SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Oturum kimliği ile Nesne politikası arasındaki ilişkiyi açıklamak.
- “UUID tek başına IDOR'u çözer mi?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Sunucu kullanıcı kimliğini doğrulanmış oturumdan almalıdır. Sorguyu veya politika kontrolünü nesne kapsamıyla sınırlandırın. Tahmin edilemez kimlikler ek savunmadır; yetkilendirmenin yerine geçmez. Listeleme, indirme, düzenleme ve silme yollarının hepsi aynı nesne kuralını uygulamalıdır. Olumsuz test, başka hesaba ait sentetik nesneyle yapılmalıdır.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
SELECT id, title FROM documents
WHERE id = :document_id AND owner_id = :session_user
-- İki değer de parametre olarak bağlanır.Beklenen sonuç ve yorumu
Başka kullanıcıya ait kayıt sonuç kümesine girmez; hata yanıtı veri sızdırmamalıdır.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Kendi belge kimliği | Sahiplik koşuluyla sonuç | Kullanıcı bağlamı güvenilirdir |
| Başka kimlik | Veri döndürmeden reddet | Nesne yetkisi yoktur |
| UUID kullanılıyor | Kontrolü sürdür | Tahmin zorluğu izin değildir |
Uygulama görevi
İki sentetik hesap ve iki belgeyle okuma/yazma/silme yetki matrisi oluşturun.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
owner_id alanını istemcinin gönderdiği kullanıcı kimliğinden almayın.
Kendinizi sınayın
UUID tek başına IDOR'u çözer mi?
Açıklamalı yanıt: Hayır. Kimlik tahminini zorlaştırır; erişim politikasını uygulamaz.
İlgili derslerle ilerleyin
- Broken Access Control: İzin kararını sunucuda kurma
- API güvenliği: Nesne, işlem ve alan yetkisi
- MFA güvenliği: Akışın bütün yollarını koruma
- CSRF: Oturumla taşınan yetkiye istek bağlama
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
