SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Yerel izinler ile Uyarı arasındaki ilişkiyi açıklamak.
- “Uyarı ile doğrulanmış zafiyet aynı mıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Yetkili test sisteminde servis kullanıcısı, dosya sahipliği ve çalıştırma izinlerini envanterleyin. Araç çıktısı gizli bilgi içerebilir; erişimi sınırlandırın. Bulguyu gerçek kullanıcı bağlamı ve işletim sistemi koşullarıyla doğrulayın. Düzeltme, gereksiz izinleri daraltma ve gizli bilgiyi uygun depoya taşıma gibi kök nedene yönelmelidir.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
İzin inceleme kaydı:
Dosya: örnek servis ayarı
Beklenen sahip: servis hesabı
Yazma yetkisi: gerekli hesaplarla sınırlı
Bulgu: beklentiyle farkBeklenen sonuç ve yorumu
Kayıt yetki riskini görünür kılar; bir exploit zinciri üretmez.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Herkese yazılır servis dosyası | İzin riskini incele | Etki kullanıcı bağlamına bağlıdır |
| Araç uyarısı | Hipotez olarak tut | İstismar kanıtı değildir |
| Çıktıda sır var | Erişimi sınırla | Denetim yeni sızıntı üretmemeli |
Uygulama görevi
Bir servis dosyasına herkesin yazabilmesi hâlinde hangi iş kuralının bozulacağını açıklayın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Denetim çıktısını herkese açık depoya koymayın; yapılandırma sırları bulunabilir.
Kendinizi sınayın
Uyarı ile doğrulanmış zafiyet aynı mıdır?
Açıklamalı yanıt: Hayır. Uyarı araştırılacak hipotezdir; bağlam ve etki doğrulaması gerekir.
İlgili derslerle ilerleyin
- OSINT Framework: Kaynak bulma ile kanıt toplama
- Sublist3r: Alt alan adı envanteri ve kapsam
- Nmap: Kapsamlı envanter yerine sınırlı servis doğrulama
- XSS tarayıcıları: Yansıma ile çalıştırmayı ayırma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
