Тестове за проникване в десктоп приложения
Тестове за проникване в десктоп приложения.
Тестваме приложението, което потребителите инсталират, данните, които съхранява, и услугите, на които се доверява. Получавате възпроизводими доказателства, приоритетни корекции и включен повторен тест в предварително договорен обхват.
Проследете границата на доверие.
Картографираме пакета, локалните компоненти и услугите, на които клиентът се доверява.
Приложението работи на машина извън вашия контрол.
Нападателят разполага с бинарните файлове, конфигурацията и работещото десктоп приложение. Скрит бутон, шифрована локална настройка или забранено меню не заменят проверката на права на сървъра. Изследваме кои защити остават ефективни, когато клиентът бъде анализиран, променен или стартиран от обикновен потребител.
Проследяваме границите на доверие около приложението: локални файлове и данни за достъп, привилегировани услуги, комуникация между процеси, инсталиране и обновяване и сървърния API. Свързваме слабостите само в договорения обхват и доказваме въздействието с контролирани тестови данни.
Какво може да включва обхватът
- Windows приложения, включително .NET и приложения с нативен код
- Electron и други десктоп клиенти, изградени с уеб технологии
- Java клиенти; версии за macOS и Linux по договорка
- Локални бази данни, конфигурация, логове, кеш и данни за достъп
- Инсталатори, пакети за обновяване, подписи и зареждане на библиотеки
- Привилегировани услуги и комуникация между процеси (IPC)
- Удостоверяване, сесии, контрол на достъпа и сървърни API
- Целеви обратен инженеринг и тестове на входни данни, когато са приложими
Защо има значение
Доверието в клиента не заменя проверките на границите.
Обикновен потребител на работната станция може да има възможност да промени конфигурационен файл, да замени библиотека или да изпрати съобщение до привилегирована услуга. Компрометиран процес за визуализация може да достигне функции, предназначени само за защитената част на приложението. Проверяваме границата на достъп, а не само видимия интерфейс.
Правата на сървъра са също толкова важни. Повтаряме съответните заявки независимо от приложението, за да проверим ролите, собствеността върху обектите и бизнес процесите. Ограничение в клиента не доказва, че данните на друг потребител или организация са защитени.
PXLSec / ДЕСКТОП
Разгледайте трите граници на доверие.
Отворете секция, за да видите какво проверяваме и какви доказателства получавате.
01Клиентът и локалните данни
Какво разкрива инсталираният пакет?
Тайни в кода, локални бази данни, кеш, логове, токени и поведение при изпълнение. Документираме предпоставките и въздействието с контролирани тестови данни.
02Операционната система и обновяването
Къде приложението получава повече права?
Файлови права, библиотеки, IPC, привилегировани услуги, инсталатори и проверки на обновяванията. Активните сценарии се договарят предварително.
03Сървърът и бизнес процесите
Проверява ли сървърът всяка важна операция?
Роли, собственост върху обекти, сесии и изолация на данните. Повтаряме заявките независимо от интерфейса с договорените акаунти и API.
Как протича
Уточняваме обхвата
Договаряме версиите, операционните системи, ролите, тестовите акаунти, API и началната позиция на тестера.
Анализираме приложението
Преглеждаме пакета, локалното съхранение и поведението при изпълнение; картографираме привилегированите компоненти и мрежовата комуникация.
Проверяваме защитите
Тестваме клиентските проверки, локалните права, доверието при обновяване и сървърния контрол на достъпа с възпроизводими доказателства.
Доклад, обсъждане и повторен тест
Обсъждаме констатациите с инженерите ви, подреждаме корекциите по приоритет и проверяваме договорените поправки.
Защо PXLSec
Клиентът и системата около него
Локални тайни и чувствителни данни
Преглеждаме файлове, бази данни, логове и памет в договорения обхват. С тестови акаунти проверяваме дали извлечени токени или ключове дават реален достъп.
Права и изолация на компонентите
Проверяваме файловите права, пътищата за зареждане на библиотеки, привилегированите помощни процеси и IPC. При Electron оценяваме изолацията на визуализацията, preload интерфейсите и достъпа до нативни функции.
