Materi
Banyak kelemahan bukan bug kode, melainkan salah konfigurasi. WSTG menguji penanganan galat: saat sistem dipaksa ke keadaan tak terduga, aplikasi yang buruk menampilkan jejak tumpukan (stack trace) dan pesan rinci yang membocorkan versi, kerangka kerja, dan jalur internal — informasi yang memudahkan penyerang memetakan sistem. Aplikasi yang baik menampilkan pesan galat umum dan menyimpan detailnya di log internal saja.
Tiga bentuk salah konfigurasi lain. Berkas cadangan dan berkas tak tertaut: salinan seperti .bak, .zip, atau berkas lama yang tertinggal di server bisa membocorkan kode sumber atau data bila bisa diunduh langsung. Antarmuka admin yang terbuka: halaman pengelolaan yang bisa dicapai tanpa pembatasan adalah temuan. Ketiadaan HSTS: header Strict-Transport-Security memaksa peramban memakai HTTPS untuk semua permintaan ke host; tanpanya, permintaan pertama bisa jatuh ke HTTP. Semua ini dikenali dengan mengamati respons dan berkas yang dapat dicapai, bukan dengan menyerang.
| Temuan salah konfigurasi | Tanda yang dibaca |
|---|---|
| Penanganan galat buruk | Respons memuat jejak tumpukan dan versi kerangka kerja |
| Berkas cadangan tak tertaut | Berkas .bak/.zip lama bisa diunduh langsung |
| Antarmuka admin terbuka | Halaman admin dapat dicapai tanpa pembatasan |
| Tanpa HSTS | Tidak ada header Strict-Transport-Security |
