ਪ੍ਰਭਾਵ
ਸਵੈਚਲਿਤ ਸੁਰੱਖਿਆ ਸਕੈਨਰ ਨਾਜ਼ੁਕ ਕਮਜ਼ੋਰੀਆਂ ਜਿਵੇਂ ਕਿ SQL ਇੰਜੈਕਸ਼ਨ ਅਤੇ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ (XSS) ਦੀ ਪਛਾਣ ਕਰ ਸਕਦੇ ਹਨ, ਪਰ ਉਹ ਉਹਨਾਂ ਦੇ ਗੈਰ-ਮਿਆਰੀ ਪਰਸਪਰ ਕਿਰਿਆ ਵਿਧੀਆਂ [S1] ਦੇ ਕਾਰਨ ਨਿਸ਼ਾਨਾ ਪ੍ਰਣਾਲੀਆਂ ਨੂੰ ਨੁਕਸਾਨ ਪਹੁੰਚਾਉਣ ਦਾ ਜੋਖਮ ਵੀ ਪੈਦਾ ਕਰਦੇ ਹਨ। ਗਲਤ ਢੰਗ ਨਾਲ ਕੌਂਫਿਗਰ ਕੀਤੇ ਸਕੈਨ ਸੇਵਾ ਵਿੱਚ ਵਿਘਨ, ਡੇਟਾ ਭ੍ਰਿਸ਼ਟਾਚਾਰ, ਜਾਂ ਕਮਜ਼ੋਰ ਵਾਤਾਵਰਨ ਵਿੱਚ ਅਣਇੱਛਤ ਵਿਵਹਾਰ ਦਾ ਕਾਰਨ ਬਣ ਸਕਦੇ ਹਨ [S1]। ਹਾਲਾਂਕਿ ਇਹ ਟੂਲ ਨਾਜ਼ੁਕ ਬੱਗ ਲੱਭਣ ਅਤੇ ਸੁਰੱਖਿਆ ਸਥਿਤੀ ਨੂੰ ਬਿਹਤਰ ਬਣਾਉਣ ਲਈ ਮਹੱਤਵਪੂਰਨ ਹਨ, ਇਹਨਾਂ ਦੀ ਵਰਤੋਂ ਲਈ ਸੰਚਾਲਨ ਪ੍ਰਭਾਵ [S1] ਤੋਂ ਬਚਣ ਲਈ ਧਿਆਨ ਨਾਲ ਪ੍ਰਬੰਧਨ ਦੀ ਲੋੜ ਹੈ।
ਮੂਲ ਕਾਰਨ
ਪ੍ਰਾਇਮਰੀ ਖਤਰਾ DAST ਟੂਲਜ਼ ਦੀ ਸਵੈਚਾਲਤ ਪ੍ਰਕਿਰਤੀ ਤੋਂ ਪੈਦਾ ਹੁੰਦਾ ਹੈ, ਜੋ ਪੇਲੋਡਾਂ ਨਾਲ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੀ ਜਾਂਚ ਕਰਦੇ ਹਨ ਜੋ ਅੰਡਰਲਾਈੰਗ ਤਰਕ [S1] ਵਿੱਚ ਕਿਨਾਰੇ ਦੇ ਕੇਸਾਂ ਨੂੰ ਟਰਿੱਗਰ ਕਰ ਸਕਦੇ ਹਨ। ਇਸ ਤੋਂ ਇਲਾਵਾ, ਬਹੁਤ ਸਾਰੀਆਂ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨਾਂ ਬੁਨਿਆਦੀ ਸੁਰੱਖਿਆ ਸੰਰਚਨਾਵਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਅਸਫਲ ਹੁੰਦੀਆਂ ਹਨ, ਜਿਵੇਂ ਕਿ ਸਹੀ ਢੰਗ ਨਾਲ ਸਖ਼ਤ HTTP ਸਿਰਲੇਖ, ਜੋ ਕਿ ਆਮ ਵੈੱਬ-ਅਧਾਰਿਤ ਖਤਰਿਆਂ ਤੋਂ ਬਚਾਅ ਲਈ ਜ਼ਰੂਰੀ ਹਨ [S2]। ਮੋਜ਼ੀਲਾ HTTP ਆਬਜ਼ਰਵੇਟਰੀ ਵਰਗੇ ਟੂਲ ਸਥਾਪਤ ਸੁਰੱਖਿਆ ਰੁਝਾਨਾਂ ਅਤੇ ਦਿਸ਼ਾ-ਨਿਰਦੇਸ਼ਾਂ [S2] ਦੀ ਪਾਲਣਾ ਦਾ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰਕੇ ਇਹਨਾਂ ਅੰਤਰਾਂ ਨੂੰ ਉਜਾਗਰ ਕਰਦੇ ਹਨ।
ਖੋਜ ਸਮਰੱਥਾਵਾਂ
ਪੇਸ਼ੇਵਰ ਅਤੇ ਕਮਿਊਨਿਟੀ-ਗਰੇਡ ਸਕੈਨਰ ਕਈ ਉੱਚ-ਪ੍ਰਭਾਵੀ ਕਮਜ਼ੋਰੀ ਸ਼੍ਰੇਣੀਆਂ 'ਤੇ ਕੇਂਦ੍ਰਤ ਕਰਦੇ ਹਨ:
- ਇੰਜੈਕਸ਼ਨ ਹਮਲੇ: SQL ਇੰਜੈਕਸ਼ਨ ਅਤੇ XML ਬਾਹਰੀ ਇਕਾਈ (XXE) ਇੰਜੈਕਸ਼ਨ [S1] ਦਾ ਪਤਾ ਲਗਾਉਣਾ।
- ਬੇਨਤੀ ਹੇਰਾਫੇਰੀ: ਸਰਵਰ-ਸਾਈਡ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ (SSRF) ਅਤੇ ਕਰਾਸ-ਸਾਈਟ ਬੇਨਤੀ ਜਾਅਲਸਾਜ਼ੀ (CSRF) [S1] ਦੀ ਪਛਾਣ ਕਰਨਾ।
- ਪਹੁੰਚ ਨਿਯੰਤਰਣ: ਡਾਇਰੈਕਟਰੀ ਟਰਾਵਰਸਲ ਅਤੇ ਹੋਰ ਅਧਿਕਾਰਾਂ ਦੀ ਜਾਂਚ [S1] ਨੂੰ ਬਾਈਪਾਸ ਕਰਦੀ ਹੈ।
- ਸੰਰਚਨਾ ਵਿਸ਼ਲੇਸ਼ਣ: ਉਦਯੋਗ ਦੇ ਸਭ ਤੋਂ ਵਧੀਆ ਅਭਿਆਸਾਂ [S2] ਦੀ ਪਾਲਣਾ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ HTTP ਸਿਰਲੇਖਾਂ ਅਤੇ ਸੁਰੱਖਿਆ ਸੈਟਿੰਗਾਂ ਦਾ ਮੁਲਾਂਕਣ ਕਰਨਾ।
ਕੰਕਰੀਟ ਫਿਕਸ
- ਪ੍ਰੀ-ਸਕੈਨ ਅਧਿਕਾਰ: ਯਕੀਨੀ ਬਣਾਓ ਕਿ ਸੰਭਾਵੀ ਨੁਕਸਾਨ [S1] ਦੇ ਜੋਖਮ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਨ ਲਈ ਸਿਸਟਮ ਦੇ ਮਾਲਕ ਦੁਆਰਾ ਸਾਰੇ ਸਵੈਚਲਿਤ ਟੈਸਟਿੰਗ ਅਧਿਕਾਰਤ ਹਨ।
- ਵਾਤਾਵਰਣ ਦੀ ਤਿਆਰੀ: [S1] ਅਸਫਲਤਾ ਦੀ ਸਥਿਤੀ ਵਿੱਚ ਰਿਕਵਰੀ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣ ਲਈ ਕਿਰਿਆਸ਼ੀਲ ਕਮਜ਼ੋਰੀ ਸਕੈਨ ਸ਼ੁਰੂ ਕਰਨ ਤੋਂ ਪਹਿਲਾਂ ਸਾਰੇ ਟੀਚੇ ਵਾਲੇ ਸਿਸਟਮਾਂ ਦਾ ਬੈਕਅੱਪ ਲਓ।
- ਸਿਰਲੇਖ ਲਾਗੂ ਕਰਨਾ: ਸਮੱਗਰੀ ਸੁਰੱਖਿਆ ਨੀਤੀ (CSP) ਅਤੇ ਸਖਤ-ਟਰਾਂਸਪੋਰਟ-ਸੁਰੱਖਿਆ (ZXCVFIXVIBETOKEN2ZFIXVXCV) ZXCVFIXVIBETOKEN2ZFIXVCVK00 CSP ਵਰਗੇ ਗੁੰਮ ਸੁਰੱਖਿਆ ਸਿਰਲੇਖਾਂ ਦਾ ਆਡਿਟ ਕਰਨ ਅਤੇ ਲਾਗੂ ਕਰਨ ਲਈ ਮੋਜ਼ੀਲਾ HTTP ਆਬਜ਼ਰਵੇਟਰੀ ਵਰਗੇ ਟੂਲਸ ਦੀ ਵਰਤੋਂ ਕਰੋ।
- ਸਟੇਜਿੰਗ ਟੈਸਟ: ਕਾਰਜਸ਼ੀਲ ਪ੍ਰਭਾਵ [S1] ਨੂੰ ਰੋਕਣ ਲਈ ਉਤਪਾਦਨ ਦੀ ਬਜਾਏ ਅਲੱਗ-ਥਲੱਗ ਸਟੇਜਿੰਗ ਜਾਂ ਵਿਕਾਸ ਵਾਤਾਵਰਨ ਵਿੱਚ ਉੱਚ-ਤੀਬਰਤਾ ਵਾਲੇ ਸਰਗਰਮ ਸਕੈਨ ਕਰੋ।
FixVibe ਇਸਦੇ ਲਈ ਕਿਵੇਂ ਟੈਸਟ ਕਰਦਾ ਹੈ
FixVibe ਪਹਿਲਾਂ ਹੀ ਉਤਪਾਦਨ-ਸੁਰੱਖਿਅਤ ਪੈਸਿਵ ਜਾਂਚਾਂ ਨੂੰ ਸਹਿਮਤੀ-ਪ੍ਰਾਪਤ ਸਰਗਰਮ ਪੜਤਾਲਾਂ ਤੋਂ ਵੱਖ ਕਰਦਾ ਹੈ। ਪੈਸਿਵ headers.security-headers ਮੋਡੀਊਲ ਪੇਲੋਡ ਭੇਜੇ ਬਿਨਾਂ ਆਬਜ਼ਰਵੇਟਰੀ-ਸਟਾਈਲ ਹੈਡਰ ਕਵਰੇਜ ਪ੍ਰਦਾਨ ਕਰਦਾ ਹੈ। ਉੱਚ-ਪ੍ਰਭਾਵੀ ਜਾਂਚਾਂ ਜਿਵੇਂ ਕਿ active.sqli, active.ssti, active.blind-ssrf, ਅਤੇ ਸੰਬੰਧਿਤ ਪੜਤਾਲਾਂ ਕੇਵਲ ਡੋਮੇਨ ਮਾਲਕੀ ਤਸਦੀਕ ਅਤੇ ਸਕੈਨ-ਸਟਾਰਟ ਤਸਦੀਕ ਤੋਂ ਬਾਅਦ ਚੱਲਦੀਆਂ ਹਨ, ਅਤੇ ਉਹ ਗੈਰ-ਸੰਰਚਨਾਤਮਕ ਗੈਰ-ਸੰਰਚਨਾਤਮਕ ਪੈ-ਲੋਡ ਝੂਠੇ ਗਾਰਡ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹਨ।