Доклад Станислава Еремина на конференции loveqa....
DESCRIPTION
Презентация с первой конференции Badoo для тестировщиков LoveQA.TRANSCRIPT
![Page 1: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/1.jpg)
Системы обнаружения уязвимостей в web
приложении на примере Badoo
Еремин Станислав, Badoo Development
![Page 2: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/2.jpg)
Безопасность? Зачем?
![Page 3: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/3.jpg)
Ручное тестирование
- данные от пользователя
- негативный сценарий
- code review
![Page 4: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/4.jpg)
Глобальные проекты
- Internal security
- php-fpm
- AntiCSRF
- AntiXSS
![Page 5: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/5.jpg)
Автоматическое тестирование
- Selenium
- сканеры уязвимостей
![Page 6: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/6.jpg)
Сканеры уязвимостей и алгоритмы их работы
1) создаем дерево сайта
2) вычленяем параметры
3) добавляем к ним шаблоны
4) проверяем по базе
![Page 7: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/7.jpg)
Настройка окружения
![Page 8: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/8.jpg)
XSS (Cross Site Scripting)http://somesite.com/test.php?title=MyTitle<?phpecho “<title>” . $_GET[“title”] . “</title>”;?>
<title><script>alert(1);</script></title>
<title><script>alert(1);</script></title>
![Page 9: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/9.jpg)
<title></title><script>alert(1);</script></title>
![Page 10: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/10.jpg)
SQL injectionhttp://somesite.com/index.php?id=1
…db->query(“select * from table where id = “ . $_GET[‘id’]);
...
- спецсимволы: ‘ , “ , \ …- логические запросы:
… and 1=1 TRUE… and 1=2 FALSE
![Page 11: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/11.jpg)
Сканеры
![Page 12: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/12.jpg)
skipfish
ПЛЮСЫ МИНУСЫ
подробное дерево проекта
долго работает
простота использования слабый анализатор js
много настроек много ложных срабатываний
![Page 13: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/13.jpg)
Nikto
ПЛЮСЫ МИНУСЫ
база стандартных файлов и путей
много ложных срабатываний
быстро работает нет анализатора js
узкая специализация узкая специализация
![Page 14: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/14.jpg)
ПЛЮСЫ МИНУСЫ
основа для вашего сканера
сложный в освоении
много готовых плагинов
подробные описания дефолтных багов
![Page 15: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/15.jpg)
ПЛЮСЫ МИНУСЫ
многофункциональность цена
мало ложных срабатываний
неизвестные алгоритмы
умный анализатор js
![Page 16: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/16.jpg)
Таблица сравнения
Цена Функционал Правильность срабатываний
Удобство использования
skipfish free простые уязвимости, дерево
много ложных срабатываний
практичесик автономен в работе
nikto/wikto free сканер директорий и файлов
сильно зависит от факторов настройки
мало настроек, основы
Acunetix $1000-$10000+ free trial
выгуливает собаку 99%
мало офф документации
w3af free фреймворк 50/50 Свои .py скрипты
![Page 17: Доклад Станислава Еремина на конференции LoveQA. "Системы обнаружения уязвимостей в веб приложении на](https://reader035.vdocuments.site/reader035/viewer/2022081719/557cf842d8b42a071b8b49e7/html5/thumbnails/17.jpg)
1. проверяй уязвимости руками!
2. учись сам находить, анализировать и использовать их!
3. знай узкие места в своем приложении!
4. понимай значение сканеров!