Как проверить сайт на уязвимости?

Question

[ProgerFromGod]

Создал сайт вакансий для небольшого города. Теперь думаю залатать дыры сайта, если они есть.

Опыта во взломах и зашиты от них никакого нету. Так что нужна помощь.
Может кто-то потестит сайт на уязвимости? Готов заплатить символично.

Comments

[Дмитрий]

Есть два правила, все что приходит от пользователя должно фильтроваться, если ждём число в гет аргументе, то проверяем/приводим, чистые подстановки всего в код запрещены, все что ввёл пользователь и оно выводится, тоже фильтровать.
Первое защита от подстановки в запросы в базу, второе от всяких фронт приколов вроде xss

[Дмитрий]

Проверить все что может прийти с форм, все что может прийти с адресной строки
Например есть поиск, есть выпадающий список, что если кинуть в запрос то, чего нет в списке?
Есть постраничная навигация, что будет если кинуть номер страницы -10 букву а, или 100000? Или какие либо кавычки

Answer 1

[Alena_Y]

Маклиен, давайте попробуем капнуть глубже
Согласитесь, что юзание чужих утилит: дело тупиковое
Очень интересно было бы узнать, как тестировать сайты на уязвимости (возмем для примера ту же sql-инъекцию) с помощью языков программирования
Было бы очень интересно увидеть алгоритм работы, который уже каждый программист смог бы реализовать на своём яп

Answer 2

[MrGroovy]

Уязвимости можно условно разделить на уровни на которых они находятся по модели OSI.
1) Уязвимости сетевого стека OS
2) Открытые по ошибке порты (Торчащая наружу БД без авторизации).
3) Уязвимости связанные с работой прикладных протоколов из-за устаревших версий ПО (ssh,ftp)
4) Слабые пароли (Для ssh, ftp, mysql).
5) Уязвимости в веб-приложениях (OWASP TOP 10)

Для каждой отдельной уязвимости и для каждого отдельного типа существуют различные утилиты для проверки.
Начать можно с Nmap и продолжить чтением OWASP Web Application Security Guide.

Есть специальные ресурсы, сканеры уязвимостей, которые могут проверить большинство уязвимостей на каждом из уровней.
https://metascan.ru
https: //acunetix.cоm
https: //detectify.cоm