Giriş

Web uygulamaları, bir kurumun dış dünyaya açılan en geniş ve en dinamik kapılarıdır. Bu dinamizm, beraberinde sürekli değişen bir saldırı yüzeyi getirir. Web Sızma Testi (Web Pentest), bir web uygulamasının güvenliğini değerlendirmek için gerçekleştirilen yetkilendirilmiş bir saldırı simülasyonudur.

Sadece otomatik araçlarla zafiyet taraması yapmanın ötesinde, bu süreç karmaşık mantık hatalarını ve zincirleme istismar senaryolarını (exploit chains) açığa çıkarmayı hedefler. 2026 yılı itibarıyla, mikro servis mimarileri ve yapay zeka entegrasyonlarıyla karmaşıklaşan web ekosisteminde, standart bir pentest operasyonu “Hacker” bakış açısını sistematik bir disiplinle birleştirir.

Senaryo: E-Ticaret Platformu Sızma Testi

• Hedef: “X-Market” e-ticaret platformu.

• Kapsam: https://www.x-market.com ve bağlı API uç noktaları.

• Yöntem: Gri Kutu (Grey Box) – Uzmana standart bir kullanıcı hesabı tanımlