Web Application滲透測試案例分享

Case Sharing Web Application of Penetration Test

筆者本次針對Web application專案開發建置過程中及完成後，所進行的滲透測試服務進行介紹，本次的案例為協助客戶於2014年對網站系統上線進行滲透測試服務做為主軸分享；一份來自Cenzic在2014年的報告指出，現統計的資訊安全應用趨勢報告中，在各項應用程式的開發愈見成熟之際，但程式安全漏洞仍層出不窮，該安全管理團隊持續對於資訊安全風險發佈修改補丁及改善方式，雖有輕微降低安全漏洞比例，但統計數字依舊高的嚇人。而在今年的中度以上風險甚至高於去年，研究顯示目前開發人員對於訊息洩漏、身分驗證與授權、Session管理等漏洞管理依舊不足以致於風險無所不在，而這些漏洞有80%都是在應用程式上設計不良所發生；截至今年為止，應用程式漏洞及風險仍不斷成長，顯示無論從政府機關至公司企業及學校等各級單位機關皆應重視資訊安全風險管控，必須主動地分析系統潛在之弱點，阻止攻擊事件的發生，一旦資安事件發生後，再做事後處理與回應，往往可能已造成嚴重的損害。