Для пользователя форма на сайте выглядит просто: несколько полей и кнопка «Отправить». Для атакующего это возможность проверить, как приложение обрабатывает данные и каким параметрам доверяет.
Форма входа, поиск, обратная связь или комментарии позволяют начать такое исследование без сложных инструментов. Сначала достаточно посмотреть, какие запросы отправляет браузер и как сервер на них отвечает.
За пределами видимых полей
Пользователь видит поле с количеством товара, но вместе с ним приложение может передавать цену, идентификатор заказа и другие параметры. Часть из них скрыта на странице, однако в запросе их можно изменить.
Дальше возникает вопрос: Проверит ли сервер новые значения? Пересчитает ли стоимость самостоятельно? Убедится ли, что заказ принадлежит текущему пользователю?
Похожая ситуация встречается в многошаговых формах. Интерфейс последовательно предлагает заполнить данные, подтвердить их и завершить операцию. Атакующий может попробовать сразу отправить последний запрос. Если сервер не проверяет прохождение предыдущих этапов, ограничения интерфейса окажутся бесполезны.
Поэтому при тестировании важно исследовать весь запрос и серверную логику, включая параметры, которые обычный пользователь никогда не меняет.
Что атакующий ищет через формы
Направление атаки зависит от того, куда попадают введенные данные.
Если приложение небезопасно использует их в SQL-запросах, атакующий может искать SQL-инъекцию. Если введенный текст появляется на странице, проверять возможность XSS. Если форма работает с чужими объектами по идентификатору, пытаться получить доступ к ним через подмену параметров.
Для формы загрузки файлов появляются свои вопросы: какие файлы принимает сервер, где сохраняет и что позволяет с ними делать.
Отдельная проба еще не означает успешную эксплуатацию. Но последовательность запросов помогает понять, что именно исследуют: обработку ввода, проверку прав или порядок выполнения операции.
Как наблюдать такие действия через ловушку
В HoneyCorn для имитации веб-форм используется «Конструктор Web». Он позволяет создавать собственные HTML-формы и воспроизводить интерфейсы, похожие на привычные для конкретной организации: страницу авторизации, внутренний сервис или форму обращения.
Когда кто-то взаимодействует с такой формой, введенные данные фиксируются. Ловушка позволяет регистрировать попытки ввода SQL-инъекций, XSS-конструкций и учетных данных.
Это дает материал для анализа: какие значения отправляли в поля, какие конструкции использовали и как менялись попытки ввода.
При этом фиксация SQL-инъекции в ловушке не означает, что атакующему удалось выполнить запрос к базе данных. Здесь задача состоит в наблюдении за попыткой атаки.
Такие данные помогают увидеть не просто факт интереса к сервису, а сам ход исследования: какие параметры атакующий меняет, что проверяет и как развивает следующую попытку.
Так веб-форма перестает быть просто элементом интерфейса и становится точкой наблюдения за действиями атакующего.
Наши соцсети:
