壊れたサイト機能はセキュリティ上の脅威をもたらしますか？
ペンテストの一環としてアプリケーションを評価している場合、壊れたサイト機能にどのように対処しますか？問題は無視されるべきですか？
システムの機能的なバグを安全に保つことはできますか？
Webアプリケーションの壊れた機能はセキュリティの脅威ではありませんそれ自体ですが、それらは1つの脅威である可能性があります。侵入テスト担当者は、次の点に注意してください。
- 攻撃者に役立つ可能性があるため、システムに関する情報漏えい（スタックトレース、バージョン番号、エラーメッセージ、ファイルパスなど）
- 欠落しているセキュリティ機能（パスワードを変更する機能が壊れている場合は、これをレポートに含める必要があります）
- システムクラッシュ（DoS）
- そして、一般的に予期しない動作。
コードのすべての行（および機能するかどうかにかかわらず各機能）がアプリケーションの攻撃面を増加させるので、クライアントは（部分的に）壊れた機能をサーバーに展開することを避ける必要があります。
アプリケーションに要件がない場合（例：パスワードリセットオプションがあったはずです）、これをクライアントに報告するのが最善の方法ですが、これは確かにあなたの仕事ではありません。
アプリケーションがこの段階の要件を満たし、本番稼働の準備ができている場合、見つかったものは脆弱性であり、リリース前にパッチを適用する必要があります。
開発の初期段階（開発ブランチ）で脆弱性分析を手伝っている場合は、脆弱な基盤の上でのさらなる開発を防ぐために、できるだけ早く介入する必要があります。
実際には、発生している機能的なバグの種類によって大きく異なります。 2つの例
1）アプリケーションは追加のデータを含むいくつかのモジュールまたはパネルを表示することになっていますが、これは表示されません。 それ自体が良性である可能性がかなり高いが、どこかで問題が発生すると、無関係なセキュリティ問題が発生する可能性が高くなる可能性がある。結局のところ、コーダーが目に見える機能要件に関して高い標準を維持することさえできない場合、彼らの標準はビジネスには見えないセキュリティのような要件とどのようになるでしょうか？
2）ユーザーがオンラインフォームに％* ^＆＃$を入力すると、データベースエラーが発生します。これはさらなる調査を正当化する可能性が高く、検証または入力サニタイズの危険な欠如を示している可能性があります。
アプリケーションが予期しない方法でクラッシュまたは動作するときはいつでも追加します。これは、アプリケーションが予期しない（そして多くの場合、未定義で予測できない）状態になったためです。これは必ずしも攻撃面を増加させませんただしそれは事実（すべての意図と目的に対して）攻撃面が効果的に増加することを意味し、その動作に関する深い知識が得られ、問題の影響が及ぶよりよく理解されています。