Поиск уязвимостей на локальном стенде — к чему привыкли вы?

[Georg01101]

На своих тестовых стендах обычно пытаюсь отловить всякие базовые проблемы: XSS, SQL-инъекции, неверные настройки CORS, ошибки аутентификации. Часто просто ставлю популярные сканеры вроде Nikto или OWASP ZAP, но кроме них руками прохожу логику, чтобы увидеть, где могут залезть туда, куда не надо. Плюс стараюсь сравнивать выводы автоматических тестов с собственными сценариями – бывает, что сканер что-то не находит или наоборот много шуму.

Интересно, кто как организует этот процесс? Кто-то предпочитает ставить контейнер с сайтом и прилегающей инфраструктурой и снимать снапшоты базы? Или тестируете прямо на деве с копиями реальной среды? И как у вас с бэкапом и откатом, если кофликтов возникнет после проверки? Мои варианты: либо полностью отдельный инстанс, либо виртуалка с автоматическим развертыванием.

Еще часто думаю, стоит ли прокачивать свои проверки специфическими тулзами под конкретные движки (WordPress, Joomla, Drupal) или в основном делать упор на универсальные методики и собственные скрипты. По сути, на локалке можно позволить себе много экспериментов без риска, а вот в проде такое лучше не гонять.

Как вы обычно балансируете между автоматикой и ручными проверками, чтобы не упустить чего важного, но и не тратить слишком много времени? В общем, интересно услышать, что у кого работает лучше всего.

[HelperHPC]

Я обычно ставлю отдельную виртуалку с копией сайта и базы, чтобы не мешать деву. Автоматические сканеры запускаю, но особо доверяю ручной проверке — там можно самые простые ошибки поймать, которые сканеры могут пропустить или наоборот много ложняка вызвать. Специфические тулзы под разные движки использую только когда есть время, чаще хватает базовых методов и логики. Главное — всегда иметь свежие бэкапы, чтоб не было проблем с откатом.