클라우드 메타데이터 유출 가능성 - 침투 테스트

[PrettyGirl]

이것은 attack 모드에서 ZAP 펜테스팅 소프트웨어가 생성한 결과입니다. 신뢰도가 낮다고 표시되어 있고, 출력 응답에 HTTP/1.1 301 Moved Permanently라고 나와서 모든 것이 괜찮은 것 같습니다.

1. 클라우드 메타데이터가 노출되었을 수 있음

응답 헤더

HTTP/1.1 301 Moved Permanently
Server: nginx
Date: Wed, 01 Nov 2023 10:10:17 GMT
Content-Type: text/html
Content-Length: 162
Connection: keep-alive
Location: https://examplesite.com/latest/meta-data/
Strict-Transport-Security: max-age=63072000

2. 숨겨진 파일 www.mysite.com/.hg 발견

확인을 위해 추가로 수행할 수 있는 테스트는 무엇인가요?

[Falco]

시중에서 판매되는 침투 테스트 소프트웨어의 결과는 대부분 쓸모없으며, 모든 허위 양성을 하나하나 설명하는 것은 모든 사람의 시간 낭비입니다.

재현 가능한 단계를 갖춘 실제 보안 문제를 발견했다면 HackerOne 를 통해 보고해 주세요.

[PrettyGirl]

답변 주셔서 감사합니다.

권장되는 펜테스팅 소프트웨어나 웹사이트가 있을까요?

언급하신 HackerOne도 서비스형 펜테스팅을 제공한다는 걸 알았습니다. 이 회사가 Discourse나 팀 멤버 중 누구와 소유 관계나 제휴 관계에 있나요?

[Falco]

우리는 보안 보고서 처리와 페널티 테스트 소프트웨어 등에서 발생하는 잘못된 보고서의 분류를 위해 HackerOne에 비용을 지불하고 있습니다. CDCK와 H1(하커원) 사이에는 어떤 관련도 없습니다.

[PrettyGirl]

빠른 답변 감사합니다.