Oturum yönetimi: belirteçten çıkışa
Oturum belirtecinin üretilmesinden çıkışa kadar her adımı inceler; sabitleme, zaman aşımı ve iptal hatalarını Burp ile tanıyıp kodda düzeltirsin.
Seviye 201 · 15 ders · 13 pratik lab
Dersler
Oturum belirteci
- Oturumun yaşam döngüsü: oluşturma, kullanma, sonlandırma
- Belirteç rastgeleliği: Burp Sequencer ile ölçmek
- Belirteç nerede taşınır: çerez, başlık ya da URL
- Oturum çerezinin bayrakları ve ön ekleri: __Host- ve __Secure-
- Kısa görev: tahmin edilebilir bir oturum belirtecini bul ve güvenli üreteçle değiştir
Oturum hataları
- Oturum sabitleme: girişte kimliği yenilemek
- Zaman aşımları: boşta kalma ve mutlak süre
- Çıkışta oturumu sunucuda gerçekten bitirmek
- Eşzamanlı oturumlar ve "tüm cihazlardan çık"
- Kısa görev: çıkıştan sonra hâlâ çalışan oturumu kanıtla ve düzelt
Belirteç tabanlı oturumlar
- Durumsuz belirteçler: avantajları ve iptal sorunu
- Tarayıcıda belirteç saklamak: çerez mi, depolama mı
- Yenileme belirteçleri ve döndürme
- Oturum ele geçirme belirtileri: IP, cihaz ve zaman tutarsızlığı
- Bitirme görevi: bir uygulamanın oturum yönetimini denetle, düzelt ve yeniden test et
Pratik lablar
- Sıralı oturum kimlikleri: Lab uygulamasının art arda verdiği oturum kimliklerinin sıralı olduğunu göster ve güvenli rastgele üreteçle değiştir.
- URL'de taşınan oturum kimliği: Oturum kimliğinin URL'de taşındığı sayfaları bul, Referer ile sızma yolunu göster ve kimliği çereze taşı.
- Sequencer ile belirteç rastgeleliği: Parola sıfırlama belirtecinden yeterli örnek topla, Sequencer ile zayıf entropiyi göster ve üreteci değiştirip yeniden ölç.
- Zaman damgasından türeyen belirteç: Zaman damgası ve kullanıcı kimliğinden türetilen belirteci çöz, bir sonrakini tahmin edebildiğini lab'da kanıtla ve düzelt.
- Çıkıştan sonra çalışan oturum: Çıkış yaptıktan sonra eski çerezle isteklerin hâlâ kabul edildiğini kanıtla ve oturumu sunucuda sonlandır.
- Girişte yenilenmeyen oturum kimliği: Oturum sabitlemeye yol açan, girişten önce ve sonra aynı kalan kimliği göster ve girişte yeni kimlik üret.
- Sonsuz oturum: boşta ve mutlak süre: Hiç sona ermeyen oturum için boşta kalma ve mutlak süre sınırlarını uygula ve iki sınırın da çalıştığını test et.
- Tüm cihazlardan çıkış çalışmıyor: Parola değişikliğinden sonra diğer cihazlardaki oturumların açık kaldığını kanıtla ve tüm oturumları kapatan mekanizmayı ekle.
- Oturum denetimi: Brivex Kargo paneli: Kurgusal Brivex Kargo panelinin oturum yaşam döngüsünü baştan sona denetle, üç zaafı kapat ve yeniden testle kanıtla.
- JWT'de saklanan gereksiz kişisel veri: Oturum JWT'sini çözerek içine konmuş gereksiz kişisel verileri bul ve taleplerini en aza indir.
- İptal edilemeyen JWT: Hesap kapatıldıktan sonra JWT'nin süresi dolana kadar çalıştığını kanıtla ve kısa ömür ile iptal listesini ekle.
- Döndürülmeyen yenileme belirteci: Aynı yenileme belirtecinin defalarca kullanılabildiğini göster, döndürmeyi ekle ve eski belirtecin yeniden kullanımında tüm zinciri iptal et.
- Ele geçirilmiş oturum belirtisi: IP ve cihaz: Oturum günlüğünde aynı belirtecin iki ülkeden kısa aralıkla kullanıldığını bul ve bu durumu yakalayan bir uyarı kuralı yaz.
Kurs hakkında
Oturum belirtecinin üretilmesinden çıkışa kadar her adımı inceler; sabitleme, zaman aşımı ve iptal hatalarını Burp ile tanıyıp kodda düzeltirsin.
Ne öğreneceksin
- Oturum belirteci
- Oturum hataları
- Belirteç tabanlı oturumlar
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux masaüstünde geçer; araçlar pencereli arayüzleriyle hazırdır. Kurulum gerekmez, bilgisayar ekranı önerilir.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.