Dinamik test (DAST): OWASP ZAP ile tarama
Çalışan bir web uygulamasını OWASP ZAP ile keşfeder, pasif ve aktif tarar, bulguları doğrular ve geliştiricinin anlayacağı bir rapor hazırlarsın.
Seviye 201 · 17 ders · 15 pratik lab
Dersler
DAST’ı tanımak
- DAST nedir, SAST’tan farkı ne
- ZAP’ı kurmak ve tarayıcıyı vekil sunucuya bağlamak
- Kapsam ve bağlam: yalnızca izinli hedefi taramak
- Kısa görev: uygulamada gezin ve geçmişteki istekleri incele
Keşif ve pasif tarama
- Örümcekle sayfaları keşfetmek
- JavaScript ağırlıklı sayfalar için AJAX örümceği
- Pasif tarama: saldırı göndermeden bulgu
- Eksik güvenlik başlıklarını yorumlamak
- Kısa görev: pasif bulgulardan ilk beşini önceliklendir
Aktif tarama
- Aktif tarama: politikalar ve güç ayarı
- Oturum açmış kullanıcı olarak taramak
- Bulguyu elle doğrulamak: istek düzenleyici
- Yanlış alarmı işaretlemek ve uyarı süzgeçleri
- Kısa görev: yönetici paneli dahil oturumlu tarama yap
Raporlama
- Komut satırından temel tarama: zap-baseline
- Rapor şablonları ve bulguyu geliştiriciye anlatmak
- Bitirme görevi: bir müşteri portalının DAST raporu
Pratik lablar
- Tarayıcıyı ZAP vekiline yönlendir ve geçmişi incele: Lab uygulamasında gezin ve geçmiş sekmesinde giriş isteğini ve yanıtını bul.
- Yalnızca izinli hedefi kapsayan bağlam tanımla: Hedef uygulama için bağlam oluştur, dış alan adlarını kapsam dışında bırak ve korumalı kipi aç.
- Kapsam hatasını bul ve taramayı güvenli sınıra çek: Çıkış bağlantısını ve silme uçlarını kapsam dışı bırakmayan bağlamı düzelt ve örümceğin artık oturumu düşürmediğini göster.
- Örümcekle sayfaları keşfet: Geleneksel örümceği çalıştır ve bulunan adres sayısını ve site ağacını kaydet.
- JavaScript ağırlıklı sayfaları AJAX örümceğiyle tara: İki örümceğin bulduğu adresleri karşılaştır ve yalnızca AJAX örümceğinin gördüğü uçları listele.
- Pasif bulguların ilk beşini önceliklendir: Eksik güvenlik başlıklarını ve çerez bulgularını etkisine göre sırala, her biri için geliştiriciye düzeltme satırını yaz.
- Tek bir uç için aktif tarama başlat: Arama sayfasına varsayılan politikayla aktif tarama uygula ve çıkan uyarıları listele.
- Tarama politikasını uygulamaya göre ayarla: Uygulamanın kullanmadığı teknolojilere ait kuralları kapat, enjeksiyon kurallarının gücünü artır ve süre farkını ölç.
- Yönetim panelini kapsayan oturumlu tarama yap: Form tabanlı girişi ve oturum doğrulama göstergesini tanımla, yönetici kullanıcıyla tara ve panelin tarandığını istek geçmişinden kanıtla.
- Bir uyarının isteğini ve yanıtını incele: Seçilen uyarının kanıt alanını, gönderilen girdiyi ve yanıttaki izini bul.
- Bulguyu istek düzenleyicisiyle elle doğrula: Aracın bildirdiği yansıyan girdiyi kendi labında zararsız bir işaret değeriyle yeniden gönder ve gerçek olup olmadığına karar ver.
- Yanlış alarmları uyarı süzgeçleriyle kalıcı olarak ayıkla: Üç yanlış alarmı gerekçesiyle belirle, bağlama uyarı süzgeci ekle ve sonraki taramada yeniden çıkmadıklarını göster.
- Komut satırından temel tarama çalıştır: zap-baseline betiğini hedefe karşı çalıştır ve uyarı ile hata sayısını çıktıdan oku.
- Bulguları geliştiricinin anlayacağı biçimde raporla: Rapor şablonunu seç, her bulgu için yeniden üretme adımını ve düzeltme önerisini ekle.
- Müşteri portalı için DAST raporu hazırla: Mercanköşk Otelcilik’in lab portalını oturumlu tara, bulguları doğrula ve yönetici özeti ile teknik ekleri olan raporu yaz.
Kurs hakkında
Çalışan bir web uygulamasını OWASP ZAP ile keşfeder, pasif ve aktif tarar, bulguları doğrular ve geliştiricinin anlayacağı bir rapor hazırlarsın.
Ne öğreneceksin
- DAST’ı tanımak
- Keşif ve pasif tarama
- Aktif tarama
- Raporlama
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.