Kereső által tárolt információk felderítése
Annak vizsgálata, hogy a webalkalmazással kapcsolatban milyen eltárolt adatok térképezhetők fel a keresőmotorokból, valamint a nyílt adatbázisokból.
Webalkalmazás vizsgálati metodika
Az alkalmazásvizsgálati irányultság keretében a webalkalmazások ellenőrzése az OWASP Web Security Testing Guide (WSTG) v5 módszertana szerint történik. A vizsgálatok alapját automatizált sérülékenység-felderítő eszközök eredményei képezik, amelyeket a vizsgált webalkalmazás technológiai sajátosságainak megfelelő, célzott manuális biztonsági tesztelés egészít ki.
A vizsgálat az OWASP WSTG módszertanának megfelelően az alábbi fő tesztelési területekre terjed ki:
- Információgyűjtés;
- Konfiguráció- és telepítésmenedzsment vizsgálata;
- Identitáskezelés vizsgálata;
- Hitelesítés vizsgálata;
- Jogosultságkezelés vizsgálata;
- Munkamenet-kezelés vizsgálata;
- Bemenet-ellenőrzés vizsgálata;
- Hibakezelés vizsgálata;
- Kriptográfiai mechanizmusok vizsgálata;
- Üzleti logika vizsgálata;
- Kliensoldali mechanizmusok vizsgálata;
- API-k vizsgálata.
Az OWASP WSTG módszertana által lefedett vizsgálati területeken túl az alkalmazott technológiák, keretrendszerek és komponensek sajátosságainak értékelése a vonatkozó gyártói dokumentációk, biztonsági útmutatók és iparági ajánlások alapján történik.
129
vizsgálati pont
13
tesztelési terület
WEB
vizsgálati irányultság
Webszerver információk felderítése
Annak vizsgálata, hogy a webalkalmazást futtató webszerverrel kapcsolatban milyen információk tárhatók fel.
Webszerver metafájlok információszivárgásának felderítése
Annak vizsgálata, hogy a webalkalmazás metafájlai alapján milyen információk ismerhetők meg.
Webszerveren lévő alkalmazások felderítése
Annak vizsgálata, hogy a webalkalmazást futtató webszerver milyen erőforrásokat szolgál ki (rendszerfeltérképezés).
Weboldal-tartalmak információszivárgásának felderítése
Annak vizsgálata, hogy a webalkalmazás forrásában lévő kommentek, illetve felületéről elérhető állományok tartalmaznak-e potenciálisan érzékeny információkat.
Webalkalmazás kiinduló pontjainak felderítése
Annak vizsgálata, hogy a webalkalmazás kiinduló felülete milyen elérési utakon hívható meg.
Webalkalmazáson belüli végrehajtási utak felderítése
Annak vizsgálata, hogy a webalkalmazás egy tipikus kérése során mely végrehajtási utak és kérések ismerhetők meg, illetve kerülnek végrehajtásra.
Webalkalmazás-keretrendszer információk felderítése
Annak vizsgálata, hogy a webalkalmazást betöltő keretrendszerrel kapcsolatban milyen információk tárhatók fel.
Webalkalmazás-szoftverkomponens információk felderítése
Annak vizsgálata, hogy a webalkalmazás milyen szoftverkomponenseket használ.
Webalkalmazás szerkezetének felderítése
Annak vizsgálata, hogy a webalkalmazás szerkezeti felépítése feltérképezhető-e, illetve ez milyen sérülékenységeket tartalmaz.
Hálózat és infrastruktúra konfigurációjának vizsgálata
Annak vizsgálata, hogy a webalkalmazás milyen hálózati kapcsolatokkal és infrastruktúrával rendelkezik, valamint ezek milyen hatással vannak a rendszer biztonságára nézve.
Alkalmazás platform konfigurációjának vizsgálata
Annak vizsgálata, hogy a webalkalmazás keretrendszerének, illetve webszerverének mely alapértelmezetten telepített fájlai, mappái, konfigurációs állományai és beállításai térképezhetők fel szabadon.
