HTTP protokol düzeyi açıklar: istek kaçakçılığı ve önbellek zehirlenmesi
Ön uç ile arka ucun bir isteği farklı okumasından ve önbellek kurallarından doğan açıkları kendi CDN-vekil-uygulama zincirinde güvenle tanır, protokol ve önbellek ayarlarıyla kapatır, anomalileri günlükte izlersin.
Seviye 401 · 14 ders · 12 pratik lab
Dersler
İstek kaçakçılığı
- Ön uç ile arka uç anlaşmazlığı: Content-Length ve Transfer-Encoding
- CL.TE, TE.CL ve TE.TE türleri
- HTTP/2’den HTTP/1.1’e çevirirken doğan açıklar
- Kendi zincirinde kaçakçılığı güvenle tanımak
- Düzeltme: uçtan uca HTTP/2 ve belirsiz istekleri reddetmek
- Kısa görev: lab’daki vekil-uygulama zincirinde CL.TE açığını kanıtla ve kapat
Önbellek
- Önbellek anahtarı, anahtara girmeyen girdiler ve Vary
- Web önbelleği zehirlenmesi: anahtara girmeyen başlıkla yanıtı bozmak
- Web önbelleği aldatmacası: kişisel sayfanın önbelleğe düşmesi
- Önbellek kurallarını güvenle tasarlamak
- Kısa görev: lab CDN’indeki önbellek aldatmacasını kanıtla ve kuralı düzelt
Tespit
- Protokol anomalilerini vekil ve CDN günlüklerinde görmek
- Belirsiz istekleri WAF’ta ve vekilde engellemek
- Bitirme görevi: bir CDN-vekil-uygulama zincirini protokol açıklarına karşı sertleştir
Pratik lablar
- Ön uç ve arka uç aynı isteği nasıl görüyor: Lab zincirindeki vekil ve uygulama günlüklerinde aynı isteğin nasıl farklı ayrıştırıldığını karşılaştır.
- Zincirde CL.TE açığını güvenle tanı: Lab zincirinde CL.TE anlaşmazlığını yalnızca kendi isteğini etkileyen zamanlama testiyle doğrula.
- HTTP/2'den HTTP/1.1'e çeviride açık: Ön ucun HTTP/2 isteğini HTTP/1.1'e çevirirken ürettiği belirsizliği lab'da göster ve vekil ayarını düzelt.
- Belirsiz istekleri reddet: Hem Content-Length hem Transfer-Encoding taşıyan istekleri reddedecek şekilde zinciri yapılandır ve kaçakçılığın kapandığını kanıtla.
- Önbellek anahtarında ne var: Lab önbelleğinin anahtarına hangi girdilerin girip hangilerinin girmediğini yanıt başlıklarıyla belirle.
- Önbellek aldatmacası: profil sayfası: Statik dosya gibi görünen bir yolla kişisel sayfanın önbelleğe düştüğünü kanıtla ve önbellek kuralını düzelt.
- Anahtara girmeyen başlıkla zehirlenme: Anahtara girmeyen bir başlığın yanıtı değiştirdiğini ve önbelleğe yazıldığını lab'da göster ve başlığı anahtara ekle ya da yok say.
- Güvenli önbellek kuralları tasarla: Kişisel ve genel içerik için ayrı önbellek kuralları yaz, Vary ve Cache-Control'ü düzelt ve çıkış sonrası sızıntı olmadığını test et.
- Vekil günlüğünde protokol anomalisi: Vekil günlüğünde çift uzunluk başlığı ve bozuk parçalı kodlama taşıyan istekleri bul.
- WAF'ta belirsiz istek kuralı: Protokol düzeyi belirsiz istekleri engelleyen bir WAF kuralı yaz ve meşru trafiği bozmadığını test et.
- Önbellek zehirlenmesini günlükten yakala: CDN günlüğünde aynı anahtar için değişen yanıt boyutlarından zehirlenme şüphesini çıkar ve uyarı kur.
- CDN-vekil-uygulama zincirini sertleştir: Kurgusal Ostria Medya'nın zincirinde kaçakçılık ve önbellek açıklarını kapat, tespit kuralı ekle ve yeniden test et.
Kurs hakkında
Ön uç ile arka ucun bir isteği farklı okumasından ve önbellek kurallarından doğan açıkları kendi CDN-vekil-uygulama zincirinde güvenle tanır, protokol ve önbellek ayarlarıyla kapatır, anomalileri günlükte izlersin.
Ne öğreneceksin
- İstek kaçakçılığı
- Önbellek
- Tespit
Ön koşullar
Aynı yolun 301 düzeyine kadar olan konularını uygulamış olmalısın.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 401 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.