Penetration Test di Applicazioni Web: Metodologia OWASP Top 10

Le applicazioni web sono la porta d'ingresso del business moderno e il bersaglio principale per gli attaccanti. Secondo il Verizon 2025 Data Breach Investigations Report, gli attacchi alle applicazioni web sono stati coinvolti nel 68% delle violazioni con attori di minaccia esterni. L'OWASP (Open Web Application Security Project) Top 10 fornisce il framework definitivo per identificare e testare i rischi di sicurezza più critici delle applicazioni web. Questa guida analizza ogni vulnerabilità dell'OWASP Top 10, spiega come i penetration tester professionisti le valutano e fornisce strategie di remediation operative.

L'OWASP Top 10 (2021): Panorama Attuale

L'OWASP Top 10 e stato aggiornato l'ultima volta nel 2021 e rimane il riferimento autorevole per il testing di sicurezza delle applicazioni web. L'edizione 2021 ha introdotto cambiamenti significativi rispetto alla versione 2017:

A01: Broken Access Control

Broken Access Control e passato dalla quinta posizione nel 2017 alla prima nel 2021. OWASP ha rilevato che il 94% delle applicazioni testate presentava qualche forma di controllo degli accessi compromesso, con oltre 318.000 CWE mappate a questa categoria.

Come i Tester lo Valutano

• Escalation orizzontale dei privilegi: tentativo di accedere ai dati di altri utenti modificando gli identificatori
• Escalation verticale dei privilegi: tentativo di accedere a funzioni amministrative con un account utente normale
• Test IDOR: manipolazione dei riferimenti diretti agli oggetti in URL, parametri API e campi dei form
• Force browsing: accesso a pagine riservate inserendo direttamente URL senza autenticazione
• Misconfiguration CORS: verifica se le policy CORS permettono accessi non autorizzati

Impatto Reale

Nel 2024, una importante piattaforma sanitaria europea ha subito una violazione che ha colpito 2,3 milioni di cartelle cliniche a causa di una vulnerabilità IDOR che permetteva a qualsiasi utente autenticato di accedere alle cartelle di altri pazienti modificando un ID numerico nell'endpoint API.

Remediation

Implementare controlli di accesso lato server su ogni richiesta. Utilizzare RBAC con il principio del minimo privilegio. Negare l'accesso per impostazione predefinita e registrare tutti i fallimenti del controllo accessi.

A02: Cryptographic Failures

Precedentemente noto come "Esposizione di Dati Sensibili", questa categoria si concentra sui fallimenti legati alla crittografia che portano all'esposizione di dati sensibili.

Come i Tester lo Valutano

• Verifica dei dati trasmessi in chiaro (HTTP, SMTP, FTP)
• Verifica della configurazione TLS (versioni del protocollo, suite di cifratura, validita del certificato)
• Test per algoritmi crittografici deboli o deprecati (MD5, SHA1, DES)
• Esame dei meccanismi di archiviazione delle password
• Verifica della presenza di dati sensibili in URL, log o messaggi di errore

Remediation

Classificare i dati per livello di sensibilità e applicare i controlli appropriati. Utilizzare TLS 1.2+ per tutti i dati in transito. Archiviare le password usando funzioni di hashing adattive forti (bcrypt, Argon2).

A03: Injection

I difetti di injection inclusi SQL injection, NoSQL injection, OS command injection e LDAP injection rimangono tra le vulnerabilità web più pericolose.

Come i Tester lo Valutano

• SQL injection: inserimento di sintassi SQL nei campi di input, parametri URL, cookie e header HTTP
• Cross-site scripting (XSS): iniezione di payload JavaScript in contesti reflected, stored e DOM-based
• Command injection: test degli input che potrebbero essere passati a comandi di sistema
• Template injection: test dei motori di template lato server per l'esecuzione di codice
• Header injection: test dei valori degli header HTTP per opportunita di injection

Remediation

Utilizzare query parametrizzate per tutte le interazioni con il database. Implementare la validazione degli input con approccio allowlist. Applicare la codifica dell'output appropriata al contesto.

A04: Insecure Design

Nuova nell'edizione 2021, questa categoria affronta i difetti di progettazione fondamentali che non possono essere corretti da un'implementazione perfetta.

Come i Tester lo Valutano

• Revisione della logica di business per opportunita di bypass
• Test del rate limiting sulle operazioni sensibili
• Valutazione dei confini di fiducia e dei pattern di flusso dati
• Verifica se i requisiti di sicurezza sono stati considerati nell'architettura

Remediation

Integrare il threat modeling nel ciclo di sviluppo. Stabilire e utilizzare una libreria di design pattern sicuri. Implementare rate limiting e vincoli sulle risorse a livello di progettazione.

A05: Security Misconfiguration

Trovata nel 90% delle applicazioni testate, la misconfiguration di sicurezza e pervasiva.

Come i Tester lo Valutano

• Verifica delle credenziali predefinite su pannelli di amministrazione, database e servizi
• Revisione degli header di sicurezza HTTP (CSP, HSTS, X-Frame-Options, X-Content-Type-Options)
• Test per directory listing e divulgazione di informazioni
• Verifica che funzionalità, porte e servizi non necessari siano disabilitati
• Controllo della gestione degli errori per stack trace e informazioni di debug

Remediation

Implementare un processo di hardening ripetibile per tutti gli ambienti. Rimuovere funzionalità e framework non utilizzati. Utilizzare header di sicurezza e implementare una Content Security Policy.

A06-A10: Categorie Critiche Aggiuntive

A06: Vulnerable and Outdated Components

Secondo il report 2025 di Sonatype, l'applicazione media contiene 148 dipendenze open source e il 23% ha vulnerabilità note. Le organizzazioni impiegano in media 158 giorni per applicare le patch.

A07: Identification and Authentication Failures

I tester valutano la resistenza al credential stuffing e brute force, le policy sulle password, la gestione delle sessioni e le tecniche di bypass dell'autenticazione multi-fattore.

A08: Software and Data Integrity Failures

I test si concentrano sulla verifica dell'integrità della pipeline CI/CD e sulla valutazione delle vulnerabilità di deserializzazione.

A09: Security Logging and Monitoring Failures

Secondo IBM Security (2025), le organizzazioni senza un logging adeguato impiegano in media 277 giorni per identificare una violazione, rispetto ai 186 giorni per quelle con monitoraggio completo.

A10: Server-Side Request Forgery (SSRF)

Gli attacchi SSRF sono aumentati significativamente con l'adozione del cloud. I tester verificano se l'applicazione effettua richieste lato server basate su URL forniti dall'utente.

Strumenti Essenziali

Far Testare la Tua Applicazione Web

Un penetration test professionale di applicazione web costa tipicamente 3.000-18.000 EUR a seconda della complessità. Il testing richiede 3-10 giorni lavorativi, con un report completo consegnato 5-7 giorni lavorativi dopo la conclusione dei test.

Orizon Fireline fornisce penetration test completi di applicazioni web allineati alla OWASP Testing Guide v4.2, coprendo tutte le categorie Top 10 più test di logica di business, valutazione della sicurezza API e valutazione dei meccanismi di autenticazione.

Per una panoramica di tutti i tipi di penetration testing, consulta la nostra guida sui 7 tipi di penetration test.