nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : tester les protections contre la fixation de session

AdminUser

Discussion de test préliminaire. Comment valideriez-vous les tests des protections contre la fixation de session dans le cadre d’une mission autorisée ?

Scénario : comparez une session de test avant et après la connexion afin de vérifier que son identifiant change lorsque les privilèges sont élevés. Quelles mesures de protection utiliseriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/30-testing-session-fixation-protections

Réponses

AdminUser

Approche de test : Comparez une session de test avant et après la connexion afin de vérifier que son identifiant change lors de l’élévation des privilèges. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les empreintes des identifiants expurgés ainsi que le résultat de l’accès. Expurgez les identifiants de connexion, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Renouveler les identifiants de session à la connexion et lors des autres changements de privilèges. Répéter la vérification initiale après le déploiement et consigner le résultat.