SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- Yazılı kapsam ile Sınırlı kanıt arasındaki ilişkiyi açıklamak.
- “Yeniden testte ne tekrarlanmalıdır?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
Varlıklar, zaman aralığı, izin verilen teknikler, hariç tutulan sistemler ve durdurma koşullarını önceden belirleyin. Bulguyu etkilenen bileşen, ön koşul, sınırlı kanıt, etki ve düzeltmeyle yazın. Gereksiz kişisel veri toplamadan minimum kanıt ilkesini uygulayın. Yeniden test, sadece sayfanın hâlâ açıldığını değil aynı güvenlik koşulunun düzeldiğini doğrulamalıdır.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Rapor iskeleti:
Kapsam ve sınırlar
Tekrar üretim için kontrollü koşullar
Beklenen / gözlenen davranış
Etki ve düzeltme
Yeniden test ölçütüBeklenen sonuç ve yorumu
Rapor sonucu başka bir yetkili kişinin doğrulayabileceği açıklıkta tutar.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| Kapsam yazılı | İzinli planla başla | Sınırlar bellidir |
| Gerçek veri gerekmiyor | Sentetik kanıt | Gereksiz sızıntı önlenir |
| Düzeltme tamamlandı | Aynı koşulu yeniden test | Gerçek iyileştirme gösterilir |
Uygulama görevi
Bir IDOR bulgusu için gerçek veri içermeyen kanıt ve yeniden test planı yazın.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Test iznini hedefe bağlı olmayan üçüncü taraf sistemlere genellemeyin.
Kendinizi sınayın
Yeniden testte ne tekrarlanmalıdır?
Açıklamalı yanıt: Bulguyu üreten koşul ve olumlu/olumsuz yetki senaryoları aynı ölçütle sınanmalıdır.
İlgili derslerle ilerleyin
- NoSQL Injection: Sorgu biçimini uygulamanın belirlemesi
- Race condition: Eşzamanlı işlemlerde değişmez koşul
- LFI: Kullanıcı girdisini dosya seçimine dönüştürmeme
- SSRF: Sunucunun erişebildiği hedefleri sınırlandırma
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
