В общем, столкнулся с тем, что даже опытные люди иногда лажают при оценке уязвимостей сайтов и порталов. Например, оставляют в настройках стандартные пароли, забывают обновлять компоненты или не проверяют взаимодействие разных модулей вместе. Часто больше всего геморроя создаёт нехватка системности: вроде бы сканеры показали, что всё чисто, а потом внезапно появляются дырки из-за цепочки мелких промахов.

Заметил для себя несколько моментов, которые реально помогают не наломать дров: во-первых, всегда делать ручную выборочную проверку после автоматических тестов, чтобы не пропустить редкие кейсы. Во-вторых, держать актуальной базу знаний о новых векторах атак, а не только то, что выучил когда-то. Ну и не забывать про баг-трекинг — фиксируешь и проверяешь повторно, а не забиваешь на исправленные уязвимости.

Как вариант, стоит попытаться системно выстраивать тестирование, включая разные сценарии: работа с авторизацией, обработка ввода, нагрузка на сервера. У меня больше всего проблем вылазит из-за несовпадения условий, при которых баги проявляются — одно тесты пропускают, другое – вылавливают.

Кто как борется с этим? Какие ошибки самые частые по вашим наблюдениям?