Penetrar probando aplicaciones web Java

Navega tus respuestas
4

Primero lo primero; Esto es algo que nunca he hecho antes.

Tengo una aplicación web escrita en Java (JSP y Servlet) y uso MySQL como la base de datos. La aplicación se implementa en Amazon EC2, una instancia de Ubuntu configurada por mi cuenta.

Ahora tengo un requisito muy crítico de "debo" cumplir para ver los agujeros de seguridad de esta aplicación. Me han pedido que haga una prueba de penetración en esto.

Tengo debajo de las preguntas.

  1. Al realizar esta prueba, ¿tengo que hacerlo en mi aplicación en vivo o en la aplicación que se ejecuta en mi máquina local (localhost)?

  2. Encontré un montón de herramientas en línea que solo aceptan una URL y hacen la prueba. ¿Estas herramientas son recomendadas y profesionales?

  3. ¿Cuáles son las herramientas recomendadas disponibles para la prueba de penetración de aplicaciones web Java? ¿Son "software" o tipo de "API" donde tengo que programar toda la prueba y dedicar mucho tiempo?

pregunta PeakGen 09.10.2015 - 10:01
fuente

2 respuestas

7

Debes conseguir que un profesional realice la prueba.

Sin embargo, tengo la sensación de que esta no es una opción para usted, así que comuníquese con la persona que lo contrató para que pueda hacer lo siguiente:

  1. Puede usar herramientas de análisis estático: hay una lista completa de herramientas de código abierto y comerciales disponibles en OWASP Página de análisis de código seguro .

  2. Puede usar herramientas de análisis dinámico (o escáneres de vulnerabilidad): vea una lista de herramientas de código abierto / gratuitas y comerciales disponibles en OWASP Vulnerability Scanning Tools página.

  3. (Usted / ellos pueden contratar a una empresa de Pruebas de penetración para realizar una prueba de penetración).

Debe tenerse en cuenta que realizar un análisis estático y dinámico no es lo mismo que una prueba de penetración profesional, sino que debe captar parte de la fruta de bajo rendimiento.

Para responder a la pregunta de la ubicación / entorno de la prueba de penetración: le aconsejo que realice una prueba de penetración en un entorno que refleje su entorno de producción, especialmente si ya tiene clientes que usan su aplicación.

    
respondido por el whoami 09.10.2015 - 12:35
fuente
2

Recomendaría obtener la versión gratuita de Nessus para escanear el servidor y solucionar los problemas reportados por él, luego debe analizar la aplicación para OWASP top10 y la guía WASC. esto podría hacerse utilizando algunas de las herramientas mencionadas por @whoami.

También debe realizar un análisis manual de la aplicación utilizando un proxy de aplicación web como eructar. OWASP tiene una guía sobre cómo realizar las pruebas

    
respondido por el P3nT3ster 16.10.2015 - 01:41
fuente

Lea otras preguntas en las etiquetas

¿Qué es una puerta trasera "errante"? ¿Cuál es el propósito de Server Key Exchange cuando se usa Ephemeral Diffie-Hellman?