-
OWASP Os testes abordados pelo guia apresentam através de exemplos práticos como detectar e explorar vulnerabilidades em sistemas web e utilizam ferramentas de segurança no seu processo.
https://repositorio.ufsc.br/handle/123456789/182202
-
Não são 70 vulnerabilidades, ao invés disso " O OWASP mantém uma lista com as 10 falhas de segurança de aplicativos da Web mais perigosas".
https://blog.convisoappsec.com/owasp-e-sua-importancia/
-
O Open Web Application Security Project (OWASP) é um grupo sem fins lucrativos que ajuda as organizações a desenvolverem, comprarem e manterem aplicativos confiáveis de software.
Inicialmente foi criado como um projeto para definir uma metodologia de testes padrão para a indústria de segurança de aplicativos web. O projeto continua a definir recomendações de segurança, especificações e explicações extremamente importantes para a área.
O Owasp Top 10 representa um consenso entre os principais especialistas em segurança em relação aos maiores riscos de software para aplicativos web. Esses riscos são baseados na freqüência de defeitos de segurança descobertos, na gravidade das vulnerabilidades e na magnitude do seu potencial impacto comercial.
Fonte: https://suporte.siteblindado.com.br/hc/pt-br/articles/115002328352-O-que-%C3%A9-o-OWASP-e-quem-define-quais-vulnerabilidades-entram-no-OWASP-Top-10-
-
OWASP Zed Attack Proxy (ZAP) é uma das ferramentas de segurança gratuitas mais populares do mundo e é ativamente mantido por centenas de voluntários internacionais. Pode ajudá-lo a encontrar automaticamente vulnerabilidades de segurança em seus aplicativos da Web enquanto você está desenvolvendo e testando seus aplicativos. É também uma ótima ferramenta para experientes pentesters para usar para testes de segurança manual.
-> Uma das maiores preocupações em aplicações Web é o vazamento de informações confidenciais. E uma das práticas mais usadas é o SQL Injection. A Injeção de SQL, mais conhecida através do termo americano SQL Injection, é um tipo de ameaça de segurança que se aproveita de falhas em sistemas que interagem com bases de dados via SQL. A injeção de SQL ocorre quando o atacante consegue inserir uma série de instruções SQL dentro de uma consulta (query) através da manipulação das entradas de dados de uma aplicação. Para estarmos seguros, é extremamente importante em nosso ciclo de testes, abordarmos o PEN TEST (Teste de Penetração). O teste de penetração é um método que avalia a segurança de um sistema de computador ou de uma rede, simulando um ataque de uma fonte maliciosa. O processo envolve uma análise nas atividades do sistema, que envolvem a busca de alguma vulnerabilidade em potencial que possa ser resultado de uma má configuração do sistema, falhas em hardwares/softwares desconhecidas, deficiência no sistema operacional ou técnicas contramedidas. Todas as análises submetidas pelos testes escolhidos são apresentadas no sistema, junto com uma avaliação do seu impacto e muitas vezes com uma proposta de resolução ou de uma solução técnica. E uma ferramenta gratuita que pode apoiar no PEN TEST e no item SQL Injection é a ZAP (Zed Attack Proxy Project) da OWASP.
ABIN - CESPE - 2018 - Situação hipotética: O acesso a uma aplicação web com permissão de administrador é realizado por meio do valor informado em uma variável, conforme a seguir.
http://www.site.com.br/aplicacacao?profile=as cs23f8g7por04
Assertiva: Nesse caso, de acordo com a OWASP (Open Web Application Security Project), o teste de penetração black-box automatizado é efetivo para encontrar uma vulnerabilidade, dados o valor fixo para a variável e a forma de passagem: pedido via GET. [ERRADA] COMENTÁRIO: Se o teste é black-box, ou seja, se não há conhecimento prévio do sistema, o usuário não teria conhecimento da variável nem de seus possíveis valores para poder passar como parâmetro.
-
Para quem ainda não conhece, segue o link do OWASP (Open Web Application Security Project):
https://owasp.org/www-project-top-ten/
A lista apresenta as 10 vulnerabilidades mais críticas do momento.
-
Todo mundo comenta alguma coisa mas esquece de digitar o gabarito. Gabarito Errado para os não assinantes
-
Minha opinião:
Existem 4 guias de Testes no OWASP: Web, Mobile, Cloud e Cloud Security (Fonte: https://owasp.org/projects/). A questão não especificou a qual deles se refere.
Tomemos como base o "Web" como sendo o mais plausível.
Se olharmos no link oficial abaixo, me parece que tem mais de setenta vulnerabilidades, porém como não sei de que versão do documento trata a questão e também como era esse documento à época da elaboração dessa questão, me parece bem razoável que o erro dela não seja esse, e sim o mais singelo: Business Logic Testing é o teste de que trata a questão, e não Gerenciamento de sessões, que nada tem a ver com regra de negócio.
Fonte: https://owasp.org/www-project-web-security-testing-guide/stable/