nav[aria-label="Primary Navigation"] { padding: 0; & ul { list-style: none; width: 100%; display: flex; flex-direction: row; justify-content: start; align-items: start; gap: 30px; padding: 0; & li { margin: 0; } & ul li { list-style: none; } } }

Discussion sur les tests d’intrusion : inspection des fuites d’informations dans les erreurs de l’API

AdminUser

Discussion de test préliminaire. Comment vérifier l’inspection des fuites d’informations dans les erreurs de l’API dans le cadre d’une mission autorisée ?

Scénario : envoyez des données mal formées, mais inoffensives, à des points de terminaison approuvés et examinez les erreurs pour repérer des traces de pile, des chemins internes ou des secrets. Quelles mesures de protection prendriez-vous, quels éléments de preuve permettraient de reproduire le résultat et comment confirmeriez-vous qu’un correctif fonctionne ?

Guide associé : https://pentest.vanillatesting.com/kb/articles/50-inspecting-api-error-information-leakage

Réponses

AdminUser

Méthode de test : Envoyez des données malformées mais inoffensives aux points de terminaison autorisés et examinez les erreurs pour repérer les traces de pile, les chemins internes ou les secrets. Respectez le périmètre défini par écrit et utilisez des comptes ou des objets de test dédiés.

AdminUser

Preuves : Consignez les corps d’erreur assainis et les identifiants de corrélation. Masquez les identifiants, les jetons et les données personnelles avant de partager le résultat.

AdminUser

Corriger et retester : Renvoyez des erreurs client concises et conservez les diagnostics détaillés uniquement dans des journaux protégés. Répétez la vérification initiale après le déploiement et consignez le résultat.