Web-sovellusten haavoittuvuudet ja penetraatiotestaus

Abstract

Penetraatiotestaus ja tietoturva ovat olennainen osa ohjelmistokehitystä. Luottamuksellisen tiedon ja identiteettivarkauksien määrä on kasvava ongelma tällä hetkellä. Näistä syistä web-sovellusten haavoittuvuudet ja tietoturvallisuus ovat ajankohtaisia ja kiinnostavia aiheita monille ohjelmoijille.

Tämän tutkimuksen tarkoituksena oli tarjota tietoa ohjelmoijille, miten web-sovellukset ovat alttiina hyökkäyksille sekä antaa muutamia perusohjeita, miten estää näitä uhkia. Toisena tavoitteena oli selvittää, mitä on eettinen hakkerointi ja tutkia, miten penetraatiotestaus suoritetaan asianmukaisella tavalla.

Tässä tutkimuksessa keskityttiin ohjelmistokoodiin. Palvelin- ja asiakasohjelmiston konfiguraatiot jätettiin tutkimuksen ulkopuolelle. OWASP Top Ten -listausta käytettiin lähteenä web-sovellusten tämän hetken kaikkein yleisimmille haavoittuvuuksille.

Web-sovellusten tietoturvallisuuden perusteorian ja joidenkin monimutkaisempien yksityiskohtien selittämiseen käytettiin laadukkaita kirjallisia lähteitä internetistä löytyvien lähteiden ohella. Teorian lisäksi tämä opinnäytetyö tarjoaa toimivia esimerkkejä hyökkäyksistä ja koodiesimerkkejä, kuinka ohjelmoijat voivat estää näiden haavoittuvuuksien hyödyntämistä.

Tutkimuksen tärkein kohderyhmä on web-ohjelmoijat ja erityisesti ne, jotka käyttävät ohjelmointikielenä Javaa.

Penetration testing and security are an essential part of software development. Stealing confidential information and identity thefts are a growing problem at the moment. For these reasons the vulnerabilities and security of web applications are timely and interesting topics for many programmers.

The purpose of this study was to offer information for programmers on how web applications are exposed to attacks, and provide some basic guidelines for how to prevent these threats. The second objective was to find out what ethnical hacking is and examine how penetration testing is carried out in an appropriate manner.

In this study the focus was at the programming level. Server and client configurations were excluded from the study. OWASP top ten listing was used as the source of the most common vulnerabilities found at the moment in the web applications.

To explain the basic theory about the web application security and some of the more complex details, high quality written sources were used in addition to the resources available on the Internet. In addition to the theory this study provides working examples of attacks and code examples of how programmers can prevent exploitation of these vulnerabilities.

The main target group for this study is web programmers and especially those who use Java as a programming language.