Hvernig formexposed-athugun virkar: án inngripa, gagnsæ og tillitssöm

Þegar þú slærð inn lén í ókeypis athugun á formexposed.com heimsækir skanni það vefsvæði og kemur til baka með skýrslu. Þessi grein fer yfir það sem gerist þar á milli: hvað skanninn hleður, hvað hann skoðar, hvað hann gerir vísvitandi ekki og hvers vegna sumar upplýsingar birtast aðeins þegar þú hefur sýnt fram á að lénið sé þitt.

Frá léni að skýrslu

Skanninn hleður opinberar síður vefsvæðisins eins og vafri myndi gera, þar á meðal forritabúta sem keyra á þeim. Það skiptir máli því mörg eyðublöð, CAPTCHA-viðmótseiningar, vafrakökuborðar og rakningarmerki bætast aðeins við með JavaScript eftir að síðan hefur hlaðist; skoðun á hráu HTML einu og sér myndi missa af þeim. Á þessum síðum leitar skanninn að eyðublöðum og flokkar hvert eftir tilgangi — tengiliðaeyðublað, skráning á fréttabréf, innskráning og svo framvegis. Flokkunin setur niðurstöðurnar í samhengi: fréttabréfareitur hefur aðrar þarfir en tengiliðaeyðublað sem afhendir skilaboð beint í innhólf einhvers.

Hvað skanninn skoðar

• Vörn gegn ruslpósti og misnotkun: hvort CAPTCHA sé til staðar (reCAPTCHA, hCaptcha, Turnstile, Friendly Captcha, sérsniðin reiknings- eða mynda-CAPTCHA eða ruslpóstþjónusta á þjóni) og hvort það sé rétt stillt — opinber prófunarveflykill eða viðmótseining án forritabútsins síns verndar ekkert. Einnig gildrureitir, CSRF-auðkenni og tímagildrur.
• Umhverfið: þekktar viðkvæmar samsetningar CMS og viðbóta, hvort eyðublaðið sendi til þjónustu þriðja aðila og hvort WAF eða CDN sé fyrir framan vefsvæðið.
• Merki um persónuvernd: tengill á persónuverndarstefnu við eyðublaðið, hvort höfnun vafrakökuborðans stöðvi rakningu í raun, auglýsinga- eða rakningarpixlar sem virkjast á eyðublaðssíðum, endurspilunarverkfæri sem kunna að skrá það sem fólk skrifar og netfang viðtakanda sýnilegt í frumkóða síðunnar.
• Merki um aðgengi: axe-core-athuganir á eyðublaðinu (heiti reita, villuskilaboð, andstæður og fleira), hvort CAPTCHA sé aðgengilegt, gildrureitir sem skjálesarar lesa upp og hvernig eyðublaðið virkar í síma — snertisvæði, yfirlag sem hylur sendihnappinn og lárétt skrun.

Án inngripa, gagnsæ og tillitssöm

Nafnlausa athugunin er án inngripa. Skanninn les síður; hann fyllir ekki út reiti, sendir ekki eitt einasta eyðublað og reynir ekki að skrá sig inn neins staðar. Enginn fær prófunarskilaboð og ekkert endar í innhólfi eða gagnagrunni vefsvæðisins. Hann hagar sér líka eins og kurteis gestur: hann les robots.txt og virðir það og auðkennir sig sem FormExposedBot í stað þess að þykjast vera venjulegur vafri. Sá sem finnur þetta heiti í þjónsannálum sínum getur flett því upp á formexposed.com/bot, þar sem útskýrt er hvað botinn gerir.

Varið, að hluta varið, óvarið

• Varið: eyðublöðin sem fundust hafa vörn sem virðist áhrifarík án áberandi gloppa sem sjást utan frá.
• Að hluta varið: vörn er til staðar en með gloppum — til dæmis CAPTCHA með prófunarlykli eða eitt eyðublað varið en annað ekki.
• Óvarið: eyðublöð skortir greinanlega vörn eða sýna veikleika sem auðvelda misnotkun.

Stigið dregur saman það sem sést utan frá; það er ekki trygging í aðra hvora áttina. Skýrslur úr nafnlausum athugunum eru skammlífar af ásettu ráði og ekki skráðar í leitarvélum. Og þar sem hver sem er getur slegið inn hvaða lén sem er sleppa þær nánari upplýsingum um veikleika: skýrslan sýnir að eitthvað þurfi athygli en ekki nákvæmlega veika punktinn sem árásaraðili gæti notað. Þær upplýsingar eru aðeins sýndar staðfestum eigendum lénsins.

Hvað breytist með staðfestu léni

Tveir þessara þátta eiga skilið nánari skoðun. Virkar athuganir eru óvirkar nema þú kveikir á þeim og aðeins tiltækar fyrir lén sem þú hefur staðfest. Skanninn sendir þá fáeinar skýrt merktar prófunarinnsendingar svo þú og teymið þitt þekkið þær. Saman við afhendingarathugunina svarar þetta spurningu sem engin skönnun án inngripa getur svarað: berast skilaboð sem eru send í gegnum eyðublaðið í raun? Vöktun er hins vegar hönnuð til að hafa hljótt um sig. Þú færð viðvörun — með tölvupósti, vefkrækju, Slack, Discord, Telegram eða Google Chat — aðeins þegar eitthvað breytist, til dæmis þegar CAPTCHA hverfur eftir uppfærslu eða nýr rakningarpixill birtist á tengiliðasíðunni.

Ef þú vilt sjá það sem skanninn sér skaltu byrja á ókeypis athugun á formexposed.com: sláðu inn lénið þitt og lestu skýrsluna. Ef þú átt vefsvæðið og vilt nánari upplýsingar, reglulega vöktun og afhendingarathugun skaltu staðfesta lénið í aðgangi.