Безопасность (инъекции, ролевая модель, уязвимости)

26 вопросов · Технические

• Что такое тестирование безопасности? задавался 3×
• Зачем делать валидацию данных на фронтенде, если можно валидировать на бэкенде или в базе данных? задавался 2×
• Как бы ты проверил поле на SQL-инъекцию? Какой запрос использовал бы? задавался 2×
• Какие основные типы угроз существуют в контексте тестирования безопасности? задавался 2× low
• Какую защиту обеспечивает Firewall? Что именно он делает? задавался 1×
• В приложении есть роли пользователей с разными тарифными планами и уровнями доступа. На что бы ты обращал внимание при тестировании ролевой модели? задавался 1×
• Кроме проверки того, что пользователю не показывается больше, чем положено, — что ещё нужно проверить при тестировании прав доступа? задавался 1×
• Безопасно ли публично называть локальный IP-адрес своего компьютера? задавался 1×
• Был ли у тебя опыт тестирования на инъекции (SQL-инъекции, инъекции в контент)? задавался 1× low
• Достаточно ли проверить валидацию возраста только на фронтенде, или нужно проверять её также на бэкенде? Почему? задавался 1×
• Если на фронтенде нет валидации граничных значений, а валидация только на бэкенде — что произойдёт при отправке некорректных данных? задавался 1× low
• Если разработчик создаст произвольный кастомный метод, сможет ли он с его помощью удалить базу данных? задавался 1×
• Есть GET-эндпоинт /user/{id}, который возвращает профиль пользователя. Как проверить, что нельзя получить данные другого пользователя? задавался 1×
• Как вы проверяли, что чувствительные данные передаются безопасно, имея только спецификацию? задавался 1×
• Как хранить и использовать учётные данные (credentials) в тестовых сценариях, если они могут меняться? задавался 1×
• Какие ещё инъекции / виды атак, кроме SQL-инъекции и HTML-инъекции, можно попробовать на поле ввода? задавался 1×
• На какой стороне должна быть реализована валидация — на стороне UI или на стороне сервера? задавался 1×
• Ограничение максимальной длины поля ввода, заданное через атрибут maxlength, — это ограничение фронтенда или бэкенда? задавался 1×
• Приходилось ли работать с анализаторами кода или сканерами безопасности? задавался 1×
• Приходилось ли тебе работать с маскированием данных при тестировании? задавался 1×
• Сталкивался ли ты с CORS-ошибками? задавался 1×
• Точно ли именно фронтенд должен уведомить пользователя о неподходящем формате файла, или это может делать бэкенд? задавался 1×
• Чем опасна передача чувствительных данных в GET-запросе, помимо нарушения соглашений REST? задавался 1×
• Что такое CORS-ошибки? задавался 1×
• Что такое SQL-инъекция и чем она опасна? задавался 1×
• Что такое rate limiting? задавался 1×