Em "Servidor HTTP Proxy", vamos configurar a Porta "8080", em Conteúdo do Plano de Teste vamos adicionar o nosso controlador que criamos no item "Controlador alvo", em Configurações vamos colocar o Tipo "Java" e a opção "Redirecionar automaticamente". Em Padrões de URL a serem incluídos adicione as extensões ".*\.html",".*\.jsp", ".*\.do". Em Padrões de URL a serem excluídos ".*\.icon", ".*\.jpg" etc. Agora temos que configurar o Browser e Depois é só iniciar o servidor clicando no Botão "Iniciar".
Postado por Reinaldo Mateus Rossetti Junior às 07:54 5 comentários: Links para esta postagem
Requisitos para Realização dos Testes de Segurança
Antes de vir o Sistema para realizar os Testes de Segurança, devemos entender algumas coisas, não adianta vir pra testes um sistema que não foi implementado nenhum controle de Segurança, que não foi aplicado nenhum método de desenvolvimento e processo seguro, não adianta você testar uma Aplicação sem analisar esses pontos, porque se algum ponto seu teste falhar, pode ter certeza que a Aplicação esta Vulnerável. Não garanta 100% de segurança nos testes, não caia nesse erro, abaixo segue alguns procedimentos antes de entrar na fase de Teste.
Implementar Controles de Segurança (contra XSS, SQL-Injection etc.).
Realiza o Backup do Banco de Dados.
Desativar o Captia
Abuso de Funcionalidades – Métodos de HTTP Trace e Track devem ser desativados caso não for usado.
Versões de Componentes, Banco de Dados, Servidor Web, não deve constar na camada de apresentação.
Arquivos de Log, Paginas duplicatas, Páginas de Teste, .bak, sav, .old, .txt, etc. devem ser limpas do Builder, caso não seja essencial.
Todas as transmissões de Dados Sigilosos devem conter SSL (Protocolo de Camada de Sockets Segura) e TLS (Segurança da Camada de Transporte).
Não deve conter a listagem de arquivos nas Aplicações.
As referências das solicitações HTTP devem vir somente do domínio.
O sistema não deve fazer o download ou visualizar o conteúdo de um arquivo de configuração, o que pode conter informações vitais, como nomes de usuários e senhas.
As mensagens de erro de login ou senha devem ser únicas.
O usuário deve ser bloqueado depois de inúmeras tentativas de erro de login e senha.
O sistema deve conter um algoritmo de armazenamento de dados Seguro.
Remover os valores de parâmetro 'codificados permanentemente' no HTML como um parâmetro do tipo 'oculto'.
Não deve colocar o caminho do servidor no código html, scripts, etc.
Código de terceiros, não deve está nome de desenvolvedor, telefone, ou qualquer outro dado de terceiro na camada de aplicação.
Página de administrador, não deve está nos mecanismos de busca da internet.
A aplicação não deve responder a comandos externos.
A Aplicação não deve fazer o upload de código fonte ou qualquer outro script.
As pilhas de tratamentos de erros, não devem aparecer na camada de aplicação, informações de tabelas, procedures, select etc.