Verkkosovellusten tunkeutumistesti on toiminto, jonka tarkoituksena on arvioida, miten Internet-pohjainen ohjelma käyttäytyy hyökkäyksen tai hyväksikäytön aikana. Nämä testit käyttävät erilaisia ohjelmistoja sovelluksen tarkistamiseen ja sitten erilaisten toimintojen suorittamiseen, joita voi ilmetä varsinaisen hyökkäyksen aikana. Kehitystiimi tai kolmannen osapuolen palveluntarjoaja voi suorittaa verkkosovellusten tunkeutumistestin. Jos käytetään ulkopuolista palveluntarjoajaa, johto ei joskus ilmoita testistä kehitystiimille tai tietotekniikan (IT) henkilöstölle. Tämä voi antaa verkkosovellusten tunkeutumistestin paljastaa puutteita, jotka olisivat muuten jääneet huomaamatta, mikä voi mahdollistaa näiden ongelmien korjaamisen ennen ohjelmiston julkaisua.
Verkkosovellukset ovat ohjelmistopaketteja, joita voidaan käyttää ja käyttää Internetissä. Nämä sovellukset voivat suorittaa monia toimintoja, ja joissakin tapauksissa ne ovat vastuussa yksityisten tai jopa arvokkaiden tietojen käsittelystä. Jotta vältytään vaarantavilta hyökkäyksiltä, tyypillisesti suoritetaan tunkeutumistestejä koodin heikkouksien tai helposti hyödynnettävien alueiden paikantamiseksi.
Tyypilliset verkkosovellusten tunkeutumistestit alkavat tiedonkeruuvaiheesta. Tämän vaiheen tarkoituksena on määrittää mahdollisimman paljon tietoa sovelluksesta. Lähettämällä pyyntöjä sovellukselle ja käyttämällä työkaluja, kuten skannerit ja hakukoneet, on usein mahdollista saada tietoja, kuten ohjelmistoversioiden numeroita ja virheilmoituksia, joita käytetään usein hyödyntämisen löytämiseen myöhemmin.
Kun riittävästi tietoa on kerätty, verkkosovellusten tunkeutumistestin seuraava tavoite on suorittaa useita erilaisia hyökkäyksiä ja hyväksikäyttöjä. Joissakin tapauksissa ensimmäisen vaiheen aikana kerätyt tiedot tunnistavat sovelluksen haavoittuvuudet. Jos ilmeisiä haavoittuvuuksia ei havaittu, kaikkia hyökkäyksiä ja hyökkäyksiä voidaan yrittää.
Verkkosovellusten tunkeutumistestillä voidaan löytää monia erilaisia teknisiä haavoittuvuuksia. Näissä testeissä yritetään tyypillisesti käyttää menetelmiä, kuten universaalia resurssipaikannusohjelman (URL) käsittelyä, istunnon kaappausta ja strukturoidun kyselykielen (SQL) ruiskutusta murtautuakseen sovellukseen. Saattaa myös yrittää käynnistää puskurin ylivuoto tai muita vastaavia toimintoja, jotka voivat saada sovelluksen toimimaan epänormaalisti. Jos jokin näistä hyökkäyksistä tai hyväksikäytöistä saa sovelluksen paljastamaan arkaluonteisia tietoja tunkeutumistesterille, puutteista ilmoitetaan tyypillisesti yhdessä ehdotetun toimintatavan kanssa.