Доверие при инсталиране и обновяване
Преглеждаме произхода на пакетите, проверката на подписи, записваемите пътища и защитата срещу връщане към стара версия. Активна подмяна на обновяване се извършва само в разрешена тестова среда.
API зад потребителския интерфейс
Тестваме удостоверяването, сесиите, ролите и изолацията на данните чрез директни заявки към сървъра. API и ролите в обхвата се договарят изрично.
Какво получавате
Ясни резултати, договорени в предложението, без изненади в края на ангажимента.
- Резюме за ръководствотоВъздействието върху бизнеса и решенията, които ръководството трябва да вземе.
- Технически доказателстваЗасегнати версии, предпоставки, стъпки за възпроизвеждане и контролирано доказателство за въздействието.
- Практически корекцииНасоки за отстраняване на първопричината, подредени по риск и възможност за експлоатация.
- Включен повторен тестПроверка на съобщените поправки в обхвата и срока, договорени в офертата.
Кога ви е нужно
Кога да тествате десктоп приложението си
Определяме обхвата според решението, което трябва да вземете.
Преди значима нова версия
Проверете нов клиент, инсталатор, привилегирован компонент или механизъм за обновяване преди широко разпространение.
Корпоративен клиент иска доказателства
Предоставете независим технически доклад за версиите и процесите, които клиентът ви използва.
Преминавате към Electron или нова архитектура
Проверете границите между уеб съдържанието, нативните функции, локалното съхранение и сървърните услуги.
Регулирана организация разчита на приложението
Осигурете технически доказателства за програмата си за сигурност. Самостоятелният тест на десктоп приложение не е регулиран TLPT или сертификация за съответствие.
Методология и стандарти
Методика, съобразена с десктоп софтуера
- PTES
- NIST SP 800-115
- Принципи на OWASP за приложимите API
- Класификация на слабостите по CWE
- Насоки за сигурност на платформата и рамката
Често задавани въпроси
Често задавани въпроси
По какво се различава от тест на уеб приложение?
Десктоп тестът обхваща инсталирания пакет, локалните данни, правата в операционната система, привилегированите компоненти и обновяването. Може да включва и сървърния API, но това не заменя проверката на клиента.
Кои платформи и технологии покривате?
Договаряме обхвата за Windows, .NET, приложения с нативен код, Electron и Java според конкретното приложение. Версии за macOS и Linux, специализиран бинарен анализ и целеви фъзинг се уточняват след преглед на технологията и необходимия достъп. Не приемаме, че един тест включва всички платформи.
Необходим ли е изходният код?
Не винаги. Можем да започнем с инсталатор или готова версия, тестови акаунти и документация. Достъпът до код може да подобри покритието на чувствителни функции; подходът без вътрешна информация, с частична информация или с достъп до код се договаря в офертата.
Тествате ли в продукционна среда и заобикаляте ли защитата на крайните устройства?
Предпочитаме представителна изолирана среда с контролирани данни. Действия в продукционна среда, проверка на защитата на крайните устройства, запазване на достъп и движение в мрежата изискват допълнителен изричен обхват и правила; не се подразбират от десктоп теста.
Какво е нужно за оферта?
Посочете технологията, операционните системи, броя версии и роли, съответните сървърни API и срока за пускане. Можем да подпишем NDA преди споделяне на чувствителни материали. Не изпращайте пароли или инсталационни файлове през публичната форма.
Какво включва повторният тест?
В офертата уточняваме срока и обхвата. Проверяваме поправките по съобщените констатации и документираме дали са отстранени, частично отстранени или остават отворени. Нови функции или съществено променено приложение може да изискват допълнителен обхват.
Свързани услуги
Нека обсъдим обхвата на теста.
Кажете ни какво искате да защитите. Опитен специалист ще ви помогне да определите обхвата и следващите стъпки. Обикновено отговаряме в рамките на един работен ден.
Поверителност от първия разговор
Можем да подпишем вашето NDA, преди да споделите чувствителни детайли. За запитването ви се прилага политиката ни за поверителност.
Как защитаваме информацията ви · Политика за поверителност