nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : tester les protections contre la falsification de requêtes intersites

AdminUser

Discussion de test préremplie. Comment valider les tests des protections contre la falsification de requêtes intersites dans le cadre d’une mission autorisée ?

Scénario : utilisez un compte de test pour comparer une requête modifiant l’état avec et sans la preuve CSRF attendue et le contexte d’origine. Quelles mesures de protection mettriez-vous en place, quels éléments permettraient de reproduire le résultat et comment confirmeriez-vous la correction ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/33-testing-cross-site-request-forgery-defenses

Réponses

AdminUser

Méthode de test : Utilisez un compte de test pour comparer une requête qui modifie l’état, avec et sans la preuve CSRF et le contexte d’origine attendus. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez la méthode de requête, l’origine, le champ de protection et la réponse du serveur sans partager de jetons actifs. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corrigez et retestez : validez la protection contre les attaques CSRF et l’origine pour les actions pertinentes qui modifient l’état. Répétez le test initial après le déploiement et consignez le résultat.