Testy Penetracyjne: Od Czego Zacząć Testy Bezpieczeństwa Pierwszej Aplikacji

Cześć! W tym odcinku z serii "Burp Academy by PortSwigger" chciałbym wam przedstawić, jak wykonać swój pierwszy test penetracyjny. Na prośbę jednej z osób z Discorda, pokażę, od czego zacząć i jak się do tego zabrać, korzystając z przykładowej aplikacji Gin And Juice Shop od PortSwigger.
Zanim jednak przystąpimy do naszego pierwszego testu penetracyjnego, przypomnę, czym jest test penetracyjny i czym różni się od programów Bug Bounty, zawodów Capture The Flag oraz działań zespołów Red Team. Opowiem również o metodykach przeprowadzania testów penetracyjnych, dlaczego są one skuteczne oraz dlaczego warto się z nimi zapoznać, jeżeli chcesz zostać pentesterem.
Spis:
0:00 - 0:37 - Wstęp
0:38 - 1:09 - Czym jest test penetracyjny?
1:10 - 2:59 - Różnica pomiędzy Bug Bounty, CTF i Red Team
3:00 - 4:09 - Jakie są rodzaje testów penetracyjnych?
4:10 - 4:48 - Uwaga dotycząca nie zamówionych testów penetracyjnych
4:49 - 5:43 - Zakres testów penetracyjnych
5:44 - 7:17 - Metodyki testów penetracyjnych
7:18 - 7:53 - Uwaga dotycząca certyfikatów z OWASP
7:54 - 13:50 - Omówienie metodyki OWASP WSTG
13:51 - 15:09 - Przygotowanie środowiska
15:10 - 19:40 - Wykonanie pierwszych kroków
19:41 - 20:27 - Podsumowanie
Linki do metodyk:
* OWASP Web Security Testing Guide: github.com/OWASP/wstg
* Penetration Testing Execution Standard: www.pentest-standard.org/index...
* NIST SP 800-115: www.nist.gov/privacy-framewor...
* Open Source Security Testing Methodology Manual: www.isecom.org/OSSTMM.3.pdf
Podsumowanie
Test penetracyjny jest bardzo skrupulatnym testem, gdzie sprawdzasz po kolei wszystkie możliwości scenariuszy i kombinacje, które przyjdą Ci do głowy. Film ten ma na celu nakierować Cię, jak zacząć test penetracyjny. Kolejność i sposób przeprowadzania testów zależy od Ciebie i Twojej aktualnej wiedzy. Test penetracyjny jest czasochłonny i wymaga dużo pracy, aby wykonać wszystkie scenariusze. Im częściej będziesz powtarzał ten proces, tym sprawniej będzie Ci szło.
Na koniec, zapraszam do subskrybowania, zostawiania lajków i komentarzy. Do zobaczenia w kolejnym odcinku z serii Burp Academy by PortSwigger!
#penetrationtesting #pentesting #cybersecurity #burpsuite #burpacademy #portswigger #ethicalhacking #bugbounty #ctf #redteam #owasp #websecurity #cybersectraining #securitytesting #testingguide #hackers #infosec #cyberseccommunity #techtutorial #techeducation #securecoding #nist #osstmm #testypenetracyjne #cyberbezpieczeństwo #etycznehakerstwo #bezpieczeństwowebowe #szkoleniecybersec #testowaniebezpieczeństwa #przewodniktestowania #hakerzy #poradniktechnologiczny #edukacjatechnologiczna #bezpiecznekodowanie #burp #academy

[@Piotr_Lesko]

Świetne. Dziękuję.

[@mwalkowski]

Proszę :)

[@MrYavax]

Dobrze oby tak dalej :)

[@mwalkowski]

Dzięki ;)

[@piotrrrrrrek]

Z dodawaniem scope'a w Burpie zawsze jest trochę ambiwalencji.
Z jednej strony dobrze go skonfigurować żeby uniknąć strzelenia w coś, co nie miało być celem. Warto też w tym celu żeby sobie zaznaczyć w ustawieniach proxy żeby nie przechwytywało ruchu spoza scope'u (odsieje to np. ruch jaki generują przeglądarki/wyszukiwarki itp.)
Z drugiej strony czasem warto na początku zostawić otwarty scope i pasywnym przeklikiwaniem zobaczyć z czym komunikuje się aplikacja - można w ten sposób odkryć jakieś ukryte domeny, serwery API, czy inne komponenty, które nie były w początkowym scop'ie, a które warto wskazać klientowi i być może uwzględnić w testach.
Pzdr

[@mwalkowski]

Dzięki za komentarz. Tak masz racje, zawsze trzeba popatrzeć z czym strona się komunikuje po za scope, tylko nie wolno tego atakować. Scope zawsze warto skonfigurować na początku, to z czym strona się komunikuje możesz zobaczyć już sterując filtrem w historii Burp. Po prostu na początku projektu nie zaznaczasz opcji "Show only in-scope items".