Web Uygulama Güvenliği

1. 1
   Nesne düzeyi yetki: IDOR ve BOLA. Kilitli: önceki dersleri bitirince açılır11 dk · 50 XP

   Nesne düzeyi yetki hatasını (IDOR ve BOLA) kök nedeninden tanı, sızıntıyı erişim kaydından yakala, sahiplik denetimini sorgunun içine koyarak kapat. Nesne düzeyindeki yetki hatasının nedenini bul. Kimlik biçimlerini ayırt et ve sızıntıyı kayıtlardan tanı. Sunucuda sahiplik kontrolü yaparak açığı kapat.

   5 etkinlik: Kayıt tarama · Kod okuma · Sınıflandırma · Çoktan seçmeli

2. 2
   Fonksiyon düzeyi yetki ve sunucu tarafı düzeltme. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP

   Yatay ve dikey erişim hatasını ayır, HTTP fiil manipülasyonunu tanı, yetkiyi varsayılan ret ve merkezî bir rol katmanıyla sunucuda kapat. Bu derste fonksiyon düzeyindeki yetki hatasını tanır, arayüz gizlemesinin neden denetim olmadığını görür, denetimi sunucu tarafında merkezîleştirirsin.

   6 etkinlik: HTTP isteği · Kod okuma · Şema okuma · Sınıflandırma

3. 3
   Kimlik doğrulama ve oturum hataları. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP

   Kaba kuvvet, püskürtme ve doldurma saldırılarını loglardan ayır, kullanıcı adı sayımını kapat, oturum çerezini doğru bayraklarla ve yenilemeyle kur. Otomatik giriş saldırılarını kayıtlardan tanı. Yanıtların içeriği ve süresiyle sızan bilgiyi azalt. Oturum çerezinin güvenlik ayarlarını yap ve yetki değiştiğinde oturumu yenile.

   6 etkinlik: Komut zinciri · Kayıt tarama · Çıktı tahmini · Eşleştirme

4. 4
   Çok adımlı doğrulama (MFA). Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP

   MFA türlerini güce göre sırala, WebAuthn'ın oltalamaya neden dayandığını gör, bildirim bombardımanını loglardan yakala ve akışı sunucuda kilitle. Bu derste MFA türlerini güce göre sıralar, bildirim bombardımanını loglardan yakalar, akışı sunucuda nasıl kilitleyeceğini ve kurtarmayı nasıl kapatacağını öğrenirsin.

   5 etkinlik: Kayıt tarama · Kod okuma · Sıralama · Çoktan seçmeli

5. Lab · Sahiplik Sınırını Bulmak. Kilitli: modülün derslerini bitirince açılır100 XP

   Altay Kargo'nun müşteri portalı portal.altaykargo.example için güvenlik incelemesi yapıyorsun. Geliştirme ekibi 23-24 Eylül gecesine ait erişim kaydını, rota kodunu ve kimlik doğrulama kayıtlarını paylaştı.

   Kanıt dosyalı lab · isteğe bağlı

Ek lab: Kendiliğinden Değişen Adres. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

1. 1
   Enjeksiyonun kök nedeni. Kilitli: önceki dersleri bitirince açılır13 dk · 50 XP

   Enjeksiyon ailesini tek kök nedene bağlarsın: veriyle komut aynı dizgede birleşince yorumlayıcı ikisini ayıramaz ve savunma çöker. Bu derste SQL, işletim sistemi komutu, şablon ve NoSQL ailesini aynı hataya bağlar; log ve hata izinden ilk belirtiyi tanırsın.

   7 etkinlik: Kayıt tarama · Sınıflandırma · Eşleştirme · Boşluk doldurma

2. 2
   SQL enjeksiyonu: sorgudan veri çekmek. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP

   SQL enjeksiyonu, sorgunun WHERE koşulunu saldırganın yazdığı mantıkla değiştirmesidir; türlerini, tespitini ve parametreli savunmayı öğrenirsin. Giriş formunu atlatan klasik hileyi çözer, UNION ile sütun sayısını bulur, parametreli sorgu ve en az yetkili hesapla kapıyı kapatırsın.

