Description

Un Web Application Penetration Test est la simulation d'un attaquant vis à vis d'un site, portail ou application web. Les essais mirent en premier lieu à découvrir et identifier toutes les resources exposées sur l'objectif.

De même, le testeur effectue une analyse de la business logic pour vérifier l'éventuelle présence d'erreurs conceptuelles.

Ensuite avant de tester les applications web réélles on contrôle l'infrastructure pour rechercher les vulnérabilités connues ou encore inconnues.

Une fois identifiés des points d'attaque (entry point) valides, on procède avec la tentative d'attaque qui a pour objectif le dommage le plus profond et vaste possible.

Successivement, chaque paramètre est verifié avec des valeurs prédefinies soit manuellement soit automatiquement, et on essaye les techniques d'attaque génériques pour l'infrastructure en objet.

Selon le niveau d'accès obtenu, on essayera d'effectuer action interdites, extraire données du database de backend, télécharger du disque fichiers ou sources, modifier informations et où possible obtenir le plein contrôle sur l'ordinateur et de ceux qui lui sont autour.

Output

Le Report est un document simple et détaillé qui résume les résultats de l'activité et est divisé en trois parties différentes, comme expliqué auparavant:

Executive Summary
Au début du Report, sur moins d'une page, il y a le résumé de haut niveau adressé au Management.

Vulnerability Details
La partie technique qui décrit en détail les vulnérabilités observées et leur impact, adressée au Security Manager.

Remediation Plan
Section technique contenant instructions détaillées sur la solution des problèmes identifiés, adressée à System Administrator.