<മുമ്പത്തെ | ഉള്ളടക്കം | അടുത്തത്>

11.2.4. ആപ്ലിക്കേഷൻ മൂല്യനിർണ്ണയം

മിക്ക മൂല്യനിർണ്ണയങ്ങൾക്കും വിശാലമായ വ്യാപ്തി ഉണ്ടെങ്കിലും, ഒരു ആപ്ലിക്കേഷൻ മൂല്യനിർണ്ണയം ഒരു പ്രത്യേക ആപ്ലിക്കേഷനിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കുന്ന ഒരു പ്രത്യേകതയാണ്. ഓർഗനൈസേഷനുകൾ ഉപയോഗിക്കുന്ന മിഷൻ-ക്രിട്ടിക്കൽ ആപ്ലിക്കേഷനുകളുടെ സങ്കീർണ്ണത കാരണം ഇത്തരത്തിലുള്ള വിലയിരുത്തലുകൾ കൂടുതൽ സാധാരണമായിക്കൊണ്ടിരിക്കുകയാണ്, അവയിൽ പലതും വീട്ടിൽ നിർമ്മിച്ചതാണ്. ഒരു ആപ്ലിക്കേഷൻ മൂല്യനിർണ്ണയം സാധാരണയായി ആവശ്യാനുസരണം വിശാലമായ വിലയിരുത്തലിലേക്ക് ചേർക്കുന്നു. ഈ രീതിയിൽ വിലയിരുത്തപ്പെടാവുന്ന ആപ്ലിക്കേഷനുകളിൽ ഇവ ഉൾപ്പെടുന്നു, എന്നാൽ ഇവയിൽ മാത്രം പരിമിതപ്പെടുന്നില്ല:

• വെബ് ആപ്ലിക്കേഷനുകൾ: ബാഹ്യമായി അഭിമുഖീകരിക്കുന്ന ഏറ്റവും സാധാരണമായ ആക്രമണ ഉപരിതലം, വെബ് ആപ്ലിക്കേഷനുകൾ ആക്സസ് ചെയ്യാൻ കഴിയുന്നതിനാൽ വലിയ ലക്ഷ്യങ്ങൾ സൃഷ്ടിക്കുന്നു. മിക്കപ്പോഴും, സാധാരണ മൂല്യനിർണ്ണയങ്ങൾ വെബ് ആപ്ലിക്കേഷനുകളിൽ അടിസ്ഥാന പ്രശ്നങ്ങൾ കണ്ടെത്തും, എന്നിരുന്നാലും കൂടുതൽ ശ്രദ്ധാകേന്ദ്രമായ അവലോകനം പലപ്പോഴും ആപ്ലിക്കേഷന്റെ വർക്ക്ഫ്ലോയുമായി ബന്ധപ്പെട്ട പ്രശ്നങ്ങൾ തിരിച്ചറിയാൻ സമയത്തിന് അർഹമാണ്. ദി kali-linux-web ഈ വിലയിരുത്തലുകളെ സഹായിക്കാൻ മെറ്റാ-പാക്കേജിന് നിരവധി ടൂളുകൾ ഉണ്ട്.

• സമാഹരിച്ച ഡെസ്ക്ടോപ്പ് ആപ്ലിക്കേഷനുകൾ: സെർവർ സോഫ്‌റ്റ്‌വെയർ മാത്രമല്ല ലക്ഷ്യം; ഡെസ്ക്ടോപ്പ് ആപ്ലിക്കേഷനുകളും ഒരു അത്ഭുതകരമായ ആക്രമണ ഉപരിതലം ഉണ്ടാക്കുന്നു. കഴിഞ്ഞ വർഷങ്ങളിൽ, പോലുള്ള നിരവധി ഡെസ്ക്ടോപ്പ് ആപ്ലിക്കേഷനുകൾ