   8 etkinlik: Kayıt tarama · Kod okuma · Sınıflandırma · Çıktı tahmini

3. 3
   İşletim sistemi komutu enjeksiyonu. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   İşletim sistemi komutu enjeksiyonu, uygulamanın kullanıcı girdisini bir kabuk komutuna ekleyip çalıştırmasıyla ikinci bir komutu zincire ekler. Kabuk ayırıcılarını tanır, süreç kaydından tespiti öğrenir, kabuksuz çağrı ve izin listesiyle kapatırsın.

   7 etkinlik: Terminal · Kayıt tarama · Kod okuma · Sınıflandırma

4. 4
   Şablon ve NoSQL enjeksiyonu. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP

   Şablon motoru ile NoSQL sürücüsü de birer yorumlayıcıdır; ikisi de girdiyi yanlış yerde değerlendirirse enjeksiyona açılır. Kullanıcı girdisi bir şablonda kod ya da bir sorguda komut olarak yorumlanabilir. Bu derste iki riski tanır, güvenli şablon kullanımı ve tür kontrolüyle önlem alırsın.

   7 etkinlik: Kayıt tarama · Kod okuma · Sınıflandırma · Çıktı tahmini

5. 5
   XSS: tarayıcıda çalışan enjeksiyon. Kilitli: önceki dersleri bitirince açılır15 dk · 55 XP

   Siteler arası betik çalıştırmayı (XSS) geliştirici gözüyle incele. Zararlı girdinin nerede işlendiğini ve hangi karakterin onu koda çevirdiğini gör. Korumayı devre dışı bırakan çağrıları tanı. Altay Kargo'nun takip portalında üç türü ayırır, çıktıyı bağlama göre kodlar, katı CSP ve Trusted Types ile ikinci katmanı kurarsın.

   8 etkinlik: Kod okuma · Şema okuma · Sınıflandırma · Çıktı tahmini

6. Lab · Ayrıştırıcıyı Yanıltmak. Kilitli: modülün derslerini bitirince açılır100 XP

   Altay Kargo'nun sipariş arama servisinde gece nöbetindesin. Uygulama kaydı, 24 Eylül sabahı aynı IP'den gelen alışılmadık bir istek dizisi gösteriyor: önce sözdizimi hataları, sonra farklı sütun sayılarıyla denemeler.

   Kanıt dosyalı lab · isteğe bağlı

Ek lab: Bağlamı Kıran Tırnak. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

1. 1
   SSRF: sunucuyu vekil hâline getirmek. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP

   SSRF, saldırganın ulaşamadığı bir iç servise ya da bulut üstverisine sunucuyu vekil gibi kullanarak istek attırdığı bir zafiyettir. Bu derste SSRF türlerini, bulut üstverisi zincirini ve izin listesiyle kurulan savunmayı çözümlü örnekle öğrenirsin.

   7 etkinlik: HTTP isteği · Kayıt tarama · Şema okuma · Boşluk doldurma

2. 2
   XML dış varlık (XXE). Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP

   XXE, XML ayrıştırıcısının belge içindeki dış varlık tanımını sunucuda açıp dosya okumasından ya da ağa istek atmasından doğan bir zafiyettir. Bu derste varlık türlerini, hata izinden XXE tespitini ve ayrıştırıcı sertleştirmeyi çözümlü örnekle görürsün.

   7 etkinlik: Kayıt tarama · Kod okuma · Boşluk doldurma · Çoktan seçmeli

3. 3
   Dosya yükleme güvenliği. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP

   Dosya yükleme, sunucu gerçek içerik türünü ve depolama yerini denetlemezse, saldırgana sunucuda kod çalıştırmaya kadar uzanan bir kapı açar. Bu derste uzantı sahteciliğini, sihirli bayt doğrulamasını ve çalıştırılamayan depoyu çözümlü örnekle öğrenirsin.

