Pengujian Keamanan - Layanan Web

Dalam aplikasi berbasis web modern, penggunaan layanan web tidak dapat dihindari dan mereka juga rentan terhadap serangan. Karena layanan web meminta pengambilan dari beberapa situs web, pengembang harus mengambil beberapa tindakan tambahan untuk menghindari segala jenis penetrasi oleh peretas.

Tangan di atas

Step 1- Arahkan ke area layanan web Webgoat dan buka Pemindaian WSDL. Kami sekarang perlu mendapatkan detail kartu kredit dari beberapa nomor akun lain. Cuplikan skenario seperti yang disebutkan di bawah ini.

Step 2 - Jika kita memilih nama depan, panggilan fungsi 'getFirstName' dilakukan melalui permintaan SOAP xml.

Step 3- Dengan membuka WSDL, kita dapat melihat bahwa ada metode untuk mendapatkan kembali informasi kartu kredit serta 'getCreditCard'. Sekarang mari kita ubah input menggunakan Burp suite seperti yang ditunjukkan di bawah ini -

Step 4 - Sekarang mari kita ubah input menggunakan Burp suite seperti yang ditunjukkan di bawah ini -

Step 5 - Kami bisa mendapatkan informasi kartu kredit pengguna lain.

Mekanisme Pencegahan

  • Karena pesan SOAP berbasis XML, semua kredensial yang diteruskan harus diubah ke format teks. Karenanya seseorang harus sangat berhati-hati dalam menyampaikan informasi sensitif yang harus selalu dienkripsi.

  • Melindungi integritas pesan dengan menerapkan mekanisme seperti checksum yang diterapkan untuk memastikan integritas paket.

  • Melindungi kerahasiaan pesan - Enkripsi asimetris diterapkan untuk melindungi kunci sesi simetris, yang dalam banyak implementasi hanya valid untuk satu komunikasi dan kemudian dibuang.