Abbiamo trattato un'introduzione alle applicazioni web e come è possibile accedervi. Abbiamo anche trattato i tipi di vulnerabilità della sicurezza delle applicazioni web, inclusa la top 10 di OWASP. Le top 10 di OWASP sono le vulnerabilità delle applicazioni web più comuni che possono essere trovate e rilevate nelle applicazioni web. Infine, abbiamo dimostrato uno scenario pratico di vulnerabilità IDOR o di riferimento diretto a oggetti non sicuri, classificata come vulnerabilità del controllo di accesso interrotto secondo la top 10 di OWASP. Questo faceva parte di TryHackMe Introduzione alla sicurezza delle applicazioni web camera.

Ottieni le note del Blue Team

Esistono alcune categorie principali di attacchi comuni contro le applicazioni web. Considera i passaggi seguenti e gli attacchi correlati.

  • Accedi al sito web: l'aggressore può provare a scoprire la password provando molte parole. L'aggressore utilizzerebbe un lungo elenco di password con uno strumento automatizzato per testarle rispetto alla pagina di accesso.
  • Ricerca del prodotto: l'aggressore può tentare di violare il sistema aggiungendo caratteri e codici specifici al termine di ricerca. L'obiettivo dell'aggressore è che il sistema bersaglio restituisca dati che non dovrebbe o esegua un programma che non dovrebbe.
  • Fornire i dettagli di pagamento: l'aggressore controllerà se i dettagli di pagamento vengono inviati in chiaro o utilizzando una crittografia debole. La crittografia si riferisce al rendere i dati illeggibili senza conoscere la chiave segreta o la password.

Controllo degli accessi interrotto

Il controllo degli accessi garantisce che ogni utente possa accedere solo ai file (documenti, immagini, ecc.) relativi al proprio ruolo o lavoro. Ad esempio, non vuoi che qualcuno nel reparto marketing acceda (legga) i documenti del reparto finanziario. Esempi di vulnerabilità relative al controllo degli accessi includono:

  • Mancata candidatura il principio del minimo privilegio e fornire agli utenti più autorizzazioni di accesso del necessario. Ad esempio, un cliente online dovrebbe essere in grado di visualizzare i prezzi degli articoli, ma non dovrebbe essere in grado di modificarli.
  • Essere in grado di visualizzare o modificare l'account di qualcun altro utilizzando il suo identificatore univoco. Ad esempio, non vuoi che un cliente della banca possa visualizzare le transazioni di un altro cliente.
  • Essere in grado di navigare in pagine che richiedono l'autenticazione (accesso) come utente non autenticato. Ad esempio, non possiamo consentire a nessuno di visualizzare la webmail prima di aver effettuato l'accesso.

Iniezione

Un attacco injection si riferisce a una vulnerabilità nell'applicazione web in cui l'utente può inserire codice dannoso come parte del proprio input. Una delle cause di questa vulnerabilità è la mancanza di un'adeguata convalida e sanificazione dell'input dell'utente.

Errore di identificazione e autenticazione

L'identificazione si riferisce alla capacità di identificare un utente in modo univoco. Al contrario, l’autenticazione si riferisce alla capacità di dimostrare che l’utente è chi afferma di essere. Il negozio online deve confermare l'identità dell'utente e autenticarlo prima che possa utilizzare il sistema. Tuttavia, questo passaggio è soggetto a diversi tipi di punti deboli. I punti deboli di esempio includono:

  • Consentire all'aggressore di utilizzare la forza bruta, ovvero di provare molte password, in genere utilizzando strumenti automatizzati, per trovare credenziali di accesso valide.
  • Consentire all'utente di scegliere una password debole. Una password debole è solitamente facile da indovinare.
  • Memorizzazione delle password degli utenti in testo semplice. Se l'aggressore riesce a leggere il file contenente le password, non vogliamo che possa venire a conoscenza della password memorizzata.

Risposte in camera

Hai scoperto che la pagina di accesso consente un numero illimitato di tentativi di accesso senza cercare di rallentare l'utente o bloccare l'account. Qual è la categoria di questo rischio per la sicurezza?

Hai notato che il nome utente e la password vengono inviati in chiaro senza crittografia. Qual è la categoria di questo rischio per la sicurezza?

Controlla gli altri utenti per scoprire quale account utente è stato utilizzato per apportare modifiche dannose e annullarle. Dopo aver annullato le modifiche, qual è il flag che hai ricevuto?

Videoprocedura dettagliata

Circa l'autore

Creo note sulla sicurezza informatica, note di marketing digitale e corsi online. Fornisco anche consulenza di marketing digitale, inclusi ma non limitati a SEO, annunci Google e Meta e amministrazione CRM.

Visualizza articoli