   6 etkinlik: Kayıt tarama · Sınıflandırma · Çıktı tahmini · Boşluk doldurma

4. 4
   Yol geçişi ve güvenli depolama. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP

   Yol geçişinde saldırgan, dosya adı alanına üst dizin ifadeleri yazar ve izin verilen dizinin dışındaki sistem dosyalarına ulaşır. Bu derste kodlama varyantlarını, kanonik yol denetimini ve gerçek bir CVE vakasını çözümlü örnekle incelersin.

   6 etkinlik: Düzenli ifade · Kayıt tarama · Çıktı tahmini · Çoktan seçmeli

5. Lab · Sunucuyu Vekil Yapmak. Kilitli: modülün derslerini bitirince açılır100 XP

   Altay Kargo'nun fatura ve belge servislerinde gece nöbetindesin. İzleme ekibi üç ayrı uyarı bırakmış: sunucunun kendi başlattığı isteklerde alışılmadık iç adresler, bir XML içe aktarma isteğinde beklenmeyen bir yanıt alanı ve belge indirme ucunda tekrarlanan yol denemeleri.

   Kanıt dosyalı lab · isteğe bağlı

Ek lab: Logo Diye Çekilen Kimlik. Laboratuvar sayfasında da listelenir, yol ilerlemesine sayılmaz.

1. 1
   Güvensiz serileştirme. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   Güvensiz serileştirme, uygulamanın güvenmediği baytları bir nesne gibi geri okuyup saldırganın gizlediği kodu sunucuda canlandırmasıdır. Zararlı bir yükün neden çalıştığını, gadget zincirinin nasıl kurulduğunu ve tespit noktalarını göreceksin. pickle, unserialize ve ObjectInputStream yerine güvenli biçim, dar izin listesi ve imza ile açığı kapatacaksın.

   6 etkinlik: Kısa yazım · Sınıflandırma · Çoktan seçmeli · Doğru/yanlış

2. 2
   Yazılım ve veri bütünlüğü hataları. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   Yazılım ve veri bütünlüğü hatası, bir güncellemeye ya da bir pakete doğrulamadan güvenmekle başlar ve zincirin bir halkasını kırar. İmzasız yayının ve bağımlılık karışıklığının gerçek vakalarla nasıl kullanıldığını göreceksin. Kilit dosyası, alt kaynak bütünlüğü, imza doğrulama ve en az yetkili hat ile açığı kapatacaksın.

   6 etkinlik: Terminal · Şema okuma · Sınıflandırma · Çoklu seçim

3. 3
   Güvenlik yanlış yapılandırması ve eski bileşenler. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   Güvenlik yanlış yapılandırması uygulamayı gevşek bir varsayılanla açık bırakır; eski bileşen ise paketin bilinen açığını miras verir. Varsayılan parolanın, ayrıntılı hatanın ve yamasız sürümün saldırgana nasıl kapı açtığını göreceksin. Sıkı varsayılan, güvenlik başlıkları ve düzenli tarama ile iki riski birlikte kapatacaksın.

   6 etkinlik: Düzenli ifade · Kod okuma · Sınıflandırma · Çoktan seçmeli

4. 4
   Güvenlik günlüğü ve izleme eksikleri. Kilitli: önceki dersleri bitirince açılır13 dk · 55 XP

   Eksik kayıt ve izleme, saldırıyı fark etmeyi zorlaştırır. İz toplanmamışsa olayın nasıl geliştiğini sonradan anlamak da güçleşir. Neyin loglanacağını, neyin asla loglanmayacağını ve bir alarmın nasıl kurulacağını göreceksin. SIEM hattını uçtan uca izleyip bekleme süresini kısaltan bir kural kuracaksın.

