Выбор ответа Middle Secure SDLC, сканеры и пентест спрашивают часто обновлено
Что сканеры находят плохо
Вопрос
Какой класс уязвимостей автоматические сканеры (SAST и DAST) находят хуже всего?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Ошибки авторизации и бизнес-логики: чужой заказ, повторный промокод. Сканер не знает, чей это заказ и сколько раз можно применить промокод.
Варианты ответа
- SQL-инъекции через конкатенацию строк в редко вызываемых обработчиках
- Отражённый XSS в параметре поиска, если ответ приходит в JSON
- Ошибки авторизации и бизнес-логики: чужой заказ, повторный промокодправильный ответ
- Устаревшие версии библиотек, подключённые без менеджера пакетов
Разбор
Сканер не знает, чей это заказ и сколько раз можно применить промокод. Такие ошибки ищут моделированием угроз, тестами доступа и ручным ревью. Инъекции и отражённый XSS сканеры находят хорошо, устаревшие библиотеки находит SCA.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.