Input Validation Testing

Input Validation Testing

1. Testing for Reflected Cross Site Scripting

   • Identificar variables que se reflejan en las respuestas. Evalúe la entrada que aceptan y la codificación que se aplica en la devolución (si corresponde).

2. Testing for Stored Cross Site Scripting

   • Stored Cross-site Scripting (XSS) es el tipo más peligroso de Cross-Site Scripting. Las aplicaciones web que permiten a los usuarios almacenar datos están potencialmente expuestas a este tipo de ataque.

3. Testing for HTTP Verb Tampering

   • HTTP ofrece una serie de métodos (o verbos) que se pueden utilizar para realizar acciones en el servidor web.

4. Testing for HTTP Parameter Pollution

   • HTTP Parameter Pollution prueba la respuesta de las aplicaciones a la recepción de múltiples parámetros HTTP con el mismo nombre; por ejemplo, si el parámetro se incluye en los parámetros GET o POST dos veces.

5. Testing for SQL Injection

   • Oracle
   • MySQL
   • SQL Server
   • PostgreSQL
   • MS Access
   • NoSQL Injection
   • ORM Injection
   • Client-side

6. Testing for LDAP Injection

   • El Protocolo ligero de acceso a directorios (LDAP) se utiliza para almacenar información sobre usuarios, hosts y muchos otros objetos.

7. Testing for XML Injection

   • La prueba de inyección XML es cuando un probador intenta inyectar un documento XML en la aplicación.

8. Testing for SSI Injection

   • Los servidores web generalmente brindan a los desarrolladores la capacidad de agregar pequeñas piezas de código dinámico

9. Testing for XPath Injection

   • XPath es un lenguaje que ha sido diseñado y desarrollado principalmente para abordar partes de un documento XML.

10. Testing for IMAP SMTP Injection

    • Esta amenaza afecta a todas las aplicaciones que se comunican con servidores de correo (IMAP/SMTP)

11. Testing for Code Injection

    • Testing for File Inclusion

12. Testing for Command Injection

    • El probador intentará inyectar un comando del sistema operativo a través de una solicitud HTTP a la aplicación.

13. Testing for Format String Injection

    • Una cadena de formato es una secuencia de caracteres con terminación nula que también contiene especificadores

14. Testing for Incubated Vulnerability

    • También conocidas como ataques persistentes, las pruebas incubadas son un método de prueba complejo

15. Testing for HTTP Splitting Smuggling

    • Esta sección ilustra ejemplos de ataques que aprovechan características específicas del protocolo HTTP.

16. Testing for HTTP Incoming Requests

    • En esta sección se describe cómo supervisar todas las solicitudes HTTP entrantes/salientes

17. Testing for Host Header Injection

    • Un servidor web comúnmente aloja varias aplicaciones web en la misma dirección IP.

18. Testing for Server-side Template Injection

    • Las aplicaciones web suelen utilizar tecnologías de plantillas del lado del servidor (Jinja2, Twig, FreeMaker, etc.)

19. Testing for Server-Side Request Forgery

    • Las aplicaciones web a menudo interactúan con recursos internos o externos.

20. Testing for Mass Assignment

    • Parámetros de solicitud HTTP) a objetos internos.