   7 etkinlik: Komut zinciri · Şema okuma · Sınıflandırma · Tahmin

5. Lab · Zincirin Halkaları. Kilitli: modülün derslerini bitirince açılır100 XP

   Altay Kargo'nun yönetim panelinde gece bir kesinti yaşanmış. Sabah ekibe üç belge kalmış: yakalanmış bir oturum çerezinin çözümleme notu, haftalık bağımlılık ve bütünlük tarama raporu, panelin denetim kaydı.

   Kanıt dosyalı lab · isteğe bağlı

1. 1
   Nesne ve fonksiyon düzeyinde yetkilendirme. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   API'de BOLA kaydın sahibini, BFLA ise işlemin kime açık olduğunu sormayı unutmaktır; ikisi de kimliği karara katmamaktan doğar. OWASP API Security Top 10 2023 listesini, JWT'nin rolü nasıl taşıdığını ve açığın istekle yanıttaki izini göreceksin. Merkezi rol denetimi, sorgu içi sahiplik filtresi ve dar kapsamlı servis token'ıyla iki açığı sunucuda kapatacaksın.

   6 etkinlik: HTTP isteği · Kayıt tarama · Şema okuma · Sınıflandırma

2. 2
   Nesne özelliği düzeyi yetki ve kütle atama. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   Kütle atama, API'nin istekteki her alanı olduğu gibi kaydetmesidir; aşırı veri ifşası ise yanıtta gereğinden fazla alan döndürmesidir. Bir kullanıcının kendi rolünü nasıl yükselttiğini istek ve yanıt üstünden izleyecek, açığı sınamanın en ucuz yolunu göreceksin. İzin listesi, sabit yanıt şeması ve JSON Schema doğrulamasıyla iki yönü birlikte kapatacaksın.

   6 etkinlik: HTTP isteği · Kod okuma · Sınıflandırma · Çoklu seçim

3. 3
   Kısıtsız kaynak tüketimi ve envanter yönetimi. Kilitli: önceki dersleri bitirince açılır12 dk · 50 XP

   Kısıtsız kaynak tüketimi, tek istemcinin sınırsız istek ya da ağır sorguyla API'yi tüketmesidir; eksik envanter ise unutulmuş uçları açık bırakır. Sınırın dört boyutunu, nginx ile 429 dönen bir hız sınırını ve erişim kaydından eşiği aşan istemcileri ayıklamayı göreceksin. Gölge ve eski API sürümlerini envanter, sahip kaydı ve ağ geçidiyle görünür kılacaksın.

   6 etkinlik: Komut zinciri · Sınıflandırma · Çıktı tahmini · Tahmin

4. 4
   GraphQL riskleri ve güvenli API tasarımı. Kilitli: önceki dersleri bitirince açılır12 dk · 55 XP

   GraphQL istemciye istediği alanı tek uçtan seçtirir; iç gözlem, derin sorgu ve toplu istek bu esnekliği bir saldırı yüzeyine çevirebilir. Şemanın iç gözlemle nasıl çıkarıldığını, takma adların hız sınırını nasıl aştığını ve sorgu maliyetinin nasıl hesaplandığını göreceksin. İç gözlemi daraltacak, derinlik ve maliyet sınırı koyacak, servisler arası çağrıyı dar kapsamlı token'la bağlayacaksın.

   6 etkinlik: HTTP isteği · Şema okuma · Çıktı tahmini · Çoklu seçim

5. Lab · Uç Noktaların Haritası. Kilitli: modülün derslerini bitirince açılır100 XP

   Altay Kargo'nun API ekibi çeyreklik güvenlik gözden geçirmesi yapıyor. Sana üç belge kaldı: resmî API belgesiyle gerçek trafiği karşılaştıran bir envanter taraması, bir kullanıcı güncelleme isteğinin yakalanmış hâli ve son bir haftalık API trafik kaydı.

   Kanıt dosyalı lab · isteğe bağlı