Тестирование безопасности

Представьте ресурс, доступный любому аутентифицированному пользователю по идентификатору в запросе. Как проверить, что доступ к чужому объекту запрещён?

В сервисе имя файла проверяют на отсутствие последовательности «../», а затем декодируют URL-кодирование. Какую уязвимость создаёт такой порядок?

Сервис разрешает браузерным запросам с любого источника передавать учётные данные. Какой основной риск создаёт такая настройка?

Клиент отправляет запрос на изменение профиля с полем роли, которое отсутствует в интерфейсе. Какой механизм защиты должен предотвратить несанкционированное изменение этого поля?

Сервис принимает аватар, ориентируясь только на расширение имени файла. Как тестировщик должен проверить риск выполнения загруженного содержимого?

После смены пароля как проверить, что ранее выданные сессии действительно больше не дают доступ?

Сервис принимает от пользователя URL для загрузки превью. Как проверить, не превращается ли эта функция в SSRF?

Веб-сервис принимает запросы по HTTPS, но сессионный cookie не помечен атрибутом Secure. Какую проверку должен провести тестировщик?

Сравните проверку входных данных и контекстное экранирование как защиты от XSS: какой механизм должен остановить выполнение пользовательского значения в HTML-атрибуте?

В приложении учётная запись блокируется после нескольких неудачных входов. Как проверить, что эту защиту нельзя использовать для блокировки чужого пользователя?

Пользователь без административной роли видит скрытую в интерфейсе операцию. Как проверить, что сервер действительно запрещает её выполнение?

При проверке механизма сброса пароля как оценить, достаточно ли непредсказуем токен восстановления?

На странице авторизованного пользователя внешняя ссылка может незаметно отправить запрос, изменяющий его настройки. Какую защиту должен проверить тестировщик?

На тестовом стенде сервер отправляет такой заголовок. Какой основной вывод должен сделать тестировщик о защите страницы?

HTTP/1.1 200 OK
Content-Security-Policy-Report-Only: default-src 'self'; script-src 'self'

Практическая ситуация: ответы формы входа для существующего и несуществующего имени заметно различаются. Как доказать, что это позволяет перечислять учётные записи?

Разберите проверку: приложение ограничивает административный раздел по IP, получая адрес клиента из HTTP-заголовка. Как установить, можно ли обойти это ограничение подменой заголовка?

После успешного входа приложение перенаправляет пользователя на адрес из параметра запроса. Как установить, позволяет ли эта функция выполнить открытое перенаправление?

Объясните механизм, который должен сделать сессионный cookie недоступным для JavaScript при XSS.

Сайт доступен по HTTPS, но пользователь впервые открывает его по HTTP. Как проверить защиту от атаки понижения соединения?

Сервис после установки сохраняет заводскую учётную запись администратора. Как доказать, что это стало уязвимостью?