Web Uygulama Güvenliği
OWASP Top 10 ve WSTG (Web Security Testing Guide) metodolojisiyle web uygulamalarınızdaki güvenlik açıklarını tespit ediyor, çözüm önerileri sunuyoruz.
OWASP Top 10 ve WSTG Metodolojisi
Testlerimizi OWASP Web Security Testing Guide (WSTG) metodolojisiyle gerçekleştiriyoruz. WSTG'nin tanımladığı tüm test kategorilerini: kimlik doğrulama, oturum yönetimi, iş mantığı, kriptografi ve daha fazlasını: sistematik olarak kapsıyoruz. Otomatik tarayıcıların ötesinde, manuel testlerle karmaşık yetkilendirme sorunlarını ve zincir saldırı senaryolarını ortaya çıkarıyoruz.
Test Kapsamı
- SQL Injection, Cross-Site Scripting (XSS), CSRF
- Server-Side Request Forgery (SSRF), SSTI
- Broken Authentication ve Session Management
- Insecure Direct Object References (IDOR)
- File Upload zafiyetleri
- API güvenliği (REST, GraphQL, WebSocket)
- İş mantığı ve ödeme akışı testleri
- Kaynak kod güvenlik analizi
Bu listedeki kalemlerin bir projede hangi sırayla ele alındığını Sızma Testi Aşamaları yazısında, iş mantığı hatalarının neden otomatik tarayıcıyla bulunamadığını Zafiyet Taraması, Zafiyet Yönetimi ve Sızma Testi yazısında anlattık.
Metodoloji
- 01 Uygulama mimarisi ve teknoloji yığını analizi
- 02 Kimlik doğrulama ve oturum yönetimi testleri
- 03 Yetkilendirme ve erişim kontrolü testleri
- 04 Injection saldırıları (SQL, XSS, SSRF, SSTI...)
- 05 İş mantığı ve iş akışı testleri
- 06 Kaynak kod analizi (white-box durumunda)
- 07 Raporlama ve düzeltme doğrulaması