21http://docs.kali.org/kali-dojo/02-mastering-live-build 22https://www.offensive-security.com/kali-linux/kali-rolling-iso-of-doom/ 23http://docs.kali.org/development/live-build-a-custom-kali-iso 24https://www.offensive-security.com/kali-linux/kali-linux-recipes/‌‌‌

PDF റീഡറുകളോ വെബ് അധിഷ്‌ഠിത വീഡിയോ പ്രോഗ്രാമുകളോ വളരെയധികം ടാർഗെറ്റുചെയ്‌തു, ഇത് അവരെ പക്വത പ്രാപിക്കാൻ നിർബന്ധിതരാക്കി. എന്നിരുന്നാലും, ശരിയായി അവലോകനം ചെയ്യുമ്പോൾ കേടുപാടുകൾ നിറഞ്ഞ നിരവധി ഡെസ്ക്ടോപ്പ് ആപ്ലിക്കേഷനുകൾ ഇപ്പോഴും ഉണ്ട്.

• മൊബൈൽ ആപ്ലിക്കേഷനുകൾ: മൊബൈൽ ഉപകരണങ്ങൾ കൂടുതൽ ജനപ്രിയമാകുമ്പോൾ, മൊബൈൽ ആപ്ലിക്കേഷനുകൾ പല വിലയിരുത്തലുകളിലും ഒരു സാധാരണ ആക്രമണ പ്രതലമായി മാറും. ഇത് അതിവേഗം ചലിക്കുന്ന ലക്ഷ്യമാണ്, ഈ മേഖലയിൽ രീതിശാസ്ത്രങ്ങൾ ഇപ്പോഴും പക്വത പ്രാപിക്കുന്നു, ഇത് പ്രായോഗികമായി എല്ലാ ആഴ്ചയും പുതിയ സംഭവവികാസങ്ങളിലേക്ക് നയിക്കുന്നു. മൊബൈൽ ആപ്ലിക്കേഷനുകളുടെ വിശകലനവുമായി ബന്ധപ്പെട്ട ഉപകരണങ്ങൾ ഇതിൽ കാണാം എഞ്ചിനീയറിംഗ് റിവേഴ്സ് ചെയ്യുക മെനു വിഭാഗം.

ആപ്ലിക്കേഷൻ വിലയിരുത്തൽ വ്യത്യസ്ത രീതികളിൽ നടത്താം. ഒരു ലളിതമായ ഉദാഹരണമെന്ന നിലയിൽ, സാധ്യമായ പ്രശ്നങ്ങൾ തിരിച്ചറിയാനുള്ള ശ്രമത്തിൽ ആപ്ലിക്കേഷനെതിരെ ഒരു ആപ്ലിക്കേഷൻ-നിർദ്ദിഷ്ട ഓട്ടോമേറ്റഡ് ടൂൾ പ്രവർത്തിപ്പിക്കാൻ കഴിയും. അറിയപ്പെടുന്ന ഒരു കൂട്ടം ഒപ്പുകളെ ആശ്രയിക്കുന്നതിനുപകരം അജ്ഞാത പ്രശ്നങ്ങൾ തിരിച്ചറിയാനുള്ള ശ്രമത്തിൽ ഈ ഉപകരണങ്ങൾ ആപ്ലിക്കേഷൻ-നിർദ്ദിഷ്ട ലോജിക് ഉപയോഗിക്കും. ഈ ടൂളുകൾക്ക് ആപ്ലിക്കേഷന്റെ സ്വഭാവത്തെക്കുറിച്ച് അന്തർനിർമ്മിത ധാരണ ഉണ്ടായിരിക്കണം. ബർപ്പ് സ്യൂട്ട് പോലുള്ള ഒരു വെബ് ആപ്ലിക്കേഷൻ വൾനറബിലിറ്റി സ്കാനറായിരിക്കും ഇതിന്റെ ഒരു സാധാരണ ഉദാഹരണം.25, വിജയകരമായ ആക്രമണത്തിന്റെ സൂചനകൾക്കായി ആപ്ലിക്കേഷന്റെ പ്രതികരണം നിരീക്ഷിക്കുമ്പോൾ, വിവിധ ഇൻപുട്ട് ഫീൽഡുകൾ തിരിച്ചറിയുകയും പിന്നീട് ഈ ഫീൽഡുകളിലേക്ക് പൊതുവായ SQL കുത്തിവയ്പ്പ് ആക്രമണങ്ങൾ അയക്കുകയും ചെയ്യുന്ന ഒരു ആപ്ലിക്കേഷനെതിരേ നിർദ്ദേശിച്ചു.

