Kiểm tra lỗi trên website của đơn vị
Website, cổng thông tin và API. Không làm ảnh hưởng tới website đang chạy
Kiểm tra những gì
Hình minh hoạ- Cấu trúc trangTự duyệt mọi trang, đường dẫn và ô nhập liệu
- Lỗi cấu hìnhThiếu thiết lập bảo mật, cookie chưa an toàn
- Lỗi dễ bị tấn côngThử các kiểu tấn công web phổ biến
- Tệp sao lưu bị lộTệp sao lưu, tệp cấu hình để công khai
- Trang quản trị bị lộTrang quản trị bị công khai trên mạng
- Phần sau đăng nhậpKiểm tra cả trang cần đăng nhập
Hai lớp kiểm tra
Đọc phản hồi của máy chủ rồi thử tấn công có kiểm soát
Cây trang
Lớp thụ động
Đọc phản hồi của máy chủ
- Thiếu tiêu đề bảo mật
- Cookie chưa an toàn
Lớp chủ động
Gửi yêu cầu thử vào ô nhập liệu
Phát hiện lỗiChèn lệnh SQL
- Vị trí
- Trang Tin tức, ô tìm kiếm
- Bằng chứng
- Máy chủ trả về thông báo lỗi cơ sở dữ liệu
- Cách sửa
- Dùng truy vấn có tham số cho ô này
Các kiểu tấn công được thử
- Chèn lệnh SQL (SQL Injection)
- Chèn mã vào trang (XSS)
- Chèn lệnh hệ thống (Command Injection)
- Truy cập trái phép thư mục (Directory Traversal)
Cách hoạt động
1
Cắm Mini-box và khai báo website
Website, cổng thông tin và API
2
Tự duyệt và kiểm thử
Duyệt toàn bộ trang và kiểm thử từng ô nhập liệu
3
Có danh sách lỗi
Kèm bằng chứng và cách sửa
Mỗi lỗi có vị trí, bằng chứng và cách sửa
- Chỉ đúng đường dẫn bị ảnh hưởng
- Kèm hướng dẫn khắc phục
- Theo dõi lịch sử lỗi của website qua các kỳ
Báo cáo kiểm traHình minh hoạ
Cổng thông tin của đơn vị
- Nguy hiểmChèn lệnh SQL ở ô tìm kiếm
- Nguy hiểmTrang quản trị bị lộ ra ngoài
- Cần xử lýThiếu tiêu đề bảo mật
- Cần xử lýCookie chưa an toàn