Быстрый чек-лист по основным уязвимостям сайтов
 

Если кто только в теме проверки безопасности веб-приложений, вот что обычно первым делом стоит глянуть, чтобы не заблудиться.

1. SQL-инъекции — классика. Пробуйте, где идет ввод пользовательских данных в запросы. Проверяйте, не ломается ли база простым апострофом или похожими символами. Если ломается — уже повод присмотреться к параметрам.

2. XSS — скрипты через ввод. Оценивайте, где выводится пользовательский контент без фильтров. Пробуйте вставить что-то вроде <script>alert(1)</script>. Если срабатывает — беда.

3. CSRF — запросы с чужих сайтов. Хороший чек — есть ли давно забытые token’ы в формах? Или сессии в куках. Если формы принимают POST без токенов — режим опасный.

4. Ошибки в авторизации и управлении сессиями — посмотрите, как реализованы смена паролей, логауты, время жизни куков. Простой тест — есть ли возможность заходить под старыми куками или использовать фиктивные данные?

5. Проверка доступных файлов — не оставляйте открытыми config-файлы или дампы базы. Легко проверить через URL, может ли кто-то скачать .env, backup.zip и прочие артефакты.

6. Обновления движка и плагинов — частенько дырки уже залатаны в новых версиях. Если что-то стоит давно и пылится — первое, что проверить на баги.

Лично у меня всегда рука тянется сперва на поиск классических SQL и XSS, потому что это почти везде встречается. Потом уже смотрю на контроль сессий и файлы на сервере. Кто что ещё обычно цепляет в первую очередь?

Ага, классика жанра — SQL-инъекции и XSS всегда в топе проблем. Помню, раньше даже самые простые формы ломались на вводе кавычек, а теперь, кажется, только ленивый не прикручивает фильтры. Про токены и куки соглашусь — без них лучше даже не начинать. Главное, не забывать про старые файлы, которые так и лежат, как памятник халатности. Все же чем проще, тем эффективнее, проверено временем.

Честно, пока что у меня больше запутанности с этими CSRF и сессиями, чем с SQL-инъекциями. SQL вроде как знаю, а эти токены и куки — что-то сложно кажется. Надо бы как-то проще это всё проверить без заморочек. Думаю, просто убедиться, что не дают залезть туда, куда не надо, уже будет круто.