OWASP API Güvenliği İlk 10 sınıfları
OWASP API Güvenliği İlk 10 listesindeki her sınıfı bir mobil uygulama arka ucunda kodda, trafikte ve günlükte tanır; düzeltir ve sürüm ile envanter yönetimini düzene sokarsın.
Seviye 301 · 15 ders · 13 pratik lab
Dersler
Yetkilendirme sınıfları
- Nesne düzeyinde bozuk yetkilendirme (BOLA)
- Bozuk kimlik doğrulama: belirteç, parola ve anahtar hataları
- Nesne özelliği düzeyinde bozuk yetkilendirme
- İşlev düzeyinde bozuk yetkilendirme
- Kısa görev: lab API’sinde dört yetkilendirme açığını kanıtla
Kaynak ve akış sınıfları
- Sınırsız kaynak tüketimi: sayfalama, boyut ve maliyet
- Hassas iş akışlarına sınırsız erişim: bot ve otomasyon
- API’lerde SSRF: URL alan uç noktalar
- Üçüncü taraf API’lere körü körüne güvenmek
- Kısa görev: kaynak tüketimine ve akış kötüye kullanımına karşı sınır koy
Yapılandırma ve envanter
- Güvenlik yanlış yapılandırması: CORS, hata ayıklama ve varsayılanlar
- Uygunsuz envanter yönetimi: eski sürümler ve test ortamları
- Sürümleri emekliye ayırma ve kullanımdan kaldırma süreci
- API kötüye kullanımını anahtar, kullanıcı ve uç nokta bazında izlemek
- Bitirme görevi: bir mobil uygulama arka ucunu on sınıfa göre denetle ve düzelt
Pratik lablar
- Bu API'de eksik yetki kontrolünü bul ve ekle: Mobil arka uçta başka kullanıcının bildirimlerini dönen uç noktayı bul ve nesne düzeyinde yetkilendirme ekle.
- Yanıttaki gizli alan: is_admin: Profil yanıtında dönen ve güncellemede kabul edilen is_admin alanını bul ve özellik düzeyinde yetkilendirme ekle.
- Kullanıcının çağırabildiği yönetici işlevi: DELETE yöntemiyle çağrılınca rol kontrolü yapılmayan uç noktayı bul ve işlev düzeyinde yetkilendirmeyi tüm yöntemlere uygula.
- Belirteç yenilemede kimlik doğrulama hatası: Yenileme uç noktasının iptal edilmiş belirteçleri kabul ettiğini kanıtla ve iptal kontrolüyle döndürmeyi ekle.
- Dört yetkilendirme sınıfı, dört düzeltme: Lab API'sinde dört yetkilendirme sınıfından birer açık bul, kapat ve hepsi için otomatik test yaz.
- Sınırsız dosya boyutu kabul eden uç nokta: Profil resmi uç noktasının çok büyük gövdeleri işlediğini göster ve boyut ile süre sınırı ekle.
- Doğrulama kodu uç noktasında maliyet: SMS doğrulama kodu isteğinin sınırsız tekrarlanabildiğini kanıtla ve kullanıcı ile numara başına kota koy.
- Bot ile stok tüketen satın alma akışı: Sınırlı stoklu ürünün otomasyonla tüketildiğini lab'da göster ve akışa hesap başına sınır ile bekleme adımı ekle.
- Üçüncü taraf API yanıtına körü körüne güven: Sahte kargo API'sinden gelen yanıtın doğrulanmadan işlendiğini göster ve şema doğrulaması ile zaman aşımı ekle.
- Yayında açık kalan hata ayıklama uç noktası: Hata ayıklama uç noktasının ortam değişkenlerini döktüğünü bul ve yayın yapılandırmasında kapat.
- Staging kopyası gerçek veriyle açıkta: Zayıf korunan staging API'sinin gerçek veriye eriştiğini kanıtla ve ortamı ayırıp erişimi kısıtla.
- v1'i emekliye ayır: Yeni sürümde kapatılan açığın v1'de sürdüğünü göster ve v1 için kullanımdan kaldırma başlığı, izleme ve kapatma planını uygula.
- Anahtar bazında kötüye kullanım izleme: Ağ geçidi günlüklerinden anahtar, kullanıcı ve uç nokta bazında anormal kullanımı gösteren bir sorgu ve uyarı kur.
Kurs hakkında
OWASP API Güvenliği İlk 10 listesindeki her sınıfı bir mobil uygulama arka ucunda kodda, trafikte ve günlükte tanır; düzeltir ve sürüm ile envanter yönetimini düzene sokarsın.
Ne öğreneceksin
- Yetkilendirme sınıfları
- Kaynak ve akış sınıfları
- Yapılandırma ve envanter
Ön koşullar
Aynı yolun 101 ve 201 düzeyindeki konularına hâkim olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 301 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.