Даже далекие от тестирования безопасности тестировщики иногда сталкиваются с необходимостью проверить сайт на уязвимость к атакам типа Cross-Site Scripting, или XSS. Во время такой атаки на атакуемом сайте воспроизводится скрипт, который передает важные данные злоумышленнику или изменяет какие-то параметры на сайте. Теоретические основы работы с XSS уже рассматривались в одном из видео, а в этом ролике тренер Арсений Батыров на наглядном примере показывает, как выглядит XSS и как ее найти. Для наглядности был создан отдельный общедоступный сайт-песочница, и вы можете сами попробовать найти на нем подобные уязвимости.
А если вы хотите более подробно узнать про XSS и другие уязвимости — приходите на курс Тестирование безопасности, а кроме того у тренера этого курса Арсения Батырова намечаются акции в честь дня знаний.
Що вищий ваш персональний кредитний рейтинг, то більше шансів отримати кредит на вигідних умовах - на більший термін, на більшу суму, за нижчою ставкою. сумлінно їх гасив, показник його кредитного навантаження і деякі інші параметри.
Кожному позичальнику присвоюється свій "колір" рейтингу залежно від рівня кредитоспроможності. ПКР - від 1 до 596 балів червоний колір і найнижчі шанси отримати кредит онлайн на карту. Жовтий колір показує середню якість кредитоспроможності позичальників - їхній рейтинг від 597 до 824 балів. Світло-зелений колір позначає високу якість позичальників з персональним кредитним рейтингом 825 - 941 бала. І, нарешті, дуже висока якість кредитоспроможності позичальника позначається яскраво-зеленим кольором і відповідає рейтингу 942 - 999 балів.
По моему наблюдению довольно много тестировщиков когда-либо слышали такое понятие, как XSS-уязвимость. Но мало кто может просто и на пальцах рассказать на собеседовании про нее. Или эффективно проверить веб-сайт на наличие этой уязвимости. Давайте вместе разберемся со всем этим подробнее и попробуем сами найти XSS-уязвимость на демо-странице, которую я специально подготовил к этой статье. :)
Недостаток защиты от XSS путем использования только безопасного обращения со вводом в том, что даже единичный отказ безопасности может скомпрометировать ваш сайт. Недавно созданный стандарт под названием "Политика защиты содержимого" позволяет снизить этот риск.
CSP используется для ограничения возможностей браузера по просмотру вашей страницы: он может пользоваться только полученными из безопасных источников ресурсами. Ресурс – это скрипт, таблица стилей, изображение, или любой иной тип файла, на который ссылается страница. Это означает, что даже если злоумышленник преуспеет во внедрении вредоносного кода в ваш сайт, CSP не даст этому коду выполниться.
Автор: Амит Кулкарни (Amit Kulkarni) Оригинал статьи Перевод: Ольга Алифанова
Автоматизированное тестирование безопасности с ZAP API может помочь найти уязвимости на ранних стадиях. Инструмент безопасности и API, который тут используется – это OWASP ZAP. OWASP ZAP поможет автоматизировать тесты безопасности для включения их в непрерывную интеграцию/непрерывную поставку (CI/CD) для вашего приложения с использованием существующих функциональных регресс-наборов и ZAP Python API.
Ознакомьтесь с секцией "ссылки", чтобы узнать больше.
Тестирование безопасности — одна из наиболее популярных тем для изучения тестировщиками. Чаще всего на собеседованиях задают вопросы про XSS и SQL-инъекции. Многие профессионалы слышали об этих терминах, но считают тестирование безопасности (и поиск инъекций в частности) слишком сложным навыком.
В этом видео Арсений Батыров рассказывает, что такое XSS-инъекция, как она работает, причем тут cookie и как ее применить на примере работы с сайтом-песочницей:
Это фрагмент нового курса Арсения Батырова “Тестирование безопасности”, в котором разбираются различные уязвимости в клиент-серверных приложениях, методы их поиска и защиты.
Записывайтесь на курс, обычно первый поток самый массовый и интересный, на нем больше общения между участниками!!!
Другие видео тренера вы можете увидеть на youtube-канале.
Это вторая часть руководства по XSS. В первой части была дана общая информация по XSS-уязвимостям и основному сценарию их использования.
Типы XSS
Несмотря на то, что цель XSS-атаки всегда в том, чтобы запустить вредоносный JavaScript в браузере жертвы, способы, которыми этого можно добиться, фундаментально различаются. XSS-атаки часто делят на три типа:
Длительная XSS-атака, когда вредоносная строка хранится в базе данных сайта.
Отраженная XSS-атака, когда вредоносная строка создается в запросе жертвы.
Основанная на DOM атака, когда уязвимость находится в клиентском коде, а не в серверном.
Пример в первой части иллюстрировал длительную XSS-атаку. Теперь мы опишем два оставшихся типа атак: отраженную и основанную на DOM.
Авторы: Джейкоб Каллин и Ирен Лобо Валбуэна (Jakob Kallin, Irene Lobo Valbuena) Оригинал статьи: https://excess-xss.com/ Перевод: Ольга Алифанова
Общая информация
Что такое XSS?
Межсайтовый скриптинг (XSS) – это атака инъекции кода, позволяющая атакующему запустить вредоносный JavaScript в браузере другого пользователя.
Злоумышленник не целится в жертву напрямую. Вместо этого он пользуется уязвимостью на сайте, который посещает жертва, чтобы заставить сайт передать вредоносный JS. В браузере жертвы этот JS будет казаться полноправной частью сайта, и в результате сайт действует как невольный союзник злоумышленника.
Сканеры веб-приложений — довольно популярная сегодня категория софта. Есть платные сканеры, есть бесплатные. У каждого из них свой набор параметров и уязвимостей, возможных для обнаружения. Некоторые ограничиваются только теми, что публикуются в OWASP Top Ten (Open Web Application Security Project), некоторые идут в своем black-box тестировании гораздо дальше.
Автор: Дейв Вестервельд (Dave Westerveld) Оригинал статьи Перевод: Ольга Алифанова
Уязвимости безопасности и сохранности данных – наибольшие риски, с которыми сталкивается любой продукт. Один публичный инцидент может разорить компанию, или, как минимум, нанести по ней серьезный удар – это помимо урона, нанесенного командному духу. Логично сделать вывод, что тестирование безопасности – это очень важно.
Однако не думаю, что вы пробовали в нем разобраться. Это довольно сложный, запутанный мир, и для того, чтобы стать эффективным тестировщиком безопасности, понадобится много специальных знаний и высокий уровень технической подготовки. Не у всех есть время или склонность к изучению необходимого минимума для этого рода тестирования, но это не значит, что мы не можем помочь повысить безопасность.
Хорошее тестирование дает на выходе более безопасный продукт. Множество угроз безопасности – межсайтовый скриптинг, сниффинг пакетов, SQL-инъекции – вы не найдете без хотя бы некоторых специальных знаний, но этим тестирование безопасности не ограничивается.
