Web zafiyet taraması: OWASP ZAP ile kontrollü başlangıç

Bir web uygulamasını “tara” düğmesine basarak güvenli biçimde değerlendirmiş olmazsın. ZAP'ın değeri çok sayıda istek göndermesinden değil, uygulamanın gerçek HTTP akışını görünür kılmasından gelir. İyi bir başlangıç; kapsamı daraltır, normal kullanıcı davranışını gözlemler ve yalnız gerekli yerde aktif kontrol uygular.

Bu ders yalnız kasıtlı olarak zafiyet eğitimi için hazırlanmış veya sana yazılı olarak tahsis edilmiş bir lab uygulamasında uygulanmalıdır. Üretim sisteminde hızlı başlangıç taraması çalıştırmak; form gönderebilir, kayıt oluşturabilir, hesabı kilitleyebilir, oran limitini tetikleyebilir ya da hizmet yükünü artırabilir.

ZAP'ın dört rolü

ZAP'ın başlangıç belgesi, aracın merkezinde manipulator-in-the-middle proxy bulunduğunu açıklar. Tarayıcı veya otomasyon testi ZAP üzerinden uygulamaya gider; böylece araç istekleri ve yanıtları görür. Bu temel üzerinde dört ayrı rol oluşur:

• Proxy: HTTP ve WebSocket mesajlarını kaydeder, incelemeyi mümkün kılar.
• Keşif: Manuel gezinme, traditional spider veya AJAX spider ile bilinen rota ağacını genişletir.
• Pasif tarama: Zaten geçen mesajları değiştirmeden başlık, çerez ve içerik işaretlerini denetler.
• Aktif tarama: Parametrelere hazırlanmış girdiler göndererek olası zayıflıkları sınar.

Bu rollerin risk düzeyi aynı değildir. Manuel gezinme bile veri değiştiren bir butona basıldığında etkili olabilir. Spider yeni rotalara istek gönderir. Aktif tarama ise doğası gereği hedefe test girdileri yollar. Bu nedenle mod adı değil, yapılan HTTP işlemi risk değerlendirmesinin temelidir.

Güvenli sıra

Önce gör, sonra seçerek sın

Context ve kapsamı kur; normal kullanıcı akışını ZAP üzerinden geçir; pasif uyarıları incele; ancak yazılı yetki, lab koşulu ve durdurma kontrolü varsa seçilmiş rotalarda aktif taramaya geç.

Context: uygulamanın güven sınırı

ZAP context'i, değerlendirdiğin uygulamayı ve ona ilişkin oturum davranışını tanımlayan çalışma alanıdır. Yalnız ana URL'yi ekleyip devam etmek yeterli değildir. Şunları açıkça belirle:

• Dahil edilen host, port ve yol desenleri
• Üçüncü taraf analitik, ödeme veya kimlik sağlayıcı hostları
• Logout, parola değiştirme, kullanıcı silme ve sipariş oluşturma gibi durum değiştiren rotalar
• Kullanılacak lab hesabı ve kullanıcı rolü
• Oturumun gerçekten açık olduğunu gösteren başarı ve çıkış işaretleri

Örneğin /app/.* kapsam içindeyken /app/logout, /app/admin/delete/.* ve dış kimlik sağlayıcısı kapsam dışında tutulabilir. Bu desenler, yalnız teknik bir ayar değil, yazılı yetkinin araca çevrilmiş hâlidir.

Kimlik doğrulanmış tarama gerekiyorsa kişisel veya üretim hesabı kullanma. Lab için ayrılmış, en az yetkili ve silinebilir bir test hesabı seç. Oturum çerezi ve token'lar ZAP oturum dosyasında veya dışa aktarılan raporda görünebilir; kayıtların erişimini ve saklama süresini sınırla.

Pasif tarama: gözlenen mesajdan ilk işaret

ZAP Passive Scanner varsayılan olarak araçtan geçen mesajları değiştirmeden inceler. Eksik güvenlik başlığı, çerez niteliği veya bilgi ifşası gibi işaretler üretebilir. Bu, pasif taramanın hatasız olduğu anlamına gelmez. Bir başlığın eksikliği her uygulamada aynı etkiyi oluşturmaz; bazı kontroller ters proxy veya tarayıcı davranışıyla başka katmanda sağlanıyor olabilir.

Normal kullanıcı akışını ZAP üzerinden tamamla: giriş yap, sana tahsis edilen kayıtları görüntüle ve salt okunur rotaları gez. Sonra pasif tarama kuyruğunun tamamlanmasını bekle. Seçtiğin uyarıda şu alanlara bak:

• Hangi URL ve parametreyle ilişkilendirildi?
• Hangi HTTP isteği gönderildi ve yanıt neydi?
• ZAP “evidence” olarak hangi karakter dizisini işaretledi?
• Uyarı hangi kullanıcı rolünde görüldü?
• Aynı durum temiz bir oturumda yeniden oluşuyor mu?

Uyarı başlığı analizin başlangıcıdır. Request ve response görülmeden yalnız renk veya confidence alanına dayanarak rapor yazılmaz.

Aktif tarama: kontrollü ve seçilmiş olmalı

Aktif tarama hazırlanmış girdiler gönderir. Bazı istekler uygulama kaydı oluşturabilir, log hacmini büyütebilir veya beklenmeyen kod yollarını çalıştırabilir. ZAP'ın aktif tarama seçenekleri, host başına thread, eşzamanlı host sayısı, kural süresi ve toplam tarama süresi gibi yükü doğrudan etkileyen ayarlar sunar.

İlk çalışmada bütün siteyi seçmek yerine bir lab rotası seç. Düşük eşzamanlılık kullan, azami süre koy, sonuç sayısını sınırla ve uygulama loglarını eş zamanlı izle. Anti-CSRF token kullanan bir uygulamada token'ın doğru yenilendiğini ayrıca doğrula. Kimlik doğrulama başarısızsa anonim taramanın “tamamlandı” görünmesine aldanma.

Aktif taramanın bitmesi, bulunan her uyarının gerçek olduğu anlamına gelmez. Uyarının yeniden üretilebilir olup olmadığını, test girdisinin uygulamada hangi davranışı oluşturduğunu ve gerçek bir güvenlik sınırının aşılıp aşılmadığını incele. Doğrulama için zarar verici payload veya veri çıkarma gerekmez; güvenli, en küçük kanıt yeterlidir.

Uyarıdan analist kararına

Bir ZAP kaydını üç sınıftan biriyle ele alabilirsin:

• Doğrulanabilir aday: HTTP kanıtı açık, aynı lab koşulunda tekrar üretilebilir ve beklenen güvenlik kontrolü eksik.
• Belirsiz: İşaret var fakat oturum, proxy katmanı veya uygulama davranışı hakkında ek bilgi gerekli.
• False-positive adayı: Uyarının dayandığı varsayım bu uygulamada geçerli görünmüyor; yine de gerekçe ve kanıt kaydedilmeli.

Raporunda ZAP alert ID'si kadar uygulama rotasını, kullanıcı rolünü, isteği, yanıtın ilgili bölümünü ve güvenli yeniden üretim koşulunu yaz. Ham oturum çerezini, token'ı veya kişisel veriyi rapora kopyalama; gerektiğinde maskele.

İyi ZAP kullanımı en çok alarmı üretmek değildir. Uygulamanın sınırını anlayıp en az istekle açıklanabilir ve tekrar edilebilir bir güvenlik kanıtı oluşturmaktır.