पहला वेब एप्लिकेशन मूल्यांकन

यह गाइड आपको एक वास्तविक वेब एप्लिकेशन मूल्यांकन के माध्यम से ले जाती है — Cyberstrike लॉन्च करने से लेकर ट्राइएज्ड कमजोरी निष्कर्षों तक। हम दो उपयोगकर्ता भूमिकाओं (एडमिन और सामान्य उपयोगकर्ता) वाले एक वेब ऐप का परीक्षण करेंगे ताकि प्राधिकरण, इंजेक्शन, और लॉजिक दोष खोजे जा सकें।

1. Cyberstrike लॉन्च करें

cyberstrike

TUI cyberstrike प्राथमिक एजेंट लोड होकर खुलता है, इनपुट के लिए तैयार।

2. सत्र शुरू करें

सत्र शुरू करने के लिए कुछ भी टाइप करें। वर्णन करें कि आप क्या परीक्षण कर रहे हैं:

> I'm testing https://app.example.com — it's a SaaS platform with admin and regular user roles.
  I have credentials for both. Let's find auth bypass, IDOR, injection, and business logic issues.

एजेंट स्वीकार करता है और स्कोप, बहिष्कृत क्षेत्रों, या अतिरिक्त संदर्भ के बारे में स्पष्ट प्रश्न पूछ सकता है।

3. सत्र का नाम बदलें

सत्र का अर्थपूर्ण नाम रखने के लिए Ctrl+R दबाएं:

example-com-web-assessment

यह आपको बाद में /sessions में इसे खोजने में मदद करता है।

4. HackBrowser लॉन्च करें

/hackbrowser स्लैश कमांड चलाएं। एक लॉन्च डायलॉग इन फ़ील्ड के साथ खुलता है:

• Target URL — https://app.example.com दर्ज करें
• Credentials — दो जोड़ें: userA (एडमिन) और userB (सामान्य उपयोगकर्ता)
• Scope — डिफ़ॉल्ट *.example.com है, यदि API भिन्न डोमेन पर है तो समायोजित करें
• Steps — कितने पेज क्रॉल करने हैं (डिफ़ॉल्ट 50)

डायलॉग की पुष्टि करें। चूंकि आपने क्रेडेंशियल परिभाषित किए हैं, HackBrowser दृश्य मोड में खुलता है।

5. userA के रूप में लॉगिन करें

एक Chromium ब्राउज़र विंडो खुलती है — यह HackBrowser है, जिसमें एक बिल्ट-इन टेलीमेट्री एक्सटेंशन है जो हर पेज पर UI पैनल ओवरले प्रदान करता है। मैन्युअल रूप से userA (एडमिन अकाउंट) के रूप में लॉगिन करें।

लॉगिन होने के बाद, HackBrowser पैनल में Record बटन दबाएं। यह AINavigator शुरू करता है — LLM-संचालित क्रॉल सत्र। AI पेज के एक्सेसिबिलिटी ट्री को पढ़ता है, तय करता है कि कौन से लिंक फॉलो करने हैं, कौन से फ़ॉर्म भरने हैं, और कौन से बटन क्लिक करने हैं, userA के रूप में ऐप को स्वायत्त रूप से नेविगेट करता है।

6. userB के रूप में लॉगिन करें

userB (सामान्य उपयोगकर्ता) के लिए स्वचालित रूप से दूसरी ब्राउज़र विंडो खुलती है। userB के क्रेडेंशियल के साथ मैन्युअल रूप से लॉगिन करें, फिर इसके पैनल में Record दबाएं।

अब HackBrowser दोनों भूमिकाओं के साथ एप्लिकेशन क्रॉल कर रहा है। प्रत्येक HTTP अनुरोध उस क्रेडेंशियल के साथ टैग किया जाता है जिसने इसे बनाया, ताकि पाइपलाइन को पता हो कि किस भूमिका ने किस एंडपॉइंट को एक्सेस किया।

