Использование Selenium script для аутентификации в WEB приложениях.

1. We believe that constant professionalism level growth helps to minimize the threats to your company's information security thus ensuring your success.
Сканирование WEB–приложений с аутентификацией
Александр Ветров
Инженер информационной безопасности

2. В данной статье я расскажу об использовании Selenium script для аутентификации в WEB приложении.
Очень часто WEB приложения имеют нестандартную форму ввода логина и пароля. Будь то всплывающее меню и
им подобные. И вот именно здесь на помощь нам приходит функционал Selenium script (http://www.seleniumhq.org/) для
успешной аутентификации в рамках сканирования приложения. Приложение Selenium script выступает в роли
расширения для браузера.
Запускаем браузер, открываем Selenium script.
В поле Base URL вводим адрес страницы с авторизацией.

3. Далее активируем кнопку записи действий

4. Переходим в браузер и выполняем авторизацию
После того, как мы ввели учётные данные в нужные поля, нажимаем кнопку входа

5. В результате наших действий, в окне Selenium script должны появиться поля с ID и значениями

6. Далее останавливаем запись скрипта и сохраняем его. В результате должен быть файл HTML

7. Далее переходим в консоль Qualys Guard

8. Выбираем нужное приложение и редактируем его

9. Переходим на вкладку Authentication и создаем новый тип аутентификации

10. В появившемся окне задаем имя

11. На вкладке Server Records выбираем тип Selenium script

12. Далее нам предлагают выбрать скрипт

13. Выбираем сохраненный скрипт

15. В поле Validation Regular Expression нужно вставить значение, которой будет доступно на странице после успешной
аутентификации. В нашем случае это может быть слово Portal.

16. Сохраняем запись аутентификации и завершаем редактирование Web приложения. Для того, что бы быстро проверить
успешность данного скрипта, можно выполнить Discovery scan

18. Выбираем ранее созданную запись аутентификации
И запускаем сканирование.

19. В результате, при успешной аутентификации, мы увидим Authentication Status: Successful
После этого можно смело проводить Vulnerability Scan данного приложения и не переживать о том, что аутентификация не
пройдет.
Продолжение следует…