRA-TEST-002)

Управление идентификацией и аутентификация

• • Класс безопасной аутентификации * Тестирование процесса регистрации пользователя (OTG-IDENT-002) * Тестирование слабого механизма блокировки (OTG-AUTHN-003) * Тестирование обхода схемы аутентификации (OTG-AUTHN-004) * Тестирование функционала запоминания пароля (OTG-AUTHN-005) * Тестирование слабости кэша браузера (OTG-AUTHN-006) * Тестирование слабого секретного вопроса/ответа (OTG-AUTHN-008) * Тестирование слабых функций смены или сброса пароля (OTG-AUTHN-009) * Тестирование более слабой аутентификации в альтернативном канале (OTG-AUTHN-010) * Тестирование слабой или не соблюдаемой политики имен пользователей (OTG-IDENT-005) * Тестирование учетных данных по умолчанию (OTG-AUTHN-002) * Тестирование обхода двухфакторной аутентификации (EXTRA-TEST-012)
• • Перечисление имен пользователей * Тестирование перечисления учетных записей и угадываемых учетных записей пользователей (OTG-IDENT-004)
• • Тестирование восстановления чувствительной информации * Тестирование восстановления чувствительной информации из базы данных (EXTRA-TEST-003)
• • Тестирование на устойчивость к атакам перебором * Тестирование на устойчивость к атакам перебором (EXTRA-TEST-004)

Авторизация и тестирование границ

• • Контроль доступа пользователей * Тестирование определения ролей (OTG-IDENT-001) * Тестирование процесса предоставления учетных записей (OTG-IDENT-003) * Тестирование обхода схемы авторизации (OTG-AUTHZ-002) * Тестирование повышения привилегий (OTG-AUTHZ-003) * Тестирование подмены HTTP-методов (OTG-INPVAL-003) * Тестирование уязвимостей JSON Web Token (EXTRA-TEST-006) * Тестирование Cross-Origin Resource Sharing (OTG-CLIENT-007)
• • Включение файлов * Тестирование обхода каталогов/включения файлов (OTG-AUTHZ-001)
• • Выполнение после перенаправления * Выполнение после перенаправления (EXTRA-TEST-005)
• • Межсайтовая подделка запроса * Тестирование межсайтовой подделки запроса (CSRF) (OTG-SESS-005)
• • Безопасная загрузка файлов * Тестирование загрузки неожиданных типов файлов (OTG-BUSLOGIC-008) * Тестирование загрузки вредоносных файлов (OTG-BUSLOGIC-009)
• • Небезопасные прямые ссылки на объекты * Тестирование небезопасных прямых ссылок на объекты (OTG-AUTHZ-004)
• • Безопасная реализация CAPTCHA * Тестирование безопасного рабочего процесса CAPTCHA (EXTRA-TEST-007)

Управление cookie и сессиями

• • Тестирование атрибутов cookie * Тестирование атрибутов cookie (OTG-SESS-002)
• • Безопасное управление сессиями * Тестирование обхода схемы управления сессиями (OTG-SESS-001) * Тестирование фиксации сессии (OTG-SESS-003) * Тестирование раскрытых переменных сессии (OTG-SESS-004) * Тестирование функционала выхода (OTG-SESS-006) * Тестирование тайм-аута сессии (OTG-SESS-007) * Тестирование путаницы сессий (OTG-SESS-008)

Доступность

• • Отказ в обслуживании * Тестирование отказа в обслуживании (EXTRA-TEST-008)

Проверка ввода/вывода

• • Межсайтовый скриптинг * Тестирование отраженного межсайтового скриптинга (OTG-INPVAL-001) * Тестирование хранимого межсайтового скриптинга (OTG-INPVAL-002) * Тестирование DOM-based межсайтового скриптинга (OTG-CLIENT-001) * Тестирование выполнения JavaScript (OTG-CLIENT-002) * Тестирование HTML-инъекций (OTG-CLIENT-003) * Тестирование CSS-инъекций (OTG-CLIENT-005) * Тестирование манипуляции ресурсами на стороне клиента (OTG-CLIENT-006) * Тестирование кликджекинга (OTG-CLIENT-009)
• • SQL-инъекция * Тестирование SQL-инъекций (OTG-INPVAL-005) * Тестирование инкубированных уязвимостей (OTG-INPVAL-015)
• • NoSQL-инъекция * Тестирование XPath-инъекций (OTG-INPVAL-010) * Тестирование XML-инъекций (OTG-INPVAL-008) * Тестирование MongoDB-инъекций (EXTRA-TEST-011)
• • Инъекции серверного кода * Тестирование LDAP-инъекций (OTG-INPVAL-006) * Тестирование ORM-инъекций (OTG-INPVAL-007) * Тестирование SSI-инъекций (OTG-INPVAL-009) * IMAP/SMTP-инъекция (OTG-INPVAL-011) * Тестирование инъекций кода (OTG-INPVAL-012) * Тестирование инъекций шаблонов на стороне сервера (EXTRA-TEST-013)
• • Удаленное выполнение команд * Тестирование инъекций команд (OTG-INPVAL-013)

Тестирование на слабую криптографию

• • Тестирование слабых шифров SSL/TLS, недостаточной защиты транспортного уровня * Тестирование слабых шифров SSL/TLS, недостаточной защиты транспортного уровня (OTG-CRYPST-001)
• • Тестирование отправки чувствительной информации по незашифрованным каналам * Тестирование отправки чувствительной информации по незашифрованным каналам (OTG-CRYPST-003) * Тестирование Padding Oracle (OTG-CRYPST-002)

Тесты рабочего процесса/потока данных

• • Тестирование бизнес-логики * Тестирование валидации данных бизнес-логики (OTG-BUSLOGIC-001) * Тестирование возможности подделки запросов (OTG-BUSLOGIC-002) * Тестирование проверок целостности (OTG-BUSLOGIC-003) * Тестирование временных характеристик процессов (OTG-BUSLOGIC-004) * Тестирование ограничений количества использования функции (OTG-BUSLOGIC-005) * Тестирование обхода рабочих процессов (OTG-BUSLOGIC-006) * Тестирование защиты от неправильного использования приложения (OTG-BUSLOGIC-007)