بررسی کامل و اجازه‌ی تست
با اجازه‌ی شما: بررسی پورت‌های حساس و بررسی سایت برای آسیب‌پذیری‌های شناخته‌شده، تزریق SQL و XSS.
پاسخ سؤالتان را پیدا نکردید؟ تیم پشتیبانی wardex در ساعات کاری کمکتان می‌کند.تماس با پشتیبانی
اسکن معمولی سایت را مثل یک بازدیدکننده نگاه می‌کند: صفحه را باز می‌کند، هدرها و گواهی را می‌خواند و چند فایل حساس معروف را امتحان می‌کند. بررسی کامل یک قدم جلوتر می‌رود: سایت را مثل یک مهاجم، ولی بی‌خطر، امتحان می‌کند و دنبال آسیب‌پذیری‌های شناخته‌شده و نقص‌هایی مثل تزریق SQL و XSS می‌گردد.
اجازه‌ی تست امنیتی#
تأیید مالکیت دامنه ثابت می‌کند دامنه مال شماست، ولی به این معنی نیست که با تست فعالش موافقید. برای همین بررسی کامل و بررسی پورت‌های حساس یک اجازه‌ی جدا لازم دارند:
- ۱
«اسکن امنیتی» را باز کنید
سایت را انتخاب کنید و در بخش بررسی کامل روی شروع بررسی کامل بزنید (یا اگر فقط بررسی پورت‌ها را می‌خواهید، روی دادن اجازه). سایت باید تأییدشده باشد.
- ۲
در پنل باز شده، تأیید را تیک بزنید
تأیید می‌کنید که سایت متعلق به شما یا سازمانتان است، یا اجازه‌ی تست امنیتی آن را دارید.
- ۳
«اجازه می‌دهم؛ بررسی را شروع کن»
اجازه با نام شما، زمان و IP ثبت می‌شود و در گزارش رویدادهای فضای کاری می‌آید.
هر وقت بخواهید، با پس گرفتن اجازه همه‌ی تست‌های امنیتی آن سایت متوقف می‌شوند. این کار هم در گزارش رویدادها ثبت می‌شود.
| بدون اجازه | با اجازه |
|---|---|
| اسکن معمولی بدون بررسی پورت‌ها | اسکن معمولی با بررسی پورت‌های حساس (دیتابیس، Redis، Docker، پنل‌ها) |
| بررسی کامل در دسترس نیست | بررسی کامل |
بررسی کامل#
دو نوع دارد. «عمیق» همه‌ی بررسی‌های «استاندارد» را هم انجام می‌دهد:
| نوع | چه چیزی بررسی می‌شود | زمان تقریبی |
|---|---|---|
| استاندارد | فایل‌ها و پنل‌های در معرض دید (مثل .env و .git)، تنظیمات ناامن و آسیب‌پذیری‌های شناخته‌شده (CVE) در نرم‌افزارهای سایت | تا نیم ساعت |
| عمیق | به‌علاوه‌ی تست تزریق SQL، XSS، خواندن فایل و تغییر مسیر باز روی پارامترهای صفحه‌های سایت | تا یک ساعت |
صفحه در حین بررسی خودش به‌روز می‌شود و نتیجه، مثل یافته‌های اسکن معمولی، با توضیح و راه رفع نمایش داده می‌شود.
چرا بی‌خطر است#
- بدون آسیب. هیچ تستی سایت را از کار نمی‌اندازد، رمز حدس نمی‌زند، با رمزهای پیش‌فرض وارد نمی‌شود یا چیزی در سایت نمی‌نویسد.
- فشار کم. سرعت درخواست‌ها محدود است و خیلی کمتر از ترافیک یک روز معمولی هر سایتی است.
- بدون تماس بیرونی. هیچ داده‌ای از سایت شما به سرور دیگری فرستاده نمی‌شود.
- قابل شناسایی. درخواست‌ها با User-Agent مخصوص wardex فرستاده می‌شوند تا در لاگ‌ها معلوم باشد (جزئیات).
اگر فایروال جلوی اسکنر را گرفت#
اگر WAF یا CDN سایت (مثل ابر آروان یا کلادفلر) درخواست‌های اسکنر را مسدود کند، سایت واقعاً بررسی نمی‌شود. wardex این را تشخیص می‌دهد و به جای «آسیب‌پذیری‌ای پیدا نشد» می‌نویسد که بررسی انجام نشد یا کامل نشد. راه مجاز کردن اسکنر، قدم‌به‌قدم: وقتی فایروال جلوی اسکنر را می‌گیرد.
چیزی که بررسی کامل نیست#
بررسی کامل نقص‌های شناخته‌شده و قابل‌تشخیص از بیرون را پیدا می‌کند. خطاهای منطق برنامه، مثل اینکه کاربر بتواند سفارش کاربر دیگری را ببیند، فقط با تست نفوذ تخصصی پیدا می‌شوند.