Fájlkiterjesztések kezelésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően kezeli-e a felületéről elérhető fájlok típusát, valamint kiterjesztéseit, illetve megkerülhetők-e ezen beállítások.
Régi, backup és nem hivatkozott fájlok vizsgálata
Annak vizsgálata, hogy a webalkalmazás felületén megtalálhatók-e dinamikus szkriptek (backup fájlok, esetleg régebbi verziók állományai) vagy potenciálisan érzékeny tartalmú adatok.
Infrastruktúra és alkalmazás adminisztrátori interfészek vizsgálata
Annak vizsgálata, hogy a webalkalmazás működése szempontjából kritikus felületek szabadon hozzáférhetők-e.
HTTP metódusok vizsgálata
Annak vizsgálata, hogy a webalkalmazás webszervere milyen HTTP metódusokat támogat és azok megfelelően vannak-e konfigurálva.
HTTP Strict Transport Security vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően használja-e a HSTS eljárást az adatai védelme érdekében.
Fájl jogosultságok vizsgálata
Annak vizsgálata, hogy a webalkalmazás konfigurációs állományainak hozzáférési jogosultságai megfelelően vannak-e beállítva.
Aldomain átvétel vizsgálata
Annak vizsgálata, hogy a webalkalmazás valamely aldomainje felett átvehető-e az irányítás.
Felhőtárhely vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhő szolgáltatásai megfelelően vannak-e konfigurálva.
Content Security Policy vizsgálata
Annak vizsgálata, hogy a webalkalmazás CSP beállításai megfelelően vannak-e konfigurálva.
Elérési útvonal-zavar vizsgálata
Annak vizsgálata, hogy a webalkalmazás válaszokat szolgáltat-e a kétértelmű URL-ekre.
Egyéb HTTP biztonsági fejléc-hibák vizsgálata
Annak vizsgálata, hogy a webalkalmazás HTTP biztonsági fejlécei megfelelően vannak-e beállítva, illetve feltárható-e velük kapcsolatban konfigurációs probléma.
Szerepkör definíciók vizsgálata
Annak vizsgálata, hogy a webalkalmazásban mely szerepkörök vannak definiálva, ezek hogyan működnek, valamint megfelelő hozzáférést biztosítanak-e a rendszer funkcionalitásához és információihoz.
Felhasználói regisztráció vizsgálata
Annak vizsgálata, hogy a webalkalmazás leendő felhasználói miként juthatnak jogosultságokhoz.
Felhasználói hozzáférés létrehozásának vizsgálata
Annak vizsgálata, hogy a webalkalmazást használók képesek-e új fiókokat hozzáadni a rendszerhez vagy módosítani a már meglévő felhasználókat.
Felsoroltatható és könnyen kitalálható felhasználói hozzáférések vizsgálata
Annak vizsgálata, hogy a webalkalmazás egyes funkcióinak felhasználásával felderíthetők-e a beregisztrált felhasználók belépési azonosítói, illetve ezek általánosan és gyakran használt felhasználói hozzáférések-e.
Felhasználónév házirend vizsgálata
Annak vizsgálata, hogy a webalkalmazás fiókjainak felhasználónév követelményeit szabályzó házirend kellően biztonságos-e.
Alapértelmezett hitelesítési adatok vizsgálata
Annak vizsgálata, hogy a webalkalmazás telepítésekor használt fiókok léteznek-e a rendszerben.
Kizárási házirend vizsgálata
Annak vizsgálata, hogy a webalkalmazás szankcionálja-e a helytelen bejelentkezési kísérleteket.
Hitelesítési séma megkerülésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhasználóinak beléptetését végző felület tervezési vagy megvalósítási hibáin keresztül lehetséges-e a rendszerbe jogosulatlanul belépni.
