** هشدار **
تمام آموزش های این سایت با مجوز کارشناس امنیت و طبق قوانین کشور ایران تهیه شده و هرگونه سوء استفاده و انتشار مطالب و ویدیوها کاملا غیر قانونی می باشد و در صورت سوء استفاده، NetPenT هیچ مسئولیتی نخواهد داشت. در صورت انتشار دوره های آموزشی خریداری شده، ردیابی و مشخص کردن هویت فرد منتشر کننده با توجه به داده های مخفی موجود در ویدیو ها به راحتی امکان پذیر می باشد و تبعات قانونی برای آن فرد وجود خواهد داشت.
وب اپلیکیشن یا وب اپ یک برنامه کاربردی است که روی یک سرور راه دور ذخیره می شود و در بستر اینترنت به کمک مرورگر ها اجرا می گردد. این برنامه های تحت وب برای طیف گسترده ای از کاربران، از سازمان ها گرفته تا اشخاص طراحی می شوند. از رایج ترین انواع وب اپ ها می توان به وب میل (webmail)، اپ های پرداخت آنلاین و فروشگاه های تجارت الکترونیک اشاره کرد. با نت پنت همراه باشید تا درباره وب اپ ها و چگونگی اجرای تست نفوذ در آن بیشتر بدانید.
وب اپلیکیشن ها نیازی به دانلود ندارند. چرا که از طریق شبکه قابل دسترسی هستند. کاربران می توانند از طریق یک مرورگر وب مثل گوگل کروم، موزیلا، فایرفاکس یا سافاری به این وب اپ ها دسترسی داشته باشند.
برنامه های تحت وب برای اجرا به یک وب سرور، اپلیکیشن سرور (Application Server) و پایگاه داده (Database) نیاز دارند. وب سرور، درخواست هایی که از سمت مدیریت می آیند را مدیریت می کند. در حالی که اپلیکیشن سرور با داده ها را به محتوای پویا تبدیل کرده و عملکرد برنامه را فعال می کند.
برنامه نویس ها معمولا اکثر وب اپلیکیشن ها را با جاوا اسکریپت، HTML5 یا CSS می نویسند. برنامه نویسی سمت کلاینت معمولا از این زبان ها استفاده می کند و به برنامه نویسی Front-End اپلیکیشن کمک می نماید. برنامه نویسی سمت سرور (Back-End)، اسکریپت هایی را ایجاد می کند که وب اپ از آن ها استفاده می کند. معمولا زبان هایی مثل پایتون، جاوا و روبی در برنامه نویسی سمت سرور بکار می روند.
مزایای وب اپلیکیشن چیست؟
وب اپلیکیشن ها مزایای متعددی دارند و به همین دلیل شرکت های بزرگ معمولا از آن استفاده می کنند. در اینجا به برخی از رایج ترین مزایای برنامه های تحت وب اشاره شده است:
دسترسی: دسترسی به وب اپ ها از طریق هر مرورگر و با هر دستگاهی امکان پذیر است. افراد در گروه های مختلف با موقعیت مکانی متفاوت می توانند به فایل های اشتراک گذاری شده، سیستم های مدیریت محتوا و سایر خدمات از طریق وب اپلیکیشن ها دسترسی داشته باشند.
راحتی کاربر: وب اپلیکیشن ها نیازی به دانلود از سوی کاربران ندارند و همین مسئله دسترسی به آن را آسان می کند. در واقع این اپلیکیشن های تحت وب به طور خودکار، تمامی آپدیت های امنیتی و نرم افزاری را دریافت می کنند. بنابراین همیشه به روز هستند و کم تر در معرض حملات سایبری قرار خواهند گرفت.
توسعه پذیری: کسب و کارهایی که از وب اپ ها استفاده می کنند، می توانند بدون استفاده از سخت افزارهای گران قیمت یا زیرساخت های اضافی، در صورت نیاز کاربر اضافه کنند. علاوه بر این، اغلب داده های اپلیکیشن های تحت وب در فضای ابری ذخیره می شوند. بنابراین کسب و کار شما نیازی به پرداخت هزینه اضافی برای ذخیره سازی داده ها ندارد.
چرا وب اپلیکیشن نیاز به تست نفوذ دارد؟
تست نفوذ نه تنها حفره ها و آسیب پذیری های امنیتی سیستم های شما را پیدا می کند، بلکه اثر بخشی سیاست ها و رویه امنیتی شما را نیز مورد آزمایش قرار می دهد. چرا باید تست نفوذ وب اپ ها انجام شود؟ در ادامه دلایل آن را به طور خلاصه ذکر می کنیم:
سنجیدن کارمندان: تست نفوذ به کارمندان بخش امنیت اطلاعات سازمان شما کمک می کند تا تجربه و آمادگی لازم برای روبرویی با حملات سایبری احتمالی را داشته باشند. اگر بدون اطلاع قبلی این حملات شبیه سازی شده را انجام دهید، می توانید به طور کامل سیاست های امنیتی خود را مورد آزمایش قرار دهید. با اجرای تست نفوذ وب اپ ها، می توانید میزان آمادگی و آگاهی کارمندان خود در شرایط بحرانی را بسنجید.
سنجیدن سیاست های امنیتی: تست نفوذ در کشف و رفع آسیب‌پذیری های موجود بسیار مفید است. به طور مثال، برخی از سیاست های سازمان بر شناسایی و جلوگیری از حملات سایبری تمرکز می کنند. اما تدبیری برای مقابله با یک حمله سایبری در حال اجرا ارائه نکرده اند. بنابراین تست نفوذ به شما نشان می دهد که آیا آمادگی دفع چنین حملات ناگهانی را دارید و آیا تیم امنیتی شما برای جلوگیری از آسیب ها برنامه ای دارند یا خیر!
اولویت بندی هزینه های امنیت سایبری: تست نفوذ با آشکار کردن آسیب‌پذیری ها در وب اپلیکیشن ها به شما کمک می کند تا برای هزینه های امنیت سایبری برنامه ریزی کنید. گزارشات تست نفوذ به برنامه نویس های شما کمک می کند تا اشتباهات را شناسایی و برطرف کنند. زمانی که یک برنامه نویس بداند هکر چگونه به اپلیکیشن او نفوذ پیدا کرده است، می تواند وب اپ ایمن تری را کدنویسی کند.
تست نفوذ برای وب اپلیکیشن ها چگونه انجام می شود؟
سه مرحله اصلی برای انجام تست نفوذ برای وب اپ ها وجود دارد که در اینجا به توضیح آن می پردازیم:
1.چارچوب کلی تست نفوذ را مشخص کنید. قبل از شروع باید حوزه و اهداف تست نفوذ را مشخص کنید. آیا می خواهید عملکرد کلی سیستم های یک سازمان را بررسی کنید؟ سپس باید اطلاعات مورد نیاز درباره زیرساخت کلی، مواردی مانند API ها و معماری وب را برای اجرای تست نفوذ جمع آوری کنید.
2.تست نفوذ را اجرا کنید. معمولا تست نفوذ به صورت یک سری حملات شبیه سازی شده اجرا می شود تا بفهمیم که آیا یک هکر واقعا می تواند به اپلیکیشن مورد نظر دسترسی پیدا کند یا خیر! دو نوع تست نفوذ در این مرحله می توانید اجرا کنید:
- تست نفوذ خارجی (External Penetration Test) که اجزای قابل دسترسی توسط هکرها از طریق اینترنت مانند وب اپلیکیشن ها یا وب سایت ها را تجزیه و تحلیل می کند.
- تست نفوذ داخلی (Internal Penetration Test) سناریویی را شبیه سازی می کند که در آن هکر به برنامه های فایروال شما دسترسی دارد.
3. نتایج تست نفوذ را تجزیه و تحلیل کنید. بعد از این که تست نفوذ اجرا شد، نتایج آن را بررسی کنید. آسیب پذیری های امنیتی و قرار گرفتن داده ها در معرض دسترسی هکرها باید مورد بحث قرار گیرد و اقداماتی برای جلوگیری از آنها در نظر گرفته شود.
علاقه شدید به حوزه امنیت سایبری باعث شد که مطالعات فراوانی به صورت تئوری و عملی داشته باشم. مسلط به مفاهیم و روش های تست نفوذ CEH (بیشتر تمرکزم روی IoT)، جرم یابی دیجیتال، برنامه نویسی پایتون و لینوکس.