7. आगे क्या होता है

जब HackBrowser क्रॉल करता है, हार्नेस का बाकी हिस्सा पहले से काम कर रहा है:

ट्रैफ़िक कैप्चर — प्रत्येक अनुरोध/प्रतिक्रिया जोड़ी पूर्ण हेडर, बॉडी, और UI संदर्भ (अनुरोध फ़ायर होने के समय कौन से फ़ॉर्म फ़ील्ड readonly, hidden, या disabled थे) के साथ Vortex में प्रवाहित होती है।

सिग्नल जनरेशन — Vortex कैप्चर किए गए ट्रैफ़िक पर नियम लागू करता है और सिग्नल जनरेट करता है: प्रमाणीकरण पैटर्न, छिपे हुए पैरामीटर, संदिग्ध रिस्पॉन्स आकार, भूमिका-विशिष्ट एंडपॉइंट एक्सेस।

WSTG डिस्पैच — wstg-agent सिग्नल पढ़ता है और विशेषज्ञ एजेंट भेजता है। पथ में user ID वाला अनुरोध IDOR परीक्षण के लिए wstg-authorization ट्रिगर करता है। फ़ॉर्म इनपुट वाला POST इंजेक्शन के लिए wstg-input-validation ट्रिगर करता है। लॉगिन एंडपॉइंट wstg-authentication ट्रिगर करता है।

क्रॉस-रोल तुलना — चूंकि userA और userB दोनों ने एक ही ऐप क्रॉल किया, पाइपलाइन तुलना करती है कि प्रत्येक भूमिका ने कौन से एंडपॉइंट तक पहुंचा, कौन से UI तत्व प्रत्येक को दिखाई दिए, और क्या दूसरे क्रेडेंशियल के साथ अनुरोध रीप्ले करने पर भूमिका सीमाएं बनी रहती हैं।

एस्केलेशन — विशेषज्ञों के समाप्त होने के बाद, escalation-hunter सभी निष्कर्षों पर उन्हें श्रृंखलाबद्ध करने के लिए चलता है — एक मध्यम IDOR और एक निम्न दर-सीमा बाइपास का संयोजन एक गंभीर अकाउंट टेकओवर में बढ़ सकता है।

ट्राइएज — triage एजेंट प्रत्येक ड्राफ्ट निष्कर्ष के लिए HTTP साक्ष्य को स्वतंत्र रूप से रीप्ले करता है। केवल रीप्ले द्वारा पुष्टि किए गए निष्कर्ष “triaged” स्थिति में प्रमोट होते हैं। फ़ॉल्स पॉज़िटिव अस्वीकार किए जाते हैं। अस्पष्ट निष्कर्ष आपकी समीक्षा के लिए ड्राफ्ट के रूप में रहते हैं।

8. निष्कर्षों की समीक्षा करें

क्रॉल पूरा होने और परीक्षण समाप्त होने के बाद, परिणामों की समीक्षा करें:

निष्कर्ष प्रारूप

प्रत्येक निष्कर्ष में शामिल है:

FINDING: IDOR in User Profile API
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
Severity: High
CWE: CWE-639
Description: GET /api/users/{id} returns full profile data for any user ID
             when accessed with userB credentials (regular user).
Evidence: Replayed GET /api/users/1 with userB token → 200, body contains
          admin user's email and phone number.
Status: triaged (verified by replay)
Recommendation: Enforce ownership check — users should only access their own profile.

गंभीरता स्तर

9. निर्यात और साझा करें

अगले कदम

• सुरक्षा एजेंट — WSTG पाइपलाइन और विशेषज्ञ एजेंटों को समझें
• सुविधाएं — HackBrowser, Vortex, Bolt, MCP में गहराई से जानें
• कॉन्फ़िगरेशन — स्कोप, अनुमतियां, और डिफ़ॉल्ट कस्टमाइज़ करें
• स्लैश कमांड — पूर्ण कमांड संदर्भ