ZAP ile uygulama taraması ve otomasyon
Açık kaynak ZAP ile kendi uygulamanı el ile ve otomatik tarar, kimlik doğrulamalı taramayı kurar, yanlış pozitifleri ayıklar ve taramayı CI hattına taşırsın.
Seviye 201 · 16 ders · 14 pratik lab
Dersler
ZAP’i tanımak
- ZAP nedir: açık kaynak bir uygulama güvenliği tarayıcısı
- El ile keşif ve HUD: tarayıcıda gezerken kaydetmek
- Bağlamlar: kapsam, teknoloji ve hariç tutulan adresler
- Pasif tarama: trafiğe dokunmadan bulgu üretmek
- Kısa görev: lab uygulaması için bir bağlam kur ve pasif uyarıları sınıflandır
Etkin tarama
- Örümcek ve AJAX örümceği: tek sayfalı uygulamaları taramak
- Kimlik doğrulamalı tarama: kullanıcılar, oturum ve giriş göstergesi
- Tarama politikaları: güç, eşik ve kural seçimi
- Yanlış pozitifleri ayıklamak ve uyarı filtreleri
- Kısa görev: oturum açmış kullanıcı olarak tam tarama yap ve gerçek bulguları doğrula
Otomasyon
- Betiklerle ZAP: kimlik doğrulama ve özel kurallar
- OpenAPI tanımıyla API taraması
- Otomasyon çerçevesi: YAML planıyla tekrar edilebilir tarama
- CI hattında temel tarama ve eşik kuralları
- Raporlar: geliştiricinin kullanabileceği çıktı üretmek
- Bitirme görevi: lab uygulaması için CI’da çalışan kimlik doğrulamalı ZAP taraması kur
Pratik lablar
- Bağlam kur, gürültüyü çıkar: Lab uygulaması için ZAP bağlamı kur, üçüncü taraf adresleri hariç tut ve site ağacında yalnızca hedefin kaldığını göster.
- Pasif uyarıları önceliklendir: Pasif taramanın ürettiği uyarıları risk ve güvene göre sırala ve en önemli üçünü kodda veya yapılandırmada düzelt.
- HUD ile gezerken bulunan açık: Tarayıcıda HUD açıkken uygulamada gezin, beliren bir uyarıyı elle doğrula ve gerçek olduğunu kanıtlayıp düzelt.
- Yanlış pozitifleri uyarı filtresiyle sustur: Tarama sonuçlarındaki yanlış pozitifleri gerekçeleriyle ayıkla, uyarı filtresi tanımla ve sonraki taramada yalnızca gerçek bulguların kaldığını göster.
- AJAX örümceğiyle tek sayfalı uygulama: Klasik örümceğin kaçırdığı sayfaları AJAX örümceğiyle bul ve iki tarama arasındaki farkı listele.
- Giriş göstergesiyle oturumlu tarama: Kullanıcı ve oturum tanımlayıp giriş göstergesi kur, taramanın oturumu kaybetmeden tamamlandığını kanıtla.
- Tarama politikası: yalnızca enjeksiyon: Yalnızca enjeksiyon kurallarını yüksek güçle çalıştıran bir politika oluştur ve bulunan açığı elle doğrulayıp düzelt.
- Oturumlu taramada çıkış bağlantısı tuzağı: Taramanın çıkış bağlantısına tıklayıp oturumu kaybettiğini tespit et, hariç tutma kuralıyla düzelt ve tam taramayı tamamla.
- Oturumlu tam tarama ve bulgu doğrulama: Oturum açmış kullanıcı olarak tam tarama yap, her yüksek bulguyu elle doğrula ve gerçek olanları düzeltip yeniden tara.
- OpenAPI dosyasıyla API taraması: Lab API'sinin OpenAPI dosyasını ZAP'e yükle, taramayı çalıştır ve bulguları uç noktaya göre grupla.
- YAML planıyla tekrar edilebilir tarama: Otomasyon çerçevesiyle bağlam, örümcek, pasif tarama ve rapor adımlarını içeren bir YAML planı yaz ve iki kez çalıştırıp aynı sonucu al.
- Betikle kimlik doğrulama: Belirteç tabanlı girişi olan uygulama için bir kimlik doğrulama betiği yaz ve ZAP'in oturum açmış istekler gönderdiğini göster.
- CI hattında eşik kuralıyla temel tarama: Lab Git sunucusundaki hatta temel ZAP taramasını ekle, yüksek bulguda derlemeyi durduran eşik kur ve kasıtlı bir açıkla test et.
- Geliştirici için okunur ZAP raporu: Ham ZAP çıktısından tekrarları birleştiren, düzeltme önerisi içeren ve gereksiz uyarıları dışlayan bir rapor şablonu üret.
Kurs hakkında
Açık kaynak ZAP ile kendi uygulamanı el ile ve otomatik tarar, kimlik doğrulamalı taramayı kurar, yanlış pozitifleri ayıklar ve taramayı CI hattına taşırsın.
Ne öğreneceksin
- ZAP’i tanımak
- Etkin tarama
- Otomasyon
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.