EITC/IS/WAPT Bernameya Sertîfîkaya IT a Ewropî ya li ser aliyên teorî û pratîkî yên ceribandina ketina sepana tevneyê (hakkirina spî), di nav de teknîkên cihêreng ên ji bo malperên spidering, şopandin û teknîkên êrîşê, di nav de amûrên ceribandina penetasyonê yên pispor û suite, ye. .
Bernameya perwerdehiyê ya Tehlîlkirina Pevçûnê ya Serlêdanên Malê EITC/IS/WAPT danasîna Burp Suite, web spridering û DVWA, ceribandina hêza hov bi Burp Suite, vedîtina dîwarê serîlêdana webê (WAF) bi WAFW00F, qada armanc û spidering, vedîtina pelên veşartî bi ZAP, şopandina lawaziya WordPress û jimartina navê bikarhêner, şopandina balansa barkirinê, nivîsandina navmalperê, XSS - xuyang kirin, hilanîn û DOM, êrişên proxy, mîhengkirina proxy di ZAP-ê de, êrişên pel û peldankan, vedîtina pel û pelrêça bi DirBuster, pratîka êrişên malperê , OWASP Juice Shop, CSRF - Xaça Daxwaza Malperê Forger, berhevkirina cookie û endezyariya berevajî, Taybetmendiyên HTTP - dizîna cookie, derziya SQL, DotDotPwn - fuzzkirina geroka pelrêça, derziya iframe û derziya HTML, îstismarkirina Heartbleed - vedîtin, vedîtin,Plo bWAPP - Derzkirina HTML-ê, POST-ya xuyangkirî, derzîlêdana fermana OS-ê bi Commix-ê re, derzîlêdana SSI-yê ji hêla serverê ve tê de, di Docker, OverTheWire de ceribandin. Natas, LFI û derziya fermanê, Google hacking ji bo pentesting, Google Dorks Ji bo ceribandina penetasyonê, Apache2 ModSecurity, û her weha Nginx ModSecurity, di nav avahiya jêrîn de, naveroka dîdaktîk a vîdyoyê ya berfireh wekî referans ji bo vê Sertîfîkaya EITC vedihewîne.
Ewlekariya serîlêdana malperê (bi gelemperî wekî Web AppSec tê binav kirin) têgîna sêwirana malperan e ku bi rengek normal tevbigerin dema ku êrîş dibin jî. Têgîn komek tedbîrên ewlehiyê di serîlêdanek Webê de yek dike da ku malên xwe ji ajanên dijmin biparêze. Serlêdanên Webê, mîna hemî nermalavê, berbi xeletiyan in. Hin ji van kêmasiyan qelsiyên rastîn in ku dikarin werin bikar anîn, ji bo karsaziyan xetereyek çêdikin. Kêmasiyên weha bi ewlehiya serîlêdana webê ve têne parastin. Ew bi karanîna nêzîkatiyên pêşkeftina ewledar û danîna kontrolên ewlehiyê li seranserê çerxa jiyanê ya pêşkeftina nermalavê (SDLC) vedihewîne, dabîn dike ku xeletiyên sêwiranê û pirsgirêkên pêkanînê têne çareser kirin. Testkirina ketina serhêl, ya ku ji hêla pisporên ku armanc dikin ku qelsiyên serîlêdana malperê bi karanîna bi navê nêzîkatiya hackinga spî vebikin û bi kar bînin, tête kirin, ji bo ku berevaniya guncan bikar bîne, pratîkek bingehîn e.
Testek pêketina tevneyê, ku wekî ceribandinek pênûsa tevneyê jî tê zanîn, êrişek sîber li ser serîlêdanek malperê simul dike da ku xeletiyên îstismarker bibîne. Testkirina penetrasyonê bi gelemperî tête bikar anîn ku di çarçoveya ewlehiya serîlêdana webê (WAF) de fîşekek serîlêdana webê zêde bike. Testkirina pênûsê, bi gelemperî, hewil dide ku bikeve her hejmarek pergalên serîlêdanê (mînak, API, pêşkêşkerên pêşîn/paşîn) ji bo dîtina qelsiyan, wek têketinên nepaqijkirî yên ku ji êrîşên derzîlêdana kodê re xeternak in.
