Penetrační testování webových aplikací

Radek Hučín

Diplomová práce

Penetration Testing of Web Applications

Anotace:

Tato práce se zabývá problematikou bezpečnosti webových aplikací. Na začátku práce je uvedena rešerše aktuálního stavu na poli penetračního testování. V teoretické práci je pak popsán samotný pojem penetrační testování, jeho typy, výhody i nevýhody a také několik standardů, které s tímto typem bezpečnostního testování úzce souvisejí. Součástí práce je i analýza několika reportů zaměřených na zranitelnosti ve webových aplikacích, z nichž jsou vybrány ty nejčastější. Všechny vybrané zranitelnosti jsou teoreticky popsány a poté i prakticky demonstrovány na připravené webové aplikaci, kde jsou také předvedeny i monožsti obrany. Výstupem této práce je jednoduchý penetrační nástoj a sada doporučení pro bezpečnou implementaci webových aplikací.

Abstract:

This work addresses problematics of web application security. At the beginning of the thesis is the research of the current state of penetration testing. The theoretical part of work describes the concept of penetration testing itself, its types, advantages and disadvantages as well as several standards that are closely related to this type of security testing. Part of the thesis is also an analysis of several reports on vulnerabilities in web applications, from which the most frequent ones are selected. All the selected vulnerabilities are described in theory and then practically demonstrated on a prepared web application where defense mechanisms are also presented. The output of this work is a simple penetration tool and set of recommendations for a secure web application implementation.

Klíčová slova

bezpečnost webových aplikací, běžné zranitelnosti, Cross Site Scripting, File Inclusion, OS Command Injection, Path Traversal, penetrační testování, SQL Injection, standardy penetračního testování, validace vstupů

Keywords

web application securit, common vulnerabilities, Cross Site Scripting, File Inclusion, OS Command Injection, Path Traversal, penetration testing, SQL Injection, penetration testing standards, input validation

Jazyk práce: čeština

Datum vytvoření / odevzdání či podání práce: 30. 4. 2018

Obhajoba závěrečné práce

• Obhajoba proběhla 31. 5. 2018
• Vedoucí: Jan Plucar
• Oponent: Ivan Zelinka

VŠB - Technická univerzita Ostrava

Fakulta elektrotechniky a informatiky

Magisterský studijní program / obor:
Informační a komunikační technologie / Informační a komunikační bezpečnost