Re: Info post wapt come procedere ?

--00000000000087c003059b939d3b
Content-Type: text/plain; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

Ok visto, talk interessante, e mi porta a fare altre domande.

Faccio un esempio diciamo che ho un sistema S su cui applico un WAPT chi
richiede il wapt
non chiede (non pensiamo alla spesa ora) anche l'automatizzazione dei test
condotti ? non =C3=A8 una pratica comune immagino ?
Ovvio nessuno pu=C3=B2 sostituire il test manuale ma se questo una volta
concepito viene automatizzato ?

L'idea del talk e dei tool =C3=A8 molto interessante bisognerebbe capire me=
glio
quali sono i punti deboli...

Mi sarebbe piaciuto anche un approccio lato codebase ovvero una volta
trovato un problema trovo il modo di classificare quel bug e di
rifattorizzare non con un fix puntuale ma centralizzato nella code base. In
questo modo ho gestito la "classe" di possiibli varianti.

Provo a fare un esempio se trovo che un parametro che passavo in query
string soffre di xss faccio in modo di canalizzare/rifattorizzare tutto
quello che va in query string con delle parti di codice centralizzate che
verifichino che la query string non sia exploitable.

forse ho detto solo c....te ? spero di no grazie comunque per gli spunti


Il giorno mar 7 gen 2020 alle ore 19:24 Nicol=C3=B2 Fornari <fornari@fastma=
il.com>
ha scritto:

> Ciao Roberto,
>
> ti segnalo un talk [1] e relativo tool [2] su "automatic variant
> analysis". Date le vulnerabilit=C3=A0 che ti sono state riportate, l'idea=
 =C3=A8
> di trovarne le varianti, esistenti e future, in modo automatico su tutta
> la code base integrando questo processo nella pipeline di CI.
>
> Nicol=C3=B2
>
> [1] https://www.youtube.com/watch?v=3D7pXvZsMRVig
> [2] https://securitylab.github.com/tools/codeql
>
> Il 07/01/20 16:13, roberto diana ha scritto:
> > Ciao a tutti,
> >
> > volevo chiedere se esistono linee guida, ma anche consigli etc. sulle
> > azioni da intraprendere dopo aver ricevuto un report di un wapt.
> >
> > Ovvio andr=C3=B2 a risolvere tutti i problem riscontrati ma a livello d=
i un
> > software come posso utilizzare con efficacia le informazioni nel
> > report finale ?, cio=C3=A8 per tutte quelle zone che sono state control=
late
> > e non hanno generato nessun bug
> > esistono tecniche e modi per creare da quel quel report una sorta di
> > baseline di controllo anche automatizzata in CI ?
> >
> > Non lo so se sono riuscito a spiegarmi decentemente nel caso mi scuso
> > grazie cmq a chi mi risponder=C3=A0
> >
> > :-)
>
>
>

--00000000000087c003059b939d3b
Content-Type: text/html; charset="UTF-8"
Content-Transfer-Encoding: quoted-printable

<div dir=3D"ltr">Ok visto, talk interessante, e mi porta a fare altre doman=
de. <br><br>Faccio un esempio diciamo che ho un sistema S su cui applico un=
 WAPT chi richiede il wapt=C2=A0<div>non chiede (non pensiamo alla spesa or=
a) anche l&#39;automatizzazione dei test condotti ? non =C3=A8 una pratica =
comune immagino ?=C2=A0<br>Ovvio nessuno pu=C3=B2 sostituire il test manual=
e ma se questo una volta concepito viene automatizzato ?</div><div><br></di=
v><div>L&#39;idea del talk e dei tool =C3=A8 molto interessante bisognerebb=
e capire meglio quali sono i punti deboli...=C2=A0<br></div><div><br></div>=
<div>Mi sarebbe piaciuto anche un approccio lato codebase ovvero una volta =
trovato un problema trovo il modo di classificare quel bug e di rifattorizz=
are non con un fix puntuale ma centralizzato nella code base. In questo mod=
o ho gestito la &quot;classe&quot; di possiibli varianti.<br><br>Provo a fa=
re un esempio se trovo che un parametro che passavo in query string soffre =
di xss faccio in modo di canalizzare/rifattorizzare tutto quello che va in =
query string con delle parti di codice centralizzate che verifichino che la=
 query string non sia exploitable.=C2=A0=C2=A0</div><div><br>forse ho detto=
 solo c....te ? spero di no grazie comunque per gli spunti=C2=A0</div><div>=
=C2=A0</div></div><br><div class=3D"gmail_quote"><div dir=3D"ltr" class=3D"=
gmail_attr">Il giorno mar 7 gen 2020 alle ore 19:24 Nicol=C3=B2 Fornari &lt=
;<a href=3D"mailto:[email protected]">[email protected]</a>&gt; ha sc=
ritto:<br></div><blockquote class=3D"gmail_quote" style=3D"margin:0px 0px 0=
px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">Ciao Robe=
rto,<br>
<br>
ti segnalo un talk [1] e relativo tool [2] su &quot;automatic variant <br>
analysis&quot;. Date le vulnerabilit=C3=A0 che ti sono state riportate, l&#=
39;idea =C3=A8 <br>
di trovarne le varianti, esistenti e future, in modo automatico su tutta <b=
r>
la code base integrando questo processo nella pipeline di CI.<br>
<br>
Nicol=C3=B2<br>
<br>
[1] <a href=3D"https://www.youtube.com/watch?v=3D7pXvZsMRVig" rel=3D"norefe=
rrer" target=3D"_blank">https://www.youtube.com/watch?v=3D7pXvZsMRVig</a><b=
r>
[2] <a href=3D"https://securitylab.github.com/tools/codeql" rel=3D"noreferr=
er" target=3D"_blank">https://securitylab.github.com/tools/codeql</a><br>
<br>
Il 07/01/20 16:13, roberto diana ha scritto:<br>
&gt; Ciao a tutti,<br>
&gt;<br>
&gt; volevo chiedere se esistono linee guida, ma anche consigli etc. sulle =
<br>
&gt; azioni da intraprendere dopo aver ricevuto un report di un wapt.<br>
&gt;<br>
&gt; Ovvio andr=C3=B2 a risolvere tutti i problem riscontrati ma a livello =
di un <br>
&gt; software come posso utilizzare con efficacia le informazioni nel <br>
&gt; report finale ?, cio=C3=A8 per tutte quelle zone che sono state contro=
llate <br>
&gt; e non hanno generato nessun bug<br>
&gt; esistono tecniche e modi per creare da quel quel report una sorta di <=
br>
&gt; baseline di controllo anche automatizzata in CI ?<br>
&gt;<br>
&gt; Non lo so se sono riuscito a spiegarmi decentemente nel caso mi scuso =
<br>
&gt; grazie cmq a chi mi risponder=C3=A0<br>
&gt;<br>
&gt; :-)<br>
<br>
<br>
</blockquote></div>

--00000000000087c003059b939d3b--