স্ক্যানার
স্ক্যানারে দুটি ট্যাব আছে: প্যাসিভ স্ক্যানার ও অ্যাক্টিভ স্ক্যানার। প্রতিটি বিশ্লেষণের আলাদা পর্যায়ের জন্য।
প্যাসিভ স্ক্যানার
প্যাসিভ স্ক্যানার ইতিমধ্যে ক্যাপচার করা ট্রাফিক পর্যালোচনা করে। এটি কোনো অতিরিক্ত অনুরোধ পাঠায় না।
- অনুরোধ ও উত্তরের বিষয়বস্তুতে নিয়ম চালানো হয়: হেডার, কুকি, টোকেন, বডির প্যাটার্ন, ত্রুটির বার্তা ও প্রকাশিত ফাইল।
- প্রতিটি নিয়মে তার তীব্রতা, বিভাগ এবং কী শনাক্ত করে তার সহজ ভাষার বর্ণনা দেখায়।
- সমস্ত ইতিহাস স্ক্যান করুন ক্যাপচার করা সব ট্রাফিকে প্রতিটি সক্রিয় নিয়ম প্রয়োগ করে।
- প্যাসিভ নিয়মে তৈরি ফলাফল মিলে যাওয়া প্রমাণসহ পর্যবেক্ষণ (নিরাপত্তা পরীক্ষার ফলাফল) প্যানেলে দেখা যায়।
নতুন অনুরোধ পাঠানো হয় না বলে উৎপাদন পরিবেশের ট্রাফিকসহ যেকোনো ক্যাপচার করা সেশনে প্যাসিভ স্ক্যান চালানো নিরাপদ।
সক্রিয় স্ক্যানার
অ্যাক্টিভ স্ক্যানার ইনজেকশন পেলোডসহ পরিবর্তিত অনুরোধ পাঠায়। উত্তরে মিলে যাওয়া প্রমাণ থাকলেই নিরাপত্তা পরীক্ষার ফলাফল তৈরি করে।
পরীক্ষা ও তীব্রতার মাত্রা
| পরীক্ষা | তীব্রতা |
|---|---|
| SQL ইনজেকশন | উচ্চ |
| ক্রস-সাইট স্ক্রিপ্টিং (XSS) | উচ্চ |
| পাথ ট্রাভার্সাল | উচ্চ |
| কমান্ড ইনজেকশন | সংকটপূর্ণ |
| সার্ভার-পক্ষের টেমপ্লেট ইনজেকশন (SSTI) | সংকটপূর্ণ |
| সার্ভার-পক্ষের অনুরোধ জালিয়াতি (SSRF) | সংকটপূর্ণ |
| উন্মুক্ত পুনর্নির্দেশ | মাঝারি |
প্রমাণের শর্ত
- উত্তরে পরীক্ষার যুক্তির সঙ্গে মিলে যাওয়া প্রমাণ থাকলেই ফলাফল তৈরি হয়। শুধু সার্ভার HTTP 200 ফেরত দিলেই নয়।
- সময়ভিত্তিক পরীক্ষায় (ব্লাইন্ড SQLi, ব্লাইন্ড কমান্ড ইনজেকশন) স্বাভাবিক উত্তর সময়ের ভিত্তিমানের চেয়ে বেশি মাপা বিলম্ব দরকার। সময়সংক্রান্ত পেলোড পাঠানোর আগে স্ক্যানার ভিত্তিমান স্থাপন করে।
- SSRF পরীক্ষায় উত্তরের নির্দেশক খোঁজা হয় এবং কনফিগার করা থাকলে OAST কলব্যাক যাচাই করা হয়। আউট-অব-ব্যান্ড নিশ্চিতকরণের জন্য পৌঁছানো যায় এমন OAST লিসেনার কনফিগার করুন। কেবল উত্তরের নির্দেশক বাহ্যিকভাবে যাচাই করা কলব্যাকের প্রমাণ নয়।
অ্যাক্টিভ স্ক্যানার চালানো
- সহায়ক সরঞ্জাম > স্ক্যানার খুলে সক্রিয় স্ক্যানার ট্যাব নির্বাচন করুন।
- পরীক্ষার তালিকা দেখে লক্ষ্যতে প্রযোজ্য নয় এমন পরীক্ষা বন্ধ করুন।
- সাম্প্রতিক ক্যাপচার করা ট্রাফিকে সব সক্রিয় পরীক্ষা চালাতে সব অনুরোধে সক্রিয় স্ক্যান করুন চাপুন।
- অগ্রগতি দেখুন এবং পর্যবেক্ষণ প্যানেলে ফল পর্যালোচনা করুন। স্ক্যানারের প্রমাণ যাচাইয়ের শুরুবিন্দু; সমস্যা রিপোর্ট করার আগে প্রভাব ও পুনরুৎপাদন নিশ্চিত করুন।
অ্যাক্টিভ স্ক্যান লক্ষ্যকে প্রকৃত অনুরোধ পাঠায়। পরীক্ষার অনুমতি নেই এমন সিস্টেমে এটি চালাবেন না।