Bandor
Skanerên ewlehiyê yên otomatîkî dikarin qelsiyên krîtîk ên wekî derzîlêdana SQL û Nivîsandina Xaçerê (XSS) nas bikin, lê ew ji ber rêbazên danûstendina ne-standard [S1] xetereya zirarê didin pergalên armancê jî hene. Îskanên ku bi nerast hatine mîheng kirin dikarin bibin sedema qutbûna karûbar, xerabûna daneyan, an tevgerek nedilxwaz li derdorên xedar [S1]. Dema ku van amûran ji bo dîtina xeletiyên krîtîk û başkirina pozîsyona ewlehiyê girîng in, karanîna wan rêveberiya baldar hewce dike ku ji bandora xebitandinê [S1] dûr bixe.
Sedema bingehîn
Xetereya bingehîn ji xwezaya otomatîkî ya amûrên DAST-ê derdikeve, ku serîlêdanên bi bargiranên ku dibe ku di mantiqa bingehîn a [S1] de dozên qeraxê derxînin vedikole. Wekî din, gelek serîlêdanên webê nekarin mîhengên ewlehiyê yên bingehîn bicîh bînin, wek sernavên HTTP yên bi rêkûpêk hişkkirî, yên ku ji bo parastina li dijî xetereyên hevpar ên web-based [S2] bingehîn in. Amûrên mîna Mozilla HTTP Observatory van valahiyan bi analîzkirina lihevhatina bi meyl û rêwerzên ewlehiyê yên destnîşankirî [S2] ronî dikin.
Kapasîteyên Tespîtkirinê
Skenerên pîşeyî û pola civakê li ser çend kategoriyên bêhêziya bibandor balê dikişînin:
- Êrîşên derzîlêdanê: Tespîtkirina derzîlêdana SQL û derziya XML Entîteya Derveyî (XXE) [S1].
- Manîpulasyona Daxwazê: Naskirina Sextekirina Daxwaza Server-Side (SSRF) û Daxwaza Xaç-Malperê (CSRF) [S1].
- Kontrola Gihîştinê: Lêgerîna Veguhastina Pelrêçê û destûrnameyên din [S1] derbas dike.
- Analîzkirina Veavakirinê: Nirxandina sernavên HTTP û mîhengên ewlehiyê ji bo ku lihevhatina bi pratîkên çêtirîn pîşesaziyê re [S2] piştrast bike.
Serastkirinên Beton
- Destûrdana Pêş-Skankirinê: Piştrast bikin ku hemî ceribandinên otomatîkî ji hêla xwediyê pergalê ve destûr e ku xetera zirara potansiyel [S1] birêve bibe.
- Amadekirina Jîngehê: Berî destpêkirina şopandina xirapbûnê ya çalak, hemî pergalên armancê paşde vegerînin da ku di rewşa têkçûyînê de başbûnê piştrast bikin [S1].
- Pêkanîna Serê: Amûrên mîna Mozilla HTTP Observatory bikar bînin da ku sernavên ewlehiyê yên wenda bişopînin û bicîh bikin, wek Polîtîkaya Ewlekariya Naverokê (CSP) û Strict-Transport-Security (HSTS) ZXCVOKENFIXXVB.
- Testên qonaxkirinê: Li şûna hilberînê, li şûna hilberandinê skanên çalak ên bi întensiya bilind pêk bînin da ku pêşî li bandora xebitandinê bigirin [S1].
FixVibe çawa ji bo wê diceribîne
FixVibe jixwe kontrolên pasîf ên ewledar ên hilberînê ji lêkolînên çalak ên bi destûr-deriyê veqetîne. Modula pasîf headers.security-headers bêyî şandina barkêşan vegirtina sernavê ya bi şêwaza Çavdêriyê peyda dike. Kontrolên bibandortir ên mîna active.sqli, active.ssti, active.blind-ssrf, û lêpirsînên têkildar tenê piştî verastkirina xwedan domainê û erêkirina destpêkirina sepanê diqewimin, û ew bi mûçeyên ne-hilweşîner ên sînorkirî bi dravdanên ne-xerabker-erênî yên sînorkirî bikar tînin.