കൂടുതൽ സങ്കീർണ്ണമായ ഒരു സാഹചര്യത്തിൽ, ഒരു ആപ്ലിക്കേഷൻ മൂല്യനിർണ്ണയം ഒന്നുകിൽ സംവേദനാത്മകമായി നടത്താം a

ബ്ലാക്ക് ബോക്സ് അല്ലെങ്കിൽ വൈറ്റ് ബോക്സ് രീതി.

• ബ്ലാക്ക് ബോക്‌സ് മൂല്യനിർണ്ണയം: ഒരു സാധാരണ ഉപയോക്താവിനേക്കാൾ പ്രത്യേക അറിവോ ആക്‌സസോ ഇല്ലാതെ ടൂൾ (അല്ലെങ്കിൽ മൂല്യനിർണ്ണയം) ആപ്ലിക്കേഷനുമായി സംവദിക്കുന്നു. ഉദാഹരണത്തിന്, ഒരു വെബ് ആപ്ലിക്കേഷന്റെ കാര്യത്തിൽ, സിസ്റ്റത്തിൽ ലോഗിൻ ചെയ്തിട്ടില്ലാത്ത ഒരു ഉപയോക്താവിന് ലഭ്യമായ ഫംഗ്ഷനുകളിലേക്കും സവിശേഷതകളിലേക്കും മാത്രമേ മൂല്യനിർണ്ണയകന് ആക്സസ് ഉണ്ടായിരിക്കൂ. ഉപയോഗിക്കുന്ന ഏതൊരു ഉപയോക്തൃ അക്കൗണ്ടും ഒരു സാധാരണ ഉപയോക്താവിന് അക്കൗണ്ട് സ്വയം രജിസ്റ്റർ ചെയ്യാൻ കഴിയുന്നവയാണ്. ഒരു അഡ്‌മിനിസ്‌ട്രേറ്റർ സൃഷ്‌ടിക്കേണ്ട ഉപയോക്താക്കൾക്ക് മാത്രം ലഭ്യമാകുന്ന ഏതൊരു പ്രവർത്തനവും അവലോകനം ചെയ്യുന്നതിൽ നിന്ന് ആക്രമണകാരിയെ ഇത് തടയും.

• വൈറ്റ് ബോക്‌സ് മൂല്യനിർണ്ണയം: ഉപകരണത്തിന് (അല്ലെങ്കിൽ മൂല്യനിർണ്ണയക്കാരന്) പലപ്പോഴും സോഴ്‌സ് കോഡിലേക്ക് പൂർണ്ണ ആക്‌സസ് ഉണ്ടായിരിക്കും, ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കുന്ന പ്ലാറ്റ്‌ഫോമിലേക്കുള്ള അഡ്മിനിസ്‌ട്രേറ്റീവ് ആക്‌സസ് മുതലായവ. ആപ്ലിക്കേഷനിൽ ആ പ്രവർത്തനം എവിടെയാണ് നിലനിൽക്കുന്നത് എന്നത് പരിഗണിക്കാതെ തന്നെ, എല്ലാ ആപ്ലിക്കേഷൻ പ്രവർത്തനങ്ങളുടെയും പൂർണ്ണവും സമഗ്രവുമായ അവലോകനം പൂർത്തിയായി എന്ന് ഇത് ഉറപ്പാക്കുന്നു. മൂല്യനിർണ്ണയം ഒരു തരത്തിലും യഥാർത്ഥ ക്ഷുദ്ര പ്രവർത്തനത്തിന്റെ അനുകരണമല്ല എന്നതാണ് ഇതുമായുള്ള വ്യാപാരം.