Jelszómegjegyző funkció vizsgálata
Annak vizsgálata, hogy a webalkalmazásban található-e olyan jelszómegjegyző funkció, ami nem megfelelően tárolja el a bejelentkezési adatokat.
Böngésző gyorsítótárazás vizsgálata
Annak vizsgálata, hogy a webalkalmazásba történő sikeres hitelesítés után elérhető adatok helyileg is hozzáférhetők maradnak-e kijelentkezés után a webböngésző gyorsítótárában.
Hitelesítési módszerek vizsgálata
Annak vizsgálata, hogy a webalkalmazás fiókjainak hitelesítő adatait szabályzó házirend kellően biztonságos-e.
Biztonsági kérdések és válaszok vizsgálata
Annak vizsgálata, hogy a webalkalmazás lehetőséget biztosít-e a gyenge biztonsági kérdések, illetve válaszok használatára.
Jelszóváltoztató és visszaállító funkciók vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhasználói visszaélhetnek-e a jelszóváltoztató és visszaállító funkciók gyengeségeivel.
Alternatív csatornákon keresztüli gyengébb hitelesítés vizsgálata
Annak vizsgálata, hogy a webalkalmazásban léteznek-e alternatív autentikációs mechanizmusok, valamint ezek létező hitelesítési adatokkal kihasználhatók-e.
Többfaktoros hitelesítés vizsgálata
Annak vizsgálata, hogy a webalkalmazás többfaktoros autentikációja megfelelően van-e konfigurálva.
Könyvtárbejárás és fájl beszúrás vizsgálata
Annak vizsgálata, hogy a webalkalmazás által kezelt fájlok elérési útjáról lehetséges-e átlépni a kiszolgáló rendszerfájljai felé.
Jogosultságkezelési séma megkerülésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás bizonyos jogosultsági szint birtokában elérhető funkciói hozzáférhetők-e az elvártnak nem megfelelő jogosultsági szint birtokában.
Jogosultság kiterjesztés vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhasználói hozzájuthatnak-e a számukra kiosztottnál bővebb jogosultságokhoz.
Közvetlen objektum referenciák kezelésének vizsgálata
Annak vizsgálata, hogy a webalkalmazáson belül más felhasználók által kezelt állományokhoz hozzá lehet-e férni.
OAuth implementáció vizsgálata
Annak vizsgálata, hogy a webalkalmazás OAuth implementációja megfelelően biztonságos-e.
OAuth jogosultságkezelési szerver vizsgálata
Annak vizsgálata, hogy a webalkalmazás OAuth hitelesítő szerverének bizonyos jogosultsági szint birtokában elérhető funkciói hozzáférhetők-e az elvártnak nem megfelelő jogosultsági szint birtokában.
OAuth kliens vizsgálata
Annak vizsgálata, hogy a webalkalmazás OAuth kliensei hozzájuthatnak-e a számukra kiosztottnál bővebb jogosultságokhoz.
Munkamenet-kezelési séma megkerülhetőségének vizsgálata
Annak vizsgálata, hogy a webalkalmazás munkamenet-kezelési sémája biztonságos-e, illetve ezzel kapcsolatban felderíthetők-e potenciális sérülékenységek.
Süti védelem vizsgálata
Annak vizsgálata, hogy a webalkalmazás munkamenet-változóira (sütijeire) mely biztonsági beállítások kerültek konfigurálásra.
Munkamenet-hitelesítés megkerülhetőségének vizsgálata
Annak vizsgálata, hogy a webalkalmazás munkamenete eltéríthető-e a rendszer nem megfelelő hitelesítési folyamata következtében.
Védtelen munkamenet-változók kezelésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás működését érzékenyen befolyásoló paraméterek kerülnek-e eltárolásra a kliensoldalon.
Cross Site Request Forgery vizsgálata
Annak vizsgálata, hogy a webalkalmazásba bejelentkezett felhasználók rávehetők-e a tudtuk és szándékuk nélkül arra, hogy olyan tevékenységet végezzenek a saját nevükben, amit nem áll szándékukban.
Kijelentkezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás lehetőséget ad-e a befejezett munkamenetek szerveroldalon történő érvénytelenítésére.
Munkamenet lejáratának vizsgálata
Annak vizsgálata, hogy a webalkalmazás aktuális (bejelentkeztetett) munkamenetei érvénytelenítésre kerülnek-e észszerű időn belül.
Munkamenet-változók túlterhelhetőségének vizsgálata
Annak vizsgálata, hogy a webalkalmazás munkamenet-változói túlterhelhetők-e, illetve ez a rendszer sérülékenységéhez vezethet-e.
Munkamenet eltéríthetőségének vizsgálata
Annak vizsgálata, hogy a webalkalmazás munkamenetei eltéríthetők-e a munkamenet-változók (sütik) megszerzésének következtében.
JSON Web Tokenek vizsgálata
Annak vizsgálata, hogy a webalkalmazás JSON Web Tokenjei megfelelően védettek-e.
Egyidejű munkamenetek vizsgálata
Annak vizsgálata, hogy a webalkalmazás egyidejű munkamenetei megfelelően biztonságosan vannak-e kezelve.
Reflected Cross Site Scripting vizsgálata
Annak vizsgálata, hogy a webalkalmazás válaszaiban visszatükrözött felhasználói bemenetek nem megfelelő kezelése miatt kihasználható-e kliensoldali kódvégrehajtást lehetővé tevő sérülékenység.
Stored Cross Site Scripting vizsgálata
Annak vizsgálata, hogy a webalkalmazás által eltárolt felhasználói bemenetek nem megfelelő kezelése miatt kihasználható-e kliensoldali kódvégrehajtást lehetővé tevő sérülékenység.
HTTP-paraméterek többszörös értékadásának vizsgálata
Annak vizsgálata, hogy a webalkalmazás általi azonos nevű HTTP-paraméterek többszörös megadásának eltérő feldolgozása kihasználható-e a bemeneti ellenőrzések megkerülésére vagy a rendszer működésének nem kívánt befolyásolására.
SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhasználói bemenetein keresztül módosíthatók-e az adatbázis-kiszolgáló által végrehajtott SQL-utasítások, illetve kihasználható-e SQL-befecskendezési sérülékenység.
Oracle-specifikus SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás Oracle adatbázis-kezelővel végzett műveletei során kihasználható-e az Oracle sajátosságaihoz kapcsolódó SQL-befecskendezési sérülékenység.
MySQL-specifikus SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás MySQL adatbázis-kezelővel végzett műveletei során kihasználható-e a MySQL sajátosságaihoz kapcsolódó SQL-befecskendezési sérülékenység.
Microsoft SQL Server-specifikus SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás Microsoft SQL Server adatbázis-kezelővel végzett műveletei során kihasználható-e a Microsoft SQL Server sajátosságaihoz kapcsolódó SQL-befecskendezési sérülékenység.
PostgreSQL-specifikus SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás PostgreSQL adatbázis-kezelővel végzett műveletei során kihasználható-e a PostgreSQL sajátosságaihoz kapcsolódó SQL-befecskendezési sérülékenység.
Microsoft Access-specifikus SQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás Microsoft Access adatbázissal végzett műveletei során kihasználható-e a Microsoft Access sajátosságaihoz kapcsolódó SQL-befecskendezési sérülékenység.
NoSQL-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás NoSQL adatbázissal végzett műveletei során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
ORM-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás ORM-alapú adatbázis hozzáférése során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
LDAP-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás LDAP-műveletei során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
XML-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás XML-dokumentumainak feldolgozása során kihasználható-e a felhasználói bemenetek nem megfelelő kezeléséből vagy az XML-feldolgozó nem biztonságos konfigurációjából eredő sérülékenység.
SSI-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás SSI-direktíváinak feldolgozása során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
XPath-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás XPath-lekérdezéseinek feldolgozása során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
IMAP/SMTP-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás IMAP- és SMTP-kommunikációja során kihasználható-e a felhasználói bemenetek nem megfelelő kezelése miatt kialakuló befecskendezési sérülékenység.
Kód-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás által kezelt felhasználói bemenetek nem megfelelő feldolgozása lehetővé teszi-e kártékony kód szerveroldali végrehajtását.
Fájlbeszúrás vizsgálata
Annak vizsgálata, hogy a webalkalmazás a felhasználói bemenetek nem megfelelő kezelése miatt lehetővé teszi-e helyi vagy távoli fájlok jogosulatlan betöltését és feldolgozását.
Parancs-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás által kezelt felhasználói bemenetek nem megfelelő feldolgozása lehetővé teszi-e tetszőleges operációsrendszer-parancsok végrehajtását a webszerveren.
Formázó karakter befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás által kezelt felhasználói bemenetek nem megfelelő feldolgozása lehetővé teszi-e formázókarakter-befecskendezési sérülékenység kihasználását.
Lappangó sérülékenység vizsgálata
Annak vizsgálata, hogy a webalkalmazásban eltárolt, később előhívott vagy feldolgozott adatok felhasználásával kihasználható-e olyan sérülékenység, amely korábban került a rendszerbe.
HTTP Response Splitting vizsgálata
Annak vizsgálata, hogy a webalkalmazás által kezelt felhasználói bemenetek a szerverválaszokba történő nem megfelelő beillesztése lehetővé teszi-e a válaszok manipulálását vagy további HTTP-válaszok előállítását.
HTTP Request Smuggling vizsgálata
Annak vizsgálata, hogy a webalkalmazás a HTTP-kérések nem megfelelő feldolgozása miatt lehetővé teszi-e rejtett HTTP-kérések becsempészését és azok nem kívánt feldolgozását.
Host fejléc-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás a Host és a kapcsolódó HTTP-fejlécek értékeinek nem megfelelő ellenőrzése miatt lehetővé teszi-e a kérések nem kívánt átirányítását, a gyorsítótár-mérgezést vagy a jelszó-visszaállítási folyamatok manipulálását.
Szerveroldali sablon-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás a felhasználói bemenetek sablonokba történő nem megfelelő beillesztése miatt lehetővé teszi-e sablon kifejezések vagy utasítások szerveroldali értelmezését és végrehajtását.
Szerveroldali kérés hamisítás vizsgálata
Annak vizsgálata, hogy a webalkalmazás a felhasználói bemenetek nem megfelelő kezelése miatt lehetővé teszi-e a szerver által kezdeményezett, belső vagy külső erőforrásokhoz irányuló jogosulatlan kérések indítását.
Mass Assignment vizsgálata
Annak vizsgálata, hogy a webalkalmazás a felhasználói bemenetek objektumattribútumokhoz történő nem megfelelő hozzárendelése miatt lehetővé teszi-e a felhasználó által nem módosítható attribútumok értékének megváltoztatását.
CSV-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás által exportált CSV fájlokba bekerülő, nem megfelelően kezelt felhasználói bemenetek lehetővé teszik-e olyan értékek beszúrását, amelyeket a táblázatkezelő alkalmazások képletként értelmeznek és végrehajtanak.
Prototype Pollution vizsgálata
Annak vizsgálata, hogy a webalkalmazás a felhasználói bemenetek nem megfelelő kezelése miatt lehetővé teszi-e az objektum prototípusok jogosulatlan módosítását és ezáltal a rendszer működésének nem kívánt befolyásolását.
Insecure Deserialization vizsgálata
Annak vizsgálata, hogy a webalkalmazás a szerializált adatok nem megfelelő ellenőrzése és deszerializációja miatt lehetővé teszi-e a rendszer működésének manipulálását vagy nem kívánt műveletek végrehajtását.
Hibaüzenetek és hibaállapotok kezelésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás miként kezeli a felmerülő hibaüzeneteket és hibaállapotokat.
Gyenge SSL/TLS konfiguráció vizsgálata
Annak vizsgálata, hogy a webalkalmazás SSL/TLS protokolljai, titkosítási algoritmusai és kapcsolódó kriptográfiai paraméterei megfelelnek-e az aktuális biztonsági követelményeknek.
Padding Oracle vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően védett-e a Padding Oracle technikák használatával szemben.
Nyílt csatorna feletti érzékeny adattovábbítás vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően konfigurált és titkosított hálózati csatornát használ-e az adatainak továbbítására.
Gyenge titkosítás vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően biztonságos kriptográfiai algoritmusokat használ-e.
Üzleti logikai adatvalidáció vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően érvényesíti-e az üzleti logikához kapcsolódó adatellenőrzési szabályokat.
Kérések hamisíthatóságának vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően kezeli-e a módosított vagy hamisított kéréseket, illetve megakadályozza-e azok jogosulatlan felhasználását.
Integritás tesztek vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően kezeli-e a rejtett vagy nem szerkeszthető mezők és paraméterek adatait.
Folyamatidőzítések vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően védett-e a rendszerfolyamatok és a HTTP kérések válaszidejére vonatkozó rendszerhibákkal szemben.
Folyamat többszöri felhasználhatóságának vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően korlátozza-e a folyamatainak többszörös felhasználhatóságát.
Munkafolyamatok kijátszásának vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően szabályozza-e a munkafolyamatainak szabályos végrehajtódásától való eltérést.
Alkalmazással való visszaélés elleni védelem vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően védett-e a funkcióinak rendeltetésszerűtől eltérő használatával szemben.
Nem engedélyezett fájltípusok feltöltésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás megakadályozza-e a nem engedélyezett, váratlan vagy manipulált fájlok feltöltését és feldolgozását.
Kártékony fájlok feltöltésének vizsgálata
Annak vizsgálata, hogy a webalkalmazás megakadályozza-e a kártékony vagy végrehajtható fájlok feltöltését és feldolgozását.
Fizetési funkciók vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően kezeli-e a fizetési folyamatokat, illetve megakadályozza-e azok jogosulatlan manipulálását.
DOM-Based Cross Site Scripting vizsgálata
Annak vizsgálata, hogy a webalkalmazás Document Object Model struktúrájába lehetséges-e ideiglenesen kártékony, kliensoldali kódot juttatni.
JavaScript kódfuttatás vizsgálata
Annak vizsgálata, hogy a webalkalmazás JavaScript állományainak felületébe lehetséges-e ideiglenesen kártékony, kliensoldali kódot juttatni.
HTML befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás felületébe lehetséges-e tetszőleges kliensoldali HTML kódokat juttatni.
Kliensoldali URL átirányítás vizsgálata
Annak vizsgálata, hogy a webalkalmazás felhasználói átirányíthatók-e külső URL címekre.
CSS-befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás felületébe lehetséges-e tetszőleges kliensoldali CSS kódokat juttatni.
Kliensoldali erőforrás-manipuláció vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően kezeli-e a kliensoldali erőforrások hivatkozásainak módosítását, illetve megakadályozza-e azok jogosulatlan manipulálását.
Cross Origin Resource Sharing vizsgálata
Annak vizsgálata, hogy a webalkalmazás tetszőleges domain címeket is elfogad-e, mint HTTP kérést indító weboldal.
Cross Site Flashing vizsgálata
Annak vizsgálata, hogy a webalkalmazás felületébe lehetséges-e tetszőleges ActionScript kódokat juttatni.
Clickjacking vizsgálata
Annak vizsgálata, hogy a webalkalmazás felülete beágyazható-e egy másik rendszer weboldalába.
WebSocketek vizsgálata
Annak vizsgálata, hogy a webalkalmazás WebSocket protokolt használó funkciói megfelelően biztonságos mechanizmusokkal rendelkeznek-e.
Web Messaging vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően ellenőrzi-e a Web Messaging mechanizmuson keresztül érkező üzenetek forrását és tartalmát.
Böngésző tárolók vizsgálata
Annak vizsgálata, hogy a webalkalmazás biztonságosan kezeli-e a böngészőben tárolt adatokat.
Cross Site Script Inclusion vizsgálata
Annak vizsgálata, hogy a webalkalmazásba bejelentkezett felhasználók nevében és jogosultságaival, de tudtuk és szándékuk nélkül, valamely szoftverkomponens képes-e adatokat kinyerni a rendszerből.
Reverse Tabnabbing vizsgálata
Annak vizsgálata, hogy a webalkalmazás nem megfelelően konfigurált linkjeivel megnyitott új ablakokat manipulálva, van-e lehetőség phising weboldalakra való átirányításra.
Kliensoldali sablon befecskendezés vizsgálata
Annak vizsgálata, hogy a webalkalmazás megfelelően védett-e a kliensoldali sablonokba való befecskendezéses technikák használatával szemben.
API információk felderítése
Annak vizsgálata, hogy a webalkalmazás API végpontjaival, funkcióival és működésével kapcsolatban milyen információk tárhatók fel.
API objektum szintű jogosultságkezelés vizsgálata
Annak vizsgálata, hogy a webalkalmazás API végpontjai megakadályozzák-e a más felhasználókhoz vagy erőforrásokhoz tartozó objektumok jogosulatlan elérését.
API túlzott adatkitettség vizsgálata
Annak vizsgálata, hogy a webalkalmazás API végpontjai a működéshez szükségesnél több adatot szolgáltatnak-e vissza.
API jogosulatlan funkcióelérés vizsgálata
Annak vizsgálata, hogy a webalkalmazás API végpontjai megfelelően korlátozzák-e a felhasználók hozzáférését a jogosultsági szintjüknek nem megfelelő funkciókhoz.
GraphQL vizsgálata
Annak vizsgálata, hogy a webalkalmazás GraphQL API funkciói megfelelően kezelik-e a hozzáférés-szabályozást, a lekérdezések korlátozását és a bemeneti adatok ellenőrzését.
SQL Wildcard támadás vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e SQL adatbázisok helyettesítő karaktereit tartalmazó lekérdezésekkel való CPU, valamint az adatfeldolgozás terhelés következtében történő rendszerleállás.
Felhasználói fiókok zárolásának vizsgálata
Annak vizsgálata, hogy a webalkalmazásból ki lehet-e zárni úgy a felhasználókat, hogy ennek hatására ne tudjanak bejelentkezni.
Buffer túlcsordulás vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e adatstruktúrák kérelmekkel való „csordultig” töltése következtében rendszerleállás.
Felhasználó általi objektum létrehozás vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e a nem megfelelően korlátozott felhasználói bemenet alapján létrehozott objektumok következtében erőforrás-kimerítés.
Felhasználói bemenet ciklusvezérlésének vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e nagy számítást igénylő ciklusok vagy iterációk végrehajtódásából eredő rendszerleállás.
Felhasználók által generált adatok tárolásának vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e nagy mennyiségű műveletből generált adatokkal történő rendszerleállás.
Erőforrás-felszabadítás hibáinak vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e a nem megfelelően felszabadított erőforrások és objektumok következtében erőforrás-kimerülés.
Munkamenet túlterhelés vizsgálata
Annak vizsgálata, hogy a webalkalmazásban előidézhető-e nagy mennyiségű adatokkal való feladat-végrehajtás következtében történő rendszerleállás.
Nincs találat erre a keresésre vagy szűrésre.
A módszertan PDF-ben
Webalkalmazás vizsgálati módszertan