Pełen raport z prawdziwych testów bezpieczeństwa

Dla niecierpliwych – można pobrać pełen, nieocenzurowany, przeszło 30-stronicowy raport z testów bezpieczeństwa systemu do zarządzania klientami (CRM – Customer Relationship Management) – YetiForce. Testy realizowała załoga Securitum. Dla pewności – raport publikujemy  za formalnym pozwoleniem YetiForce; sam system jest dostępny w modelu OpenSource.

Czytając materiał warto pamiętać, że nie są to pełne testy aplikacji YetiForce – zgodnie z założeniami liczba dni poświęcona na testy była znacznie ograniczona, audyt skupiał się na najistotniejszych podatnościach – a do tego bez posiadania uprawnień administracyjnych.

Spis treści

Na początek zobaczycie  jak z poziomu konta zwykłego użytkownika można było otrzymać nieautoryzowany dostęp na system operacyjny. Podobną rzecz można było zrealizować – przy pewnych założeniach – wysyłając „niezwykły” e-mail, który był importowany do CRM-a.

Jest też klasyka gatunku testów penetracyjnych – podatności XSS oraz SQL injection.

Wśród rzeczy, które z rozpędu można przeoczyć, warto spojrzeć na podatność nr 8: „Niedziałające zabezpieczenie przed bruteforce przy niezgodności stref czasowych„. Co ma jedno do drugiego? Zobaczcie w samym raporcie.

Warto też zwrócić uwagę, że wszystkie wskazane przez ekipę Securitum problemy zostały załatane.

PS
Aby zwiększyć aspekt edukacyjny całej operacji, udostępniamy też maszynę wirtualną z wersją systemu, w której zostały znalezione błędy (można je więc na spokojnie odtworzyć u siebie). Instrukcja instalacji:

mkdir yetipentest
cd yetipentest
wget https://www.sekurak.pl/vagrant/yeti/Vagrantfile
vagrant up
curl 127.0.0.1:8080

–ms