അതിനിടയിൽ ചാരനിറത്തിലുള്ള ഷേഡുകൾ പ്രകടമാണ്. സാധാരണഗതിയിൽ, നിർണ്ണായക ഘടകം മൂല്യനിർണ്ണയത്തിന്റെ ലക്ഷ്യമാണ്. ആപ്ലിക്കേഷൻ ഫോക്കസ്ഡ് എക്സ്റ്റേണൽ ആക്രമണത്തിന് വിധേയമായാൽ എന്ത് സംഭവിക്കുമെന്ന് തിരിച്ചറിയുകയാണ് ലക്ഷ്യമെങ്കിൽ, ബ്ലാക്ക് ബോക്‌സ് വിലയിരുത്തുന്നതാണ് നല്ലത്. താരതമ്യേന ചുരുങ്ങിയ സമയത്തിനുള്ളിൽ കഴിയുന്നത്ര സുരക്ഷാ പ്രശ്നങ്ങൾ തിരിച്ചറിയുകയും ഇല്ലാതാക്കുകയും ചെയ്യുക എന്നതാണ് ലക്ഷ്യമെങ്കിൽ, ഒരു വൈറ്റ് ബോക്സ് സമീപനം കൂടുതൽ കാര്യക്ഷമമായേക്കാം.

25https://portswigger.net/burp/

മറ്റ് സന്ദർഭങ്ങളിൽ, ആപ്ലിക്കേഷൻ പ്രവർത്തിപ്പിക്കുന്ന പ്ലാറ്റ്‌ഫോമിന്റെ ആപ്ലിക്കേഷൻ സോഴ്‌സ് കോഡിലേക്ക് മൂല്യനിർണ്ണയക്കാരന് പൂർണ്ണമായ ആക്‌സസ് ഇല്ലാത്ത സാഹചര്യത്തിൽ ഒരു ഹൈബ്രിഡ് സമീപനം സ്വീകരിക്കാം, എന്നാൽ കഴിയുന്നത്ര ആപ്ലിക്കേഷൻ പ്രവർത്തനത്തിലേക്ക് ആക്‌സസ് അനുവദിക്കുന്നതിന് ഉപയോക്തൃ അക്കൗണ്ടുകൾ ഒരു അഡ്മിനിസ്‌ട്രേറ്റർ നൽകിയിട്ടുണ്ട്.

എല്ലാ രീതിയിലുള്ള ആപ്ലിക്കേഷൻ വിലയിരുത്തലുകൾക്കും അനുയോജ്യമായ ഒരു പ്ലാറ്റ്ഫോമാണ് കാളി. ഒരു ഡിഫോൾട്ട് ഇൻസ്റ്റാളേഷനിൽ, വ്യത്യസ്ത ആപ്ലിക്കേഷൻ-നിർദ്ദിഷ്ട സ്കാനറുകളുടെ ഒരു ശ്രേണി ലഭ്യമാണ്. കൂടുതൽ വിപുലമായ വിലയിരുത്തലുകൾക്കായി, ടൂളുകളുടെ ഒരു ശ്രേണി, ഉറവിട എഡിറ്റർമാർ, സ്ക്രിപ്റ്റിംഗ് പരിതസ്ഥിതികൾ എന്നിവ നിലവിലുണ്ട്. നിങ്ങൾക്ക് വെബ് ആപ്ലിക്കേഷൻ കണ്ടെത്താം26 റിവേഴ്സ് എൻജിനീയറിങ്ങും27 കാളി ഉപകരണങ്ങളുടെ വിഭാഗങ്ങൾ28 വെബ്സൈറ്റ് സഹായകരമാണ്.

<മുമ്പത്തെ | ഉള്ളടക്കം | അടുത്തത്>