APTStrike hali ro‘yxatdan o‘tgan kompaniya emas. Shartnomalar uning asoschisi Shahriyor Tursunov bilan jismoniy shaxs sifatida tuziladi.Hali ro‘yxatdan o‘tmaganBatafsil

APTStrikeLoyihani muhokama qilish

Hisobot

Bitta hujjat. Ikki o‘quvchi.

Har bir loyiha rahbariyatingiz ham, muhandislaringiz ham foydalana oladigan bitta hisobot bilan yakunlanadi. Bu sahifa uning tuzilishini namunaviy misolda ko‘rsatadi — bu mijoz ma’lumoti emas.

Loyihani muhokama qilish
O‘quvchilar
Rahbariyat
va muhandislar
Qayta test
Shu hisobotga
qo‘shiladi
Format
Raqamli yoki bosma
sizga kerakli formatda
Yetkazish
Raqamli nusxalar
public keyingiz bilan shifrlanadi

01Tuzilma

Olti qism, doim bir xil tartibda.

  1. 01

    Qisqacha xulosa

    Nima test qilindi, nima topildi va bu biznes uchun nimani anglatadi — sodda tilda, bir sahifada.

  2. 02

    Hajm va metodologiya

    Aynan qaysi nishonlar test qilindi, test qachon o‘tkazildi va qanday bajarildi.

  3. 03

    Zaifliklar jadvali

    Barcha zaifliklar bitta jadvalda, real biznes xavfi bo‘yicha baholangan, joriy holati bilan.

  4. 04

    Batafsil zaifliklar

    Har biri uchun: tavsif, ta’sir, dalillar, takrorlash qadamlari va aniq yechim.

  5. 05

    Tuzatish rejasi

    Nimani hozir tuzatish kerak, nima keyinroq, nima esa qabul qilsa bo‘ladigan xavf.

  6. 06

    Qayta test natijalari

    Tuzatganingizdan keyin har bir zaiflik qayta test qilinadi va natija shu hisobotga qo‘shiladi.

02Rahbariyat uchun

Rahbariyat birinchi nimani o‘qiydi.

Namuna / mijoz ma’lumoti emas

Mijozlar platformasini test qilishda bitta kritik muammo topildi: tizimga kirgan har qanday foydalanuvchi boshqa barcha mijozlarning buyurtmalarini o‘qiy olardi. U va yuqori xavfli parol tiklash muammosi tuzatildi va qayta testda tasdiqlandi. Bitta o‘rta darajali muammo tuzatilmoqda; bitta past darajali muammo xavf sifatida qabul qilindi.

Kritik
1
Yuqori
1
O‘rta
1
Past
1
Penetratsion test hisoboti
Namuna / mijoz ma’lumoti emas
Zaifliklar jadvali — namuna
ID / ZaiflikXavfHolat
F-01Har qanday foydalanuvchi API orqali boshqa mijozlarning buyurtmalarini o‘qiy oladiKritikTuzatildi · qayta tekshirildi
F-02Parolni tiklash havolasi ishlatilgandan keyin ham amal qiladiYuqoriTuzatildi · qayta tekshirildi
F-03Kirish formasida urinishlar soni cheklanmaganO‘rtaJarayonda
F-04Xato sahifalari ichki stack trace’ni ko‘rsatadiPastXavf qabul qilindi

03To‘liq zaiflik tavsifi

Muhandislar har bir zaiflik bo‘yicha nima oladi.

F-01 · Namuna

Har qanday foydalanuvchi API orqali boshqa mijozlarning buyurtmalarini o‘qiy oladi

Xavf
Kritik
Ta’sirlangan
GET /api/orders/{id}
Holat
Tuzatildi

Tavsif

Buyurtmalar endpointi berilgan har qanday ID bo‘yicha buyurtmani qaytaradi. U foydalanuvchi tizimga kirganini tekshiradi, lekin buyurtma unga tegishli ekanini tekshirmaydi.

Ta’sir

Ro‘yxatdan o‘tgan har qanday foydalanuvchi so‘rovdagi bitta raqamni o‘zgartirib, barcha mijozlarning buyurtmalarini — ismlar, yetkazib berish manzillari va buyurtmalar tarixini — o‘qiy oladi.

Dalil

GET /api/orders/10482 HTTP/1.1
Host: shop.example.com
Authorization: Bearer <token of user B>
HTTP/1.1 200 OK
Content-Type: application/json

{ "id": 10482, "customer": "user A", "address": "[redacted]", "items": [ … ] }

Takrorlash

  1. A foydalanuvchi sifatida kiring va buyurtma bering; uning ID raqamini yozib oling.
  2. Alohida sessiyada B foydalanuvchi sifatida kiring.
  3. B foydalanuvchining tokeni bilan A foydalanuvchining buyurtma ID’sini so‘rang.
  4. API 403 Forbidden o‘rniga A foydalanuvchining buyurtmasini qaytaradi.

Tuzatish

Har bir obyekt so‘rovida egalikni serverda tekshiring: buyurtmani faqat egasi autentifikatsiyadan o‘tgan foydalanuvchiga mos kelsa yuklang, aks holda 404 qaytaring. Xuddi shu tekshiruvni obyekt ID qabul qiladigan har bir endpointga qo‘llang.

Qayta test

Tuzatildi · qayta tekshirildi. Endpoint endi boshqa foydalanuvchiga tegishli buyurtmalar uchun 404 qaytaradi.

04Tuzatish rejasi

Nimani, qaysi tartibda tuzatish kerak.

  1. 01

    Hozir tuzating

    • F-01Har qanday foydalanuvchi API orqali boshqa mijozlarning buyurtmalarini o‘qiy oladi
    • F-02Parolni tiklash havolasi ishlatilgandan keyin ham amal qiladi
  2. 02

    Keyin tuzating

    • F-03Kirish formasida urinishlar soni cheklanmagan
  3. 03

    Qaror qiling

    • F-04Xato sahifalari ichki stack trace’ni ko‘rsatadi

Suhbatdan
boshlaymiz.

Loyihani muhokama qilish Ko‘rishQanday ishlashimiz