Web Vulnerabilities Methodology
Katika kila Web Pentest, kuna sehemu nyingi zilizofichwa na wazi ambazo zinaweza kuwa na udhaifu. Chapisho hili linakusudia kuwa orodha ya kuangalia ili kuthibitisha kwamba umepitia udhaifu katika maeneo yote yanayowezekana.
Proxies
Siku hizi maombi ya mtandao kawaida yanatumia aina fulani ya proxies za kati, ambazo zinaweza (kutumika vibaya) kutekeleza udhaifu. Udhaifu huu unahitaji proxy yenye udhaifu kuwepo, lakini kawaida pia unahitaji udhaifu wa ziada kwenye backend.
Kuingiza kwa mtumiaji
Maombi mengi ya mtandao yatakubali watumiaji kuingiza data ambayo itashughulikiwa baadaye. Kulingana na muundo wa data ambayo server inatarajia, udhaifu fulani unaweza kutumika au kutoweza kutumika.
Thamani zilizorejelewa
Ikiwa data iliyowekwa inaweza kwa namna fulani kurejelewa katika jibu, ukurasa unaweza kuwa na udhaifu wa masuala kadhaa.
Baadhi ya udhaifu uliotajwa unahitaji hali maalum, wengine wanahitaji tu yaliyomo kuonyeshwa. Unaweza kupata polygloths za kuvutia za kujaribu haraka udhaifu katika:
Reflecting Techniques - PoCs and Polygloths CheatSheetKazi za kutafuta
Ikiwa kazi inaweza kutumika kutafuta aina fulani ya data ndani ya backend, labda unaweza (kutumika vibaya) kutafuta data isiyo ya kawaida.
Fomu, WebSockets na PostMsgs
Wakati websocket inachapisha ujumbe au fomu inayowaruhusu watumiaji kufanya vitendo, udhaifu unaweza kutokea.
HTTP Headers
Kulingana na vichwa vya HTTP vilivyotolewa na server ya mtandao, udhaifu fulani unaweza kuwepo.
Kupita
Kuna kazi kadhaa maalum ambapo njia mbadala zinaweza kuwa na manufaa kupita.
Vitu vilivyo na muundo / Kazi maalum
Baadhi ya kazi zitahitaji data kuwa na muundo maalum sana (kama vile kitu kilichosawazishwa au XML). Hivyo, ni rahisi kubaini ikiwa programu inaweza kuwa na udhaifu kwani inahitaji kushughulikia aina hiyo ya data. Baadhi ya kazi maalum pia zinaweza kuwa na udhaifu ikiwa muundo maalum wa kuingiza unatumika (kama vile Kuingiza Vichwa vya Barua pepe).
Faili
Kazi zinazoruhusu kupakia faili zinaweza kuwa na udhaifu wa masuala kadhaa. Kazi zinazozalisha faili ikiwa ni pamoja na kuingiza mtumiaji zinaweza kutekeleza msimbo usiotarajiwa. Watumiaji wanaofungua faili zilizopakiwa na watumiaji au zilizozalishwa kiotomatiki ikiwa ni pamoja na kuingiza mtumiaji wanaweza kuathirika.
Usimamizi wa Utambulisho wa Nje
Udhaifu Mwingine wa Msaada
Udhaifu huu unaweza kusaidia kutekeleza udhaifu mwingine.
Last updated