Encamên testa pevketina serhêl dikare were bikar anîn da ku polîtîkayên ewlehiyê yên WAF-ê mîheng bike û qelsiyên kifşkirî çareser bike.
Testkirina penetrasyonê pênc gav hene.
Pêvajoya ceribandina pênûsê li pênc gavan tê dabeş kirin.
- Plankirin û şopandin
Diyarkirina çarçove û armancên ceribandinek, di nav de pergalên ku bêne çareser kirin û metodolojiyên ceribandinê yên ku têne bikar anîn, qonaxa yekem e.
Ji bo ku hûn fêm bikin ka armancek çawa dixebite û qelsiyên wê yên potansiyel, îstîxbaratê berhev bikin (mînak, navên torê û domainê, servera posteyê). - Danasîn
Qonaxa paşîn ev e ku meriv fêhm bike ka dê serîlêdana armanc çawa bertek nîşanî cûrbecûr hewildanên destwerdanê bide. Ev bi gelemperî bi karanîna rêbazên jêrîn pêk tê:
Analîziya statîk - Vekolîna koda serîlêdanê ji bo pêşbînîkirin ka ew ê çawa tevbigere dema ku were xebitandin. Di yek derbasbûnê de, van amûran dikarin tevahî kodê bişopînin.
Analîza dînamîk pêvajoya vekolîna koda serîlêdanê dema ku ew dixebite ye. Ev rêbaza şopandinê pratîktir e ji ber ku ew dîmenek rast a performansa serîlêdanê peyda dike. - Gihîştina gihîştinê
Ji bo dîtina qelsiyên armancê, ev gav êrişên serîlêdana malperê yên wekî nivîsandina xaçe-malperê, derziya SQL, û deriyên paşde bikar tîne. Ji bo têgihîştina zirara ku dibe ku van qelsiyan bixin, ceribandiner hewl didin ku wan bi zêdekirina îmtiyazan, dizîna daneyan, astengkirina seyrûseferê, û hwd. - Keeping access
Mebesta vê qonaxê ev e ku meriv binirxîne ka xirav dikare were bikar anîn da ku di pergala lihevhatî de hebûna dirêj-dem-dirêj ava bike, ku rê bide aktorek xirab ku bigihîje kûr. Armanc ew e ku tehdîdên domdar ên pêşkeftî teqlîd bikin, ku dikarin bi mehan di pergalê de bimînin da ku agahdariya herî hesas a pargîdaniyek dizînin. - Lêkolîne
Dûv re encamên testa penetasyonê di raporek ku tê de agahdariya wekî:
Qelsiyên ku bi berfirehî hatin îstismar kirin
Daneyên ku hatin bidestxistin hesas bûn
Demjimêra ku ceribandina pênûsê karîbû di pergalê de ji nedîtî ve bimîne.
Pisporên ewlehiyê van daneyan bikar tînin da ku arîkariya mîhengên WAF-ê yên pargîdaniyek û çareseriyên ewlehiyê yên serîlêdanê yên din bikin da ku qelsiyan bişkînin û pêşî li êrişên din bigirin.
Rêbazên ceribandina penetrasyonê
- Testkirina ketina derveyî balê dikişîne ser hebûnên pargîdaniyek ku li ser înternetê têne xuyang kirin, wekî serîlêdana webê bixwe, malpera pargîdaniyê, û her weha serverên navên e-name û domainê (DNS). Armanc bidestxistin û derxistina agahdariya kêrhatî ye.
- Testkirina hundurîn tê vê wateyê ku ceribandinek ku bigihîje serîlêdanek li pişt dîwarê pargîdanek ku êrişek hundurîn a dijminane simule dike. Ev ne hewce ye ku simulasyonek karmendek xapînok. Karmendek ku pêbaweriyên wî di encama hewildanek fîşekirinê de hatine bidestxistin xalek destpêkek hevpar e.
- Testkirina kor dema ku ceribandinek bi tenê navê pargîdaniya ku tê ceribandin tê peyda kirin. Ev dihêle pisporên ewlehiyê bibînin ka êrişek serîlêdanê ya rastîn çawa dibe ku di demek rast de bilîze.
- Testkirina du-kor: Di ceribandinek du-kor de, pisporên ewlehiyê berê ji êrîşa simulasyonê nizanin. Ew ê wextê wan tune ku li ber hewildanek têkçûnek kelehên xwe biparêzin, mîna di cîhana rastîn de.
- Testkirina armanckirî - di vê senaryoyê de, ceribandin û xebatkarên ewlehiyê hevkariyê dikin û tevgerên hevûdu diparêzin. Ev xebatek perwerdehiyê ya hêja ye ku ji perspektîfa hackerek bertekek rast-dem dide tîmek ewlehiyê.
Firewallên serîlêdana malperê û ceribandina penetkirinê
Testkirina penetrasyonê û WAFs du teknîkên ewlehiyê yên cihê lê temamker in. Tester îhtîmal e ku daneyên WAF-ê, wek têketin, bikar bîne da ku di gelek celeb ceribandinên pênûsê de deverên qels ên serîlêdanê bibîne û bi kar bîne (ji bilî ceribandinên kor û du-kor).
Di encamê de, daneyên ceribandina pênûsê dikare alîkariya rêvebirên WAF bike. Piştî qedandina ceribandinek, mîhengên WAF dikarin werin guheztin da ku li hember xeletiyên ku di dema ceribandinê de hatine tespît kirin biparêzin.
Di dawiyê de, ceribandina pênûsê hin hewcedariyên lihevhatinê yên rêbazên kontrolkirina ewlehiyê têr dike, wek PCI DSS û SOC 2. Hin hewcedarî, wekî PCI-DSS 6.6, tenê dikarin werin bicîh kirin ku WAF-ya pejirandî were bikar anîn. Lêbelê, ji ber feydeyên jorîn û potansiyela guheztina mîhengên WAF-ê, ev ceribandina pênûsê kêmtir kêrhatî nake.
Girîngiya ceribandina ewlehiya malperê çi ye?
Armanca ceribandina ewlehiya malperê ew e ku kêmasiyên ewlehiyê yên di serîlêdanên Webê de û sazkirina wan nas bike. Parçeya serîlêdanê armanca bingehîn e (ango, ya ku li ser protokola HTTP-ê dimeşîne). Şandina formên cihêreng ên têketinê ji serîlêdanek Webê re da ku pirsgirêkan derxîne û pergalê bi awayên nediyar bersiv bide nêzîkatiyek hevpar e ku ewlehiya wê ceribandine. Van "ceribandinên neyînî" dinihêrin ku bibînin ka pergal tiştek ku ne mebesta wî bû dike.
Di heman demê de pir girîng e ku meriv zanibe ku ceribandina ewlehiya Webê ji tenê verastkirina taybetmendiyên ewlehiyê yên serîlêdanê (wek erêkirin û destûrname) wêdetir hewce dike. Di heman demê de girîng e ku meriv pê ewle bibe ku taybetmendiyên din bi ewlehî têne bicîh kirin (mînak, mantiqa karsaziyê û karanîna rastrastkirina têketinê û kodkirina derketinê ya rast). Armanc ew e ku meriv pê ewle bibe ku fonksiyonên serîlêdana Webê ewle ne.
Gelek celebên nirxandinên ewlehiyê çi ne?
- Ji bo Ewlekariya Serlêdana Dînamîk (DAST) ceribandin. Vê ceribandina ewlehiya serîlêdanê ya otomatîkî ji bo sepanên kêm-rîsk, rûbirû yên hundurîn ên ku divê hewcedariyên ewlehiyê yên birêkûpêk bicîh bînin çêtirîn e. Yekkirina DAST-ê bi hin ceribandinên ewlehiya serhêl ên destan re ji bo qelsiyên hevpar stratejiya çêtirîn e ji bo serîlêdanên xetereya navîn û serîlêdanên girîng ên ku di bin guhartinên piçûk de ne.
- Kontrola Ewlekariyê ji bo Serlêdanên Statîk (SAST). Ev stratejiya ewlehiyê ya serîlêdanê hem rêbazên ceribandina otomatîkî û hem jî manual pêk tîne. Ew îdeal e ji bo tespîtkirina xeletiyan bêyî ku meriv sepanan di hawîrdorek zindî de bimeşîne. Di heman demê de ew rê dide endezyaran ku koda çavkaniyê bişopînin da ku xeletiyên ewlehiya nermalavê bi rengek rêkûpêk bibînin û rast bikin.
- Lêkolîna Penetration. Vê ceribandina ewlehiya serîlêdana destan ji bo serîlêdanên bingehîn, nemaze yên ku di bin guhartinên girîng de ne, îdeal e. Ji bo dîtina senaryoyên êrîşê yên pêşkeftî, nirxandin mantiqa karsaziyê û ceribandina dijber-based bikar tîne.
- Serlêdana Xwe-parastinê di dema xebitandinê de (RASP). Ev rêbaza ewlehiya serîlêdanê ya mezin di nav xwe de cûrbecûr teknîkên teknolojiyê vedihewîne da ku serîlêdanek saz bike da ku tehdîd bêne temaşe kirin û, hêvîdarim, di wextê rast de gava ku ew diqewimin werin asteng kirin.
Di kêmkirina xetereya pargîdaniyê de ceribandina ewlehiya serîlêdanê çi rola dilîze?
Piraniya êrîşên li ser sepanên webê ev in:
- Injection SQL
- XSS (Nivîskirina Malpera Xaçerê)
- Pêkanîna Fermandariya Dûr
- Path Traversal Attack
- Gihîştina naverokê sînorkirî
- Hesabên bikarhêner ên lihevhatî
- Sazkirina koda xerab
- Dahata firotanê winda kir
- Baweriya xerîdaran têk diçe
- Navûdengê brandê zirarê dike
- Û gelek êrîşên din
Di hawîrdora Înternetê ya îroyîn de, dibe ku serîlêdanek Web ji hêla cûrbecûr dijwariyan ve zirarê bibîne. Grafika li jor çend êrîşên herî gelemperî yên ku ji hêla êrîşkaran ve têne kirin destnîşan dike, ku her yek dikare zirarek girîng bide serîlêdanek kesane an tevahî karsaziyek. Naskirina gelek êrîşan ku serîlêdanek bêhêz dike, û her weha encamên gengaz ên êrîşek, dihêle ku pargîdanî berî wextê qelsiyan çareser bike û bi bandor ji bo wan ceribandin.
Kontrolên sivikkirî dikarin li seranserê qonaxên destpêkê yên SDLC werin saz kirin da ku bi destnîşankirina sedema bingehîn a xizaniyê pêşî li her pirsgirêkê bigirin. Di dema ceribandinek ewlehiya serîlêdana Webê de, zanîna ka van tehdîdan çawa dixebitin jî dikare were bikar anîn da ku cîhên balkêş ên naskirî bike armanc.
Naskirina bandora êrîşek ji bo birêvebirina xetereya pargîdanî jî girîng e, ji ber ku bandorên êrîşek serketî dikare were bikar anîn da ku bi tevahî giraniya qelsbûnê diyar bike. Ger qelsî di dema ceribandinek ewlehiyê de bêne kifş kirin, destnîşankirina giraniya wan dihêle ku pargîdanî pêşî li hewildanên çareserkirinê bi bandortir bigire. Ji bo kêmkirina metirsiya li ser pargîdaniyê, bi pirsgirêkên giran ên krîtîk re dest pê bikin û riya xwe bidin ber bandorên kêm.
Berî ku hûn pirsgirêkek nas bikin, nirxandina bandora gengaz a her bernameyê di pirtûkxaneya serîlêdanê ya pargîdaniyê de dê ji we re bibe alîkar ku hûn pêşî li ceribandina ewlehiya serîlêdanê bigirin. Testkirina ewlehiyê ya Wenb dikare were plansaz kirin ku pêşî serîlêdanên krîtîk ên pargîdaniyê bike armanc, digel ceribandinên bêtir armancdar da ku xetera li hember karsaziyê kêm bike. Digel navnîşek sazkirî ya serîlêdanên profîla bilind, ceribandina ewlehiyê ya wenb dikare were plansaz kirin ku pêşî serîlêdanên krîtîk ên pargîdaniyê bike armanc, digel ceribandinên bêtir armancdar da ku xetera li hember karsaziyê kêm bike.
Di dema ceribandinek ewlehiya serîlêdana webê de, divê kîjan taybetmendî bêne lêkolîn kirin?
Di dema ceribandina ewlehiya serîlêdana Webê de, navnîşa ne-tevgerî ya taybetmendiyên jêrîn binihêrin. Pêkanîna bêbandor a her yekê dikare bibe sedema qelsiyan, ku pargîdanî bixe xeterê.
- Veavakirina serîlêdanê û serverê. Sazkirinên şîfrekirin/şîfrekirin, veavakirina servera Webê, û hwd hemî mînakên xeletiyên potansiyel in.
- Verastkirina têketin û hilanîna çewtiyê Pêvajoya kêmderketina ketin û derketinê dibe sedema derziya SQL, nivîsandina navmalperê (XSS), û pirsgirêkên din ên derzîlêdanê yên tîpîk.
- Rastandin û domandina danişînan. Qelsiyên ku dikarin bibin sedema nepeniya bikarhêner. Divê hêz û parastina pêbaweriyê jî li ber çavan bê girtin.
- Wekîlkirinî. Kapasîteya serîlêdanê ya ji bo parastina li hember zêdekirina îmtiyazên vertîkal û horizontî tê ceribandin.
- Mantiq di karsaziyê de. Pir bernameyên ku fonksiyona karsaziyê peyda dikin li ser vana girêdayî ne.
- Mantiq li ser dawiya xerîdar. Ev celeb taybetmendî bi malperên nûjen, JavaScript-giran, û hem jî malperên ku celebên din ên teknolojiyên xerîdar bikar tînin (mînak, Silverlight, Flash, sepanên Java) re berbelavtir dibe.
Ji bo ku hûn xwe bi hûrgulî bi bernameya sertîfîkayê re nas bikin, hûn dikarin tabloya jêrîn berfireh bikin û analîz bikin.
Bernameya Sertîfîkayê ya Ceribandina Pevçûnê ya Serlêdanên Webê ya EITC/IS/WAPT di formek vîdyoyê de materyalên dîdaktîk ên vekirî-gihiştî referans dike. Pêvajoya fêrbûnê di nav avahiyek gav-bi-gav (bername -> ders -> mijar) de tê dabeş kirin ku beşên dersa têkildar vedihewîne. Bi pisporên domainê re şêwirmendiya bêsînor jî tê peyda kirin.
Ji bo hûrguliyên li ser prosedûra Sertîfîkayê kontrol bikin Ku çawa dixebite.
Materyalên amadekariyê yên bêserûber ên xwe-hînbûnê yên ji bo Bernameya Testkirina Pêvekirina Serlêdanên Webê EITC/IS/WAPT di pelek PDF de dakêşin
Materyalên amadekar EITC/IS/WAPT - guhertoya standard
Materyalên amadekar EITC/IS/WAPT - guhertoya dirêjkirî bi pirsên vekolînê