Web uygulama ve API güvenliği. OWASP Top 10, injection saldırıları, authentication, business logic.
SSRF (Server-Side Request Forgery — Sunucu Taraflı İstek Sahteciliği), bir saldırganın sunucuyu kandırarak onun adına başka adreslere istek attırdığı bir web zafiyetidir. Özellikle bulut (cloud) ortamlarında yıkıcıdır: sunucunun eriştiği gizli "metadata" adresleri üzerinden kimlik bilgileri (credentials) çalınabilir ve dev veri ihlallerine kapı aralanır. Bu rehberde SSRF'in ne olduğunu, türlerini, neyi hedeflediğini, nasıl test edildiğini ve nasıl önlendiğini başlangıç seviyesinden, adım adım anlatıyoruz.
IDOR (Insecure Direct Object Reference - Güvensiz Doğrudan Nesne Referansı), bir uygulamanın kullanıcının kendi verisine mi yoksa başkasının verisine mi eriştiğini sunucu tarafında kontrol etmemesinden doğan bir yetkilendirme (authorization) zafiyetidir. Tespit edilmesi otomatik araçlarla oldukça zordur; istismarı ise son derece kolaydır. Bu yazıda zafiyetin nasıl çalıştığını, neden hâlâ bu kadar yaygın olduğunu ve nasıl test edilip önlendiğini inceliyoruz.
