SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Sayfa bağlamı ile Betik yetkisi arasındaki ilişkiyi açıklamak.
- “HttpOnly neden tek başına yeterli değildir?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
XSS, üçüncü taraf betik ve eklenti güvenini ayrı saldırı yüzeyleri olarak ele alın. Content Security Policy, çıktı kodlaması ve bağımlılık denetimi birbirini tamamlar. HttpOnly çerez okumasını sınırlasa da betiğin oturumla istek göndermesini bütünüyle engellemez. İnceleme için yalnızca sentetik sayfa ve izinli test profili kullanılır.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Savunma incelemesi:
Betik kaynakları → izin listesi
Kullanıcı metni → çıktı kodlama
Oturum → kısa ömür ve güvenli çerez
İzleme → beklenmeyen betik ve bağlantıBeklenen sonuç ve yorumu
Tablo, tek bir önlemin bütün tarayıcı etkisini kaldırmadığını gösterir.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Harici betik | Güven kaynağını incele | Sayfa yetkisiyle çalışabilir |
| HttpOnly çerez | XSS'yi yine düzelt | İstek gönderme etkisi kalabilir |
| Test profili | Sentetik veri | Gerçek oturum toplanmaz |
Uygulama görevi
Bir yerel sayfadaki birinci ve üçüncü taraf betikleri listeleyip her biri için güven gerekçesi yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Gerçek kullanıcılara test betiği dağıtmayın veya tarayıcı oturumlarını toplamaya çalışmayın.
Kendinizi sınayın
HttpOnly neden tek başına yeterli değildir?
Açıklamalı yanıt: Çerezin okunmasını sınırlar; sayfa bağlamındaki betik yetkili istek göndermeye devam edebilir.
İlgili derslerle ilerleyin
- Arjun: Parametre keşfi ile güvenlik açığını ayırma
- Bettercap: Ağ gözleminde yetki ve kanıt
- Airgeddon: Otomasyon öncesi kapsam ve ön koşul
- Docker: İmaj, konteyner ve güvenlik sınırı
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
