Cервис управления информационной безопасностью
Cервис управления информационной безопасностью
Поиск
Работа с текстом
Сравнение текстов Генератор паролей IP-калькулятор Base64 Контрольные суммы JSON-форматирование JWT-декодер URL-кодирование CSV/JSON конвертер Конвертер времени Cron-расшифровщик Генератор QR-кодов
Вход Регистрация
Карточка уязвимости
Риски Уязвимости Атака на Веб-приложение
Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.
Подробнее
Наш канал
 

Атака на Веб-приложение

Веб-приложение содержит недостатки обработки запросов и входных данных на стороне сервера.
Позволяет нарушителю через веб-интерфейс выполнять внедрение кода, обход проверок и несанкционированные операции.

Каталоги

БДУ ФСТЭК:
УБИ.006 Угроза внедрения кода или данных
Угроза заключается в возможности внедрения нарушителем в дискредитируемую информационную систему или IoT-устройство вредоносного...
УБИ.041 Угроза межсайтового скриптинга
Угроза заключается в возможности внедрения нарушителем участков вредоносного кода на сайт дискредитируемой системы таким образом...
УБИ.068 Угроза неправомерного/некорректного использования интерфейса взаимодействия с приложением
Угроза заключается в возможности осуществления нарушителем деструктивного программного воздействия на API в целях реализации фун...
УБИ.116 Угроза перехвата данных, передаваемых по вычислительной сети
Угроза заключается в возможности осуществления нарушителем несанкционированного доступа к сетевому трафику дискредитируемой вычи...
Новая БДУ ФСТЭК Способы реализации:
СП.22.1 SQL-инъекция
СП.22.10 Раскрытие чувствительной информации о приложении и инфраструктуре
СП.22.11 Ошибки конфигурирования функций безопасности
СП.22.12 Использование недостатков, связанных с небезопасной десериализацией
СП.22.13 Использование уязвимых библиотек и компонентов
СП.22.14 Использование недостатков слабой реализации регистрации событий и мониторинга
СП.22.15 Манипуляция с временными данными (cache)
СП.22.16 Получение чувствительной информации со страниц веб-приложения или из ответов сервера
СП.22.17 Атака на XML процессор (XML External Entity)
СП.22.18 Подключение локальных файлов (LFI-атака)
СП.22.19 Подключение удаленных файлов (RFI-атака)
СП.22.2 Инъекция в шаблон на сервере (SSTI)
СП.22.20 Выход за пределы каталога (Path Traversal)
СП.22.21 Заражение кеша
СП.22.22 Подмена действий пользователя (Clickjacking)
СП.22.23 Захват сеанса пользователя (Session Hijacking)
СП.22.24 Расщепление HTTP-ответа/запроса
СП.22.25 Межсайтовая трассировка (XST-атака)
СП.22.26 Изменение параметров HTTP (HPP-атака)
СП.22.27 Открытое перенаправление
СП.22.28 Переполнение буфера
СП.22.29 Загрузка произвольных файлов
СП.22.3 Межсайтовый скриптинг (XSS) с запросами через сервер
СП.22.30 Нарушение логики работы приложения
СП.22.31 Использование недостатков механизма завершения сессии
СП.22.4 Межсайтовый скриптинг (XSS) без участия сервера
СП.22.5 Инъекция системных команд (OS injection)
СП.22.6 Обход механизмов разграничения доступа
СП.22.7 Нелегитимная отправка (подделка) запросов от имени пользователя (CSRF)
СП.22.8 Нелегитимная отправка (подделка) запросов от имени сервера (SSRF)
СП.22.9 Раскрытие чувствительной информации о пользователях
Техники МУ ФСТЭК:
T2.1 Использование внешних сервисов организации в сетях публичного доступа (Интернет)
T3.3 Автоматическая загрузка вредоносного кода с удаленного сайта или ресурса с последующим запуском на выполнение
T5.12 Передача команд управления через публикацию на внешнем легитимном сервисе, таком как веб-сайт, облачный ресурс, ресурс в социальной сети и т.п.

Связанные риски

Ничего не найдено

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.