Проблемы из OWASP Top 10 и как их быстро проверить
 

Парни, кто шарит в веб-безопасности, расскажите, как вы обычно проверяете самые ищущиеся уязвимости из OWASP Top 10? Чтобы не вдаваться в сложные инструменты и заморочки, а просто иметь под рукой эффективный чек-лист для базовой проверки.

Например, с инъекциями (SQL и прочее) у меня обычно стартует проверка на ввод с кавычками и спецсимволами — если база ругается или данные в итоге ведут себя странно, можно подозревать пробоины. С XSS — грубо пытаюсь вставить <script> и смотрю, не выводит ли сайт это прямо в страницу, а не эскейпит. CSRF — проверяю, есть ли токен в формах и меняется ли он при каждом запросе.

Проблемы типа «Broken Authentication» часто видны по доступности стандартных логинов, слабым паролям или отсутствию блокировки при нескольких неудачных попытках. А «Security Misconfiguration» — просто проверяю заголовки ответа, правильно ли настроен CORS, не открыты ли публично административные панели.

Самый простой способ защититься — использовать проверенные библиотеки и фреймворки, которые уже умеют работать с этими вопросами, плюс не мутить с костылями. Но иногда фишка именно в понимании причины, чтобы не исправлять проблему на глаз, да и не упустить что-то важное.

У кого есть свои рабочие «палки» или лайфхаки, чтобы избежать самых банальных дыр из этого списка? Какая у вас последовательность действий и инструменты, если не считать тяжёлый софт типа Burp Suite?

Вроде как всё понятно, но такой подход слишком поверхностный. Например, с XSS просто вставлять теги — это лотерея, много нюансов зависит от контекста. Да и CSRF с токенами не всегда так просто проверить вручную, без инструментов легко что просмотреть. В итоге, если хочется быстро — норм, но серьезные уязвимости так не найдёшь, а фиксы могут оказаться поверхностными и опасными.