Developer
Màn hình kết quả
Xem từng lỗi với các bước tái hiện, so sánh phản hồi theo tài khoản, nguyên văn request · response. Thông tin cá nhân trong phản hồi đã được che.
Hoán đổi request bằng 2-3 tài khoản thử nghiệm để kiểm tra 6 loại lỗi phân quyền. Kết quả là bản báo cáo kèm các bước tái hiện và cách khắc phục.
Tên sản phẩm gate · gate.define404.com · Beta
01Hạng mục kiểm tra
Kiểm tra 6 hạng mục này bằng cách luân phiên đổi tài khoản
Mỗi hạng mục gắn mã tiêu chuẩn Hàn Quốc. Bảng đối chiếu tiêu chuẩn trong báo cáo dùng cùng mã đó.
G-01
Truy cập dữ liệu người khác
Tài khoản B gửi yêu cầu xem · sửa với số đơn hàng do tài khoản A tạo. Nếu mở được và thấy dữ liệu của A thì đó là lỗi.
Thử gửi như thế này
GET /api/orders/10482OWASP API1 · Biện pháp bảo đảm an toàn Điều 5 · ISMS-P 2.5.1
G-02
Gọi chức năng quản trị
Gọi đường dẫn chỉ thấy ở tài khoản quản trị bằng token của thành viên thường. Có phản hồi trả về là lỗi.
Thử gửi như thế này
GET /api/admin/membersOWASP API5 · Biện pháp bảo đảm an toàn Điều 5 · ISMS-P 2.5.1
G-03
Giả mạo trường phân quyền
Chèn các giá trị như role, is_admin vào yêu cầu đăng ký · cập nhật rồi truy vấn lại. Giá trị bị thay đổi là lỗi.
Thử gửi như thế này
POST /api/users {"role":"admin"}OWASP API3 · Biện pháp bảo đảm an toàn Điều 5 · ISMS-P 2.8.1
G-04
Ghi không cần token
Gọi đường dẫn ghi khi chưa đăng nhập. Không bị chặn là lỗi. Mặc định tắt, chỉ bật trên địa chỉ thử nghiệm.
Thử gửi như thế này
POST /api/orders (không có token)OWASP API2 · Chưa chốt đối chiếu tiêu chuẩn Hàn Quốc
G-05
Thao túng đường dẫn tệp
Chèn ../ hoặc số tệp của người khác vào đường dẫn tải xuống. Tải được tệp về là lỗi.
Thử gửi như thế này
GET /api/files/../other-user.pdfOWASP API1 · Chưa chốt đối chiếu tiêu chuẩn Hàn Quốc
G-06
Lộ thông tin lỗi
Gửi tài nguyên không tồn tại và giá trị sai. Thấy lỗi 500 hoặc lộ đường dẫn máy chủ · stack trace là lỗi.
Thử gửi như thế này
GET /api/orders/99999999OWASP API8
02Cách nhận kết quả
Màn hình kết quả, báo cáo, liên kết xác nhận
Cùng một kết quả, hiển thị theo ba cách phù hợp với từng người đọc.
Cả nhóm
Báo cáo tiếng Hàn
Bản PDF và bản xem trên web gồm trang bìa, số lỗi theo mức độ nghiêm trọng, mục lục lỗi, phần chi tiết từng lỗi và bảng đối chiếu tiêu chuẩn.
Công ty giao việc
Liên kết xác nhận
Không cần đăng nhập, chỉ hiển thị kết quả đạt hay không theo từng hạng mục và thời điểm kiểm tra gần nhất. Có thể tắt bất cứ lúc nào.
03Kiểm tra lại
Sau khi sửa, chỉ kiểm tra lại đúng lỗi đó
Có năm kết quả: Đã xác nhận sửa, Vẫn còn lỗ hổng, Chưa kiểm tra, Thất bại, Đang chờ. Lịch sử từng lượt được lưu lại.
