Web App Pentest Checklist Download - Web App Pentest Checklist Code Code Download

Web App Pentest Checklist

Dados do site

1.0.0

Baixar

Lista de verificação pentesting de aplicativos da web

Lista de verificação baseada em Owasp ??

500 mais de casos de teste

Link de noção: https://hariprasaanth.notion.site/web-application-pentesting-checklist-0f02d8074b9d4af7b12b8da2d46ac998

Coleta de informações
Reconhecimento de código aberto
- Execute a pesquisa do Google Dorks
- Execute osint
Servidor da web de impressão digital
- Encontre o tipo de servidor da web
- Encontre os detalhes da versão do servidor da web
Procurando metafilos
- Veja o arquivo robots.txt
- Veja o arquivo sitemap.xml
- Veja o arquivo Humans.txt
- Veja o arquivo Security.txt
Enumiando os aplicativos do servidor da web
- Enumerando com NMAP
- Enumerando com o netcat
- Execute uma pesquisa DNS
- Execute uma pesquisa reversa de DNS
Revise o conteúdo da web
- Inspecione a fonte da página para obter informações confidenciais
- Tente encontrar códigos JavaScript sensíveis
- Tente encontrar alguma chaves
- Verifique se o preenchimento automático está desativado
Identificando os pontos de entrada do aplicativo
- Identificar quais são os métodos usados?
- Identificar onde estão os métodos utilizados?
- Identifique o ponto de injeção
Mapeamento de caminhos de execução
- Use suíte burp
- Use DirSearch
- Use Gobuster
Estrutura de aplicativos da web de impressão digital
- Use a extensão do navegador Wappalyzer
- Use Whatweb
- Veja extensões de URL
- Veja o código -fonte HTML
- Veja o parâmetro de cookie
- Veja os cabeçalhos HTTP
Mapa Arquitetura do Aplicativo
- Mapeie a estrutura geral do local
Teste de gerenciamento de configuração e implantação
Configuração da rede de teste
- Verifique a configuração da rede
- Verifique se há configurações padrão
- Verifique se há credenciais padrão
Configuração do aplicativo de teste
- Verifique se apenas os módulos necessários são usados
- Verifique se os módulos indesejados estão desativados
- Verifique se o servidor pode lidar com DOS
- Verifique como o aplicativo está lidando com erros 4xx e 5xx
- Verifique o privilégio necessário para executar
- Verifique os logs para obter informações confidenciais
Manipulação de extensão de arquivo de teste
- Verifique se o servidor não retornará extensões sensíveis
- Verifique se o servidor não aceita extensões maliciosas
- Teste de vulnerabilidades de upload de arquivos
Revise o backup e arquivos não referenciados
- Verifique se os arquivos não referenciados não contêm nenhuma informação confidencial
- Verifique se as nomeações de arquivos de backup antigos e novos
- Verifique a funcionalidade das páginas não referenciadas
Enumerar infraestrutura e interfaces administrativas
- Tente encontrar a interface de infraestrutura
- Tente encontrar a interface do administrador
- Identifique as funcionalidades do administrador oculto
Testando métodos HTTP
- Descubra os métodos suportados
- Verifique se o método put está desativado
- Verifique se o método de opções está desativado
- Teste o desvio de controle de acesso
- Teste para ataques XST
- Teste para o método http substituindo
Teste HSTS
- Verifique se HSTS está ativado
Teste a política de domínio cruzado da RIA
- Verifique a política de domínio cruzado da Adobe
- Verifique se tem o menor privilégio
Permissão do arquivo de teste
- Garanta as permissões para arquivos sensíveis
- Teste para enumeração de diretório
Teste para aquisição de subdomínio
- Teste DNS, A e CNAME Registros para aquisição do subdomínio
- Teste os registros ns para aquisição do subdomínio
- Teste 404 Resposta para aquisição do subdomínio
Teste o armazenamento em nuvem
- Verifique os caminhos sensíveis da AWS
- Verifique os caminhos sensíveis do Google Cloud
- Verifique os caminhos sensíveis do Azure
Teste de gerenciamento de identidade
Definições de função de teste
- Teste para navegação forçada
- Teste de IDOR (referência de objeto direto inseguro)
- Teste para adulteração de parâmetros
- Garanta que os usuários de baixo privilégio não possam acessar recursos de alto privilégio
Teste o processo de registro do usuário
- Verifique se o mesmo usuário ou identidade não pode se registrar repetidamente
- Verifique se os registros são verificados
- Verifique se os endereços de email descartáveis são rejeitados
- Verifique qual prova é necessária para o registro bem -sucedido
Processo de provisionamento de conta de teste
- Verifique a verificação do processo de provisionamento
- Verifique a verificação para o processo de desprovisão
- Verifique os direitos de provisionamento para um usuário administrador para outros usuários
- Verifique se um usuário pode despertá-lo ou não?
- Verifique os recursos de um usuário desprovisionado
Testando a enumeração da conta
- Verifique a resposta quando um nome de usuário e senha válidos digitados
- Verifique a resposta quando um nome de usuário válido e uma senha inválida inserida
- Verifique a resposta quando um nome de usuário e senha inválidos digitados
- Verifique se a funcionalidade de limitação de taxa está ativada em campos de nome de usuário e senha
Teste a política de nome de usuário fraco
- Verifique a resposta para nomes de usuário válidos e inválidos
- Verifique a enumeração de nome de usuário
Teste de autenticação
Teste para canal não criptografado
- Verifique a página de login HTTP
- Verifique o registro HTTP ou a página de login
- Verifique a página de senha do HTTP esqueceu
- Verifique se a senha de alteração HTTP
- Verifique se há recursos no HTTP após o logout
- Teste para navegação forçada para páginas HTTP
Teste para credenciais padrão
- Teste com credenciais padrão
- Nome da organização de teste como credenciais
- Teste para manipulação de resposta
- Teste para o nome de usuário padrão e uma senha em branco
- Revise a fonte da página de credenciais
Teste para mecanismo de bloqueio fraco
- Verifique se a conta foi bloqueada após 3-5 tentativas incorretas
- Verifique se o sistema aceita apenas o captcha válido
- Verifique se o sistema rejeita o captcha inválido
- Garanta o código CAPTCHA regenerado após recarregar
- Certifique -se de recarregar o captcha depois de entrar no código errado
- Verifique se o usuário tem uma opção de recuperação para uma conta de bloqueio
Teste para ignorar o esquema de autenticação
- Teste forçou a navegação diretamente para o painel interno sem login
- Teste para previsão de ID da sessão
- Teste para adulteração de parâmetros de autenticação
- Teste para injeção de SQL na página de login
- Teste para obter acesso com a ajuda do ID da sessão
- Teste vários logins permitidos ou não?
Teste para senha de lembrar vulnerável
- Verifique se a senha armazenada está criptografada
- Verifique se a senha armazenada está no lado do servidor
Teste a fraqueza do cache do navegador
- Verifique se o controle de cache adequado está definido em páginas sensíveis
- Certifique -se de que nenhum dado sensível é armazenado no armazenamento de cache do navegador
Teste a política de senha fraca
- Verifique se a política de senha está definida como forte
- Verifique a reutilização de senha
- Verifique se o usuário é impedido de usar seu nome de usuário como senha
- Verifique o uso de senhas fracas comuns
- Verifique o comprimento mínimo de senha a ser definido
- Verifique o comprimento máximo de senha a ser definido
Testando questões de segurança fracas
- Verifique a complexidade das perguntas
- Verifique se há forçando bruto
Teste a função de redefinição de senha fraca
- Verifique quais informações são necessárias para redefinir a senha
- Verifique a função de redefinição de senha com HTTP
- Teste a aleatoriedade dos tokens de redefinição de senha
- Teste a singularidade dos tokens de redefinição de senha
- Teste para limitação de taxa em tokens de redefinição de senha
- Verifique se o token deve expirar após ser usado
- Verifique se o token deve expirar depois de não ser usado por muito tempo
Teste a função de mudança de senha fraca
- Verifique se a senha antiga pediu para fazer uma alteração
- Verifique a singularidade da senha esquecida
- Verifique se há alteração em senha em branco
- Verifique a função de alteração de senha com http
- Verifique se a senha antiga não é exibida após a alteração
- Verifique se as outras sessões foram destruídas após a mudança de senha
Teste para autenticação fraca em canal alternativo
- Teste a autenticação nos navegadores da área de trabalho
- Teste a autenticação nos navegadores móveis
- Teste a autenticação em um país diferente
- Teste a autenticação em um idioma diferente
- Teste a autenticação em aplicativos de desktop
- Teste a autenticação em aplicativos móveis
Teste de autorização
O arquivo de travessia do diretório de teste inclui
- Identifique o ponto de injeção no URL
- Teste para inclusão de arquivos locais
- Teste para inclusão de arquivo remoto
- Travessal de teste no parâmetro URL
- Travessal de teste no parâmetro de cookie
Testando Traversal com a codificação
- Teste de travessia com a codificação Base64
- Teste de travessia com a codificação de URL
- Travessal de teste com codificação ASCII
- Travessal de teste com codificação HTML
- Teste de travessia com codificação hexadecimal
- Travessal de teste com codificação binária
- Travessal de teste com codificação octal
- Teste Traversal com codificação GZIP
Testando travesal com diferentes esquemas de sistema operacional
- Travessal de teste com esquemas UNIX
- Travessal de teste com esquemas do Windows
- Travessal de teste com esquemas MAC
Teste outras técnicas de codificação
- Travessal de teste com codificação dupla
- Teste de travessia com todos os personagens codificam
- Teste de travessia com apenas caracteres especiais codifica
Esquema de autorização de teste Bypass
- Teste o desvio do esquema de autorização horizontal
- Teste de desvio do esquema de autorização vertical
- O teste substitui o alvo com cabeçalhos personalizados
Teste para escalada de privilégios
- Identifique o ponto de injeção
- Teste para ignorar as medidas de segurança
- Teste para navegação forçada
- Teste para IDOR
- Teste para adulteração de parâmetros para usuário de alto privilégio
Teste para referência de objeto direto inseguro
- Teste para alterar o parâmetro de ID
- Teste para adicionar parâmetros nos terminais
- Teste para poluição do parâmetro HTTP
- Teste adicionando uma extensão no final
- Teste com versões de API desatualizadas
- Teste embrulhando o ID com uma matriz
- Teste embrulhando o ID com um objeto JSON
- Teste para a poluição do parâmetro JSON
- Teste mudando o caso
- Teste para travessia de caminho
- Teste mudando palavras
- Teste alterando os métodos
Teste de gerenciamento de sessão
Teste para esquema de gerenciamento de sessão
- Verifique se todas as diretrizes de cookie do set estão seguras
- Certifique -se de que nenhuma operação de biscoitos ocorra em um canal não criptografado
- Verifique se o cookie não pode ser forçado por um canal não criptografado
- Verifique se a bandeira httponly está ativada
- Verifique se algum cookies é persistente
- Verifique os cookies da sessão e a data/hora de expiração dos cookies
- Verifique a fixação da sessão
- Verifique se há login simultâneo
- Verifique se a sessão após o logout
- Verifique se a sessão depois de fechar o navegador
- Tente decodificar cookies (Base64, Hex, URL, etc)
Teste de atributos de cookie
- Verifique se o cookie deve ser definido com o atributo seguro
- Verifique se o cookie deve ser definido com o atributo de caminho
- Verifique se o cookie deve ter a bandeira httponly
Teste para fixação de sessão
- Garantir que novos cookies foram emitidos após uma autenticação bem -sucedida
- Teste manipulando os cookies
Teste para variáveis de sessão exposta
- Teste para criptografia
- Teste para obter e pós -vulnerabilidades
- Teste se a solicitação recebe incorporando o ID da sessão usado
- Teste por postagem de troca com o método get
Teste para ataque de reflexão
- Teste após mudança de senha
- Teste após logout
Teste para a falsificação de solicitação de local transversal
- Verifique se o token é validado no lado do servidor ou não
- Verifique se o token é validado quanto ao comprimento total ou parcial
- Verifique comparando os tokens CSRF para obter várias contas dummy
- Verifique o CSRF trocando postagem com o método get
- Verifique a CSRF removendo o parâmetro de token CSRF
- Verifique a CSRF removendo o token CSRF e usando um parâmetro em branco
- Verifique o CSRF usando tokens não utilizados
- Verifique a CSRF substituindo o token CSRF por seus próprios valores
- Verifique o CSRF alterando o tipo de conteúdo para formulário-multipart
- Verifique o CSRF alterando ou excluindo alguns caracteres do token CSRF
- Verifique o CSRF alterando o referenciador para o referenciador
- Verifique o CSRF alterando os valores do host
- Verifique o CSRF ao lado do clickjacking
Teste a funcionalidade de logout
- Verifique a função de log -out em diferentes páginas
- Verifique a visibilidade do botão de logout
- Verifique se após o logout a sessão terminou
- Verifique se após o logout não podemos acessar o painel pressionando o botão Voltar
- Verifique se o tempo limite adequado da sessão foi definido
Teste para o tempo limite da sessão
- Verifique se há um tempo limite de sessão existe
- Garantir após o tempo limite, todos os tokens são destruídos
Teste para intrigante de sessão
- Identifique todas as variáveis de sessão
- Tente quebrar o fluxo lógico da geração de sessão
Teste de seqüestro de sessão
- Sessão de teste seqüestro no alvo que não possui hsts ativados
- Teste por login com a ajuda de cookies capturados
Teste de validação de entrada
Teste para script de local transversal refletido
- Verifique se esses caracteres são filtrados <> '' & ””
- Teste com uma sequência de escape de personagens
- Teste substituindo <e> por entidades html <e>
- Teste a carga útil com uma caixa inferior e superior
- Teste para quebrar o firewall regex por nova linha /r /n
- Teste com codificação dupla
- Teste com filtros recursivos
- Teste de injeção de tags de ancoragem sem espaço em branco
- Teste substituindo o espaço em branco por balas
- Teste alterando os métodos HTTP
Teste para scripts de local transversal armazenados
- Identifique parâmetros de entrada armazenados que refletirão no lado do cliente
- Procure parâmetros de entrada na página de perfil
- Procure parâmetros de entrada na página do carrinho de compras
- Procure parâmetros de entrada na página de upload de arquivos
- Procure parâmetros de entrada na página de configurações
- Procure parâmetros de entrada no fórum, página de comentário
- Teste carregando um arquivo com carga útil XSS como nome do arquivo
- Teste com tags html
Teste para poluição do parâmetro HTTP
- Identifique o servidor de back -end e o método de análise usado
- Tente acessar o ponto de injeção
- Tente ignorar os filtros de entrada usando a poluição do parâmetro HTTP
Teste para injeção de SQL
- Teste a injeção de SQL em formulários de autenticação
- Teste a injeção de SQL na barra de pesquisa
- Teste a injeção de SQL em características editáveis
- Tente encontrar palavras -chave SQL ou detecções de ponto de entrada
- Tente injetar consultas SQL
- Use ferramentas como SQLMap ou HackBar
- Use Google Dorks para encontrar as palavras -chave SQL
- Tente obter injeção de SQL baseada
- Tente injeção de SQL baseada em pós
- Experimente a injeção de SQL baseada em biscoitos
- Experimente a injeção de SQL baseada em cabeçalho
- Experimente a injeção de SQL com bytes nulos antes da consulta SQL
- Experimente a injeção de SQL com a codificação de URL
- Experimente a injeção de SQL com casos inferiores e superiores
- Experimente a injeção de SQL com scripts de adulteração do SQL
- Tente injeção de SQL com atraso de tempo SQL
- Experimente a injeção de SQL com atrasos condicionais de SQL
- Experimente a injeção de SQL com SQL baseado em booleano
- Experimente a injeção de SQL com SQL baseado em tempo
Teste para injeção de LDAP
- Use filtros de pesquisa LDAP
- Experimente a injeção de LDAP para desvio de controle de acesso
Teste para injeção de XML
- Verifique se o aplicativo está usando XML para processamento
- Identifique o ponto de injeção XML por XML Metacharacter
- Construa a carga útil XSS em cima de XML
O teste para o lado do servidor inclui
- Use Google Dorks para encontrar o SSI
- Construa RCE no topo da SSI
- Construa outras injeções no topo da SSI
- Teste a injeção de SSI em páginas de login, campos de cabeçalho, referenciador, etc
Teste para injeção de xpath
- Identifique o ponto de injeção XPath
- Teste para injeção de xpath
Teste para injeção IMAP SMTP
- Identifique o ponto de injeção IMAP SMTP
- Entenda o fluxo de dados
- Entender a estrutura de implantação do sistema
- Avalie o impacto da injeção
Teste para inclusão de arquivos locais
- Procure palavras -chave LFI
- Tente mudar o caminho local
- Use a lista de carga útil da LFI
- Teste a LFI adicionando um byte nulo no final
Teste para inclusão de arquivo remoto
- Procure palavras -chave RFI
- Tente mudar o caminho remoto
- Use a lista de carga útil da RFI
Teste para injeção de comando
- Identifique os pontos de injeção
- Procure por palavras -chave de injeção de comando
- Injeção de comando de teste usando delimitadores diferentes
- Injeção de comando de teste com lista de carga útil
- Injeção de comando de teste com diferentes comandos do sistema operacional
Teste para o formato de injeção de string
- Identifique os pontos de injeção
- Use diferentes parâmetros de formato como cargas úteis
- Avalie o impacto da injeção
Teste para injeção de cabeçalho do host
- Teste para HHI alterando o parâmetro de host real
- Teste para HHI adicionando o parâmetro de host em forwarded
- Teste para HHI trocando o host real e o parâmetro de host em avanço X
- Teste para HHI adicionando dois parâmetros do host
- Teste para HHI adicionando os valores alvo na frente dos valores originais
- Teste para hhi adicionando o alvo com uma barra após os valores originais
- Teste para HHI com outras injeções no parâmetro do host
- Teste para HHI por envenenar a senha de redefinição
Teste de falsificação de solicitação lateral do servidor
- Procure palavras -chave SSRF
- Procure palavras -chave SSRF apenas no cabeçalho da solicitação e pelo corpo
- Identifique os pontos de injeção
- Teste se os pontos de injeção são exploráveis
- Avalie o impacto da injeção
Teste para injeção de modelo lateral do servidor
- Identifique os pontos de vulnerabilidade de injeção de modelo
- Identifique o motor de modelos
- Use o tplmap para explorar
Teste de manuseio de erros
Teste para manuseio inadequado de erro
- Identifique a saída de erro
- Analise as diferentes saídas retornadas
- Procure falhas comuns de manuseio de erros
- Teste de manuseio de erros modificando o parâmetro URL
- Teste de tratamento de erros enviando formatos de arquivo não reconhecidos
- Teste de tratamento de erros inserindo entradas não reconhecidas
- Teste de manuseio de erros fazendo todos os erros possíveis
Testes fracos de criptografia
Teste a segurança fraca da camada de transporte
- Teste para a fraqueza de afogamento no protocolo SSLV2
- Teste para a fraqueza do poodle no protocolo SSLV3
- Teste para a fraqueza da besta no protocolo TLSV1.0
- Teste a fraqueza estranha nas suítes de cifra de exportação
- Teste para cifras nulas
- Teste para nomore fraqueza no RC4
- Teste de Lucky 13 Fraqueness on CBC Mode Ciphers
- Teste para a fraqueza do crime na compressão TLS
- Teste para LogJam nas teclas DHE
- Verifique se os certificados digitais devem ter pelo menos 2048 bits de comprimento -chave
- Verifique se os certificados digitais devem ter pelo menos o algoritmo de assinatura SHA-256
- Verifique se os certificados digitais não devem usar MDF e SHA-1
- Garanta a validade do certificado digital
- Garanta os requisitos mínimos de comprimento -chave
- Procure suítes de cifra fracas
Teste de lógica de negócios
Teste de lógica de negócios
- Identifique a lógica de como o aplicativo funciona
- Identifique a funcionalidade de todos os botões
- Teste alterando os valores numéricos em valores altos ou negativos
- Teste mudando a quantidade
- Teste modificando os pagamentos
- Teste para adulteração de parâmetros
Teste para upload de arquivo malicioso
- Teste o upload de arquivos maliciosos enviando arquivos maliciosos
- Teste o upload de arquivo malicioso colocando seu endereço IP no nome do arquivo
- Teste o upload de arquivo malicioso pela substituição da direita para a esquerda
- Teste o upload de arquivo malicioso pelo nome do arquivo codificado
- Teste o upload de arquivo malicioso pela carga útil do XSS no nome do arquivo
- Teste o upload de arquivo malicioso por carga útil do RCE no nome do arquivo
- Teste o upload de arquivo malicioso por carga útil da LFI no nome do arquivo
- Teste o upload de arquivo malicioso por carga útil da RFI no nome do arquivo
- Teste o upload de arquivo malicioso por carga útil do SQL no nome do arquivo
- Teste o upload de arquivo malicioso por outras injeções no nome do arquivo
- Teste o upload de arquivo malicioso inserindo a carga útil dentro de uma imagem pela ferramenta bmp.pl
- Teste o upload de arquivos maliciosos enviando arquivos grandes (leva ao DOS)
Teste do lado do cliente
Teste para script de site transversal baseado em DOM
- Tente identificar o DOM Sinks
- Construa cargas úteis para esse tipo de pia
Teste para redirecionar URL
- Procure parâmetros de redirecionamento de URL
- Teste para redirecionamento de URL nos parâmetros de domínio
- Teste para redirecionamento de URL usando uma lista de carga útil
- Teste para redirecionamento de URL usando uma palavra de permissões no final
- Teste para redirecionamento de URL criando um novo subdomínio com o mesmo que o alvo
- Teste para redirecionamento de URL por XSS
- Teste para redirecionamento por URL por falha de URL do perfil
Teste para compartilhamento de recursos cruzados de origem
- Procure "Access-Control-Alow-Origin" na resposta
- Use o código de exploração HTML do CORS para explorar mais
Teste para o clickjacking
- Certifique-se de que os cabeçalhos de “quadro-x” estejam ativados
- Explore com o código html iframe para POC
Outros problemas comuns
Teste para limitação sem taxa
- Verifique se a limitação da taxa está ativada
- Tente ignorar a limitação da taxa alterando o caso dos terminais
- Tente ignorar a limitação da taxa adicionando / no final do URL
- Tente ignorar a limitação da taxa adicionando cabeçalhos HTTP
- Tente ignorar a limitação da taxa adicionando cabeçalhos HTTP duas vezes
- Tente ignorar a limitação da taxa adicionando cabeçalhos de origem
- Tente ignorar a limitação da taxa por rotação de IP
- Tente ignorar a limitação da taxa usando bytes nulos no final
- Tente ignorar a limitação da taxa usando condições de corrida
Teste para exif geodata
- Verifique se o site está disputando a geodata
- Teste com o verificador EXIF
Teste de link quebrado seqüestro
- Verifique se não há links quebrados estão lá
- Teste os links quebrados usando a ferramenta BLC
Teste para SPF
- Verifique se o site está tendo registro SPF
- Teste SPF pelo comando nslookup
Teste para o 2FA fraco
- Tente ignorar o 2FA usando um gerenciamento de sessão ruim
- Tente ignorar o 2FA através do mecanismo OAuth
- Tente ignorar o 2FA via forçante bruto
- Tente ignorar o 2FA via manipulação de resposta
- Tente ignorar o 2FA usando links de ativação para login
- Tente ignorar o 2FA usando a manipulação do código de status
- Tente ignorar o 2FA alterando o email ou senha
- Tente ignorar o 2FA usando uma entrada nula ou vazia
- Tente ignorar o 2FA, transformando o booleano para falso
- Tente ignorar o 2FA removendo o parâmetro 2FA na solicitação
Teste para implementação fraca de OTP
- Tente ignorar o OTP entrando no antigo OTP
- Tente ignorar o OTP por forca bruta
- Tente ignorar o OTP usando uma entrada nula ou vazia
- Tente ignorar o OTP por manipulação de resposta
- Tente ignorar o OTP por manipulação de código de status