Методы поиска уязвимостей веб-приложений

Веб-иловалар заифликларини аниқлаш усуллари

• Кириш
• Рухсатсиз киришга тестлаш усуллари
• Қидирув тизимлари ёрдамида веб иловалар заифликларини аниқлаш
• Идентификация методи асосида олинган маълумотлардан заифликни қидириш
• Махсус дастурий воситалар – заифликларни аниқлаш сканерлари.

Веб иловалар қайта ишлайдиган ахборот хажми жуда катта. Веб серверда фойдаланувчиларни шахсий маълумотлари (мижоз ва ходимларни) ва тижорат ёки хизмат сирига тегишли бўлган маълумот сақланиши мумкин. (масалан молиявий маълумотлар ёки хизмат бўйича ёзишмалар). Сайтни компрометация қилиниши натижасида биринчи навбатда молиявий зарарга, мижозларнинг ишончини камайишига, ҳамда обрўсизлантиришига олиб келади. Шунинг учун веб сайтнинг хавфсизлигини таъминлаш ва ҳимоялаш зарурати долзарб бўлади.

Веб иловалар қайта ишлайдиган ахборот хажми жуда катта. Веб серверда фойдаланувчиларни шахсий маълумотлари (мижоз ва ходимларни) ва тижорат ёки хизмат сирига тегишли бўлган маълумот сақланиши мумкин. (масалан молиявий маълумотлар ёки хизмат бўйича ёзишмалар). Сайтни компрометация қилиниши натижасида биринчи навбатда молиявий зарарга, мижозларнинг ишончини камайишига, ҳамда обрўсизлантиришига олиб келади. Шунинг учун веб сайтнинг хавфсизлигини таъминлаш ва ҳимоялаш зарурати долзарб бўлади.

PositiveTechnologies компанияси тадқиқотларига кўра 2014 йил учун:

Келтирилган статистик маълумотлардан хулоса қилиб шуни айтиш мумкинки, веб иловаларни ишлаб чиқарувчилари ва администраторлари кўпинча хавфсизлик талабларига эътибор бермайдилар, асосий мақсади функционаллигини ошириш. Илованинг функционал имкониятлари қанчалик кўп бўлса дастур коди шунчалик муракаб бўлади. Бунинг натижасида кўпгина тизимлар заифликларга мойил бўлади.

Рухсатсиз киришга тестлаш методлари

• Тестлашнинг асосий вазифаси веб иловани структурасини аниқлаш ва тахлил қилиш, рухсатни бошқариш тизими камчиликларини ва ҳимояланаётган ресурснинг заифликларини аниқлашдан иборат.
• Тестлаш турли методикалар ёрдамида амалга оширилиб, қуйилаётган мақсадларга боғлиқ бўлади. Бундай методикаларга “қора қути” (инглиз адабиётида – BlackBox), оқ қути (WhiteBox) ва тўқ қути (GreyBox) деб аталади.