帮助开发人员发现逻辑和授权缺陷

Question

专业的渗透测试人员通常擅长发现各种漏洞，包括逻辑缺陷，这些漏洞都是针对被测试站点的高度特定的。然而，作为一种手动活动，渗透测试很少执行，因此开发人员希望在内部执行更多的安全QA。

内部安全质量保证通常使用安全工具--网络扫描器或静态代码分析器。这些工具对于一些漏洞(例如跨站点脚本)是很好的，但它们通常根本找不到逻辑或授权缺陷。

那么，我们如何帮助开发人员发现逻辑和授权缺陷呢？

Answer 1

在我看来，帮助开发人员发现可能导致攻击的缺陷的最好方法是教他们利用代码，教他们如何执行SQL注入攻击或直接的对象引用攻击。在内部设置一个捕获旗竞争，开发人员使用他们的新的黑客技能来打破他们习惯编写的代码。

一旦您真正了解了这些漏洞是如何工作的，一旦您自己花了一些时间来开发它，那么您所看到的代码就会开始引起人们对它们自身的注意。一旦你接受了作为攻击者寻找这些缺陷的训练，你就不能关闭它。你到处都能看到。你花在“黑客”上的时间越长，他们的出现就越亮。昨天一个省时的把戏现在成了特权升级的垫脚石。这只是一个角度的问题。

您的开发人员可能永远不会使用您传授给他们的黑客技能，但无论如何，您希望他们拥有这些技能。它完全改变了他们作为开发人员的观点，并改变了他们产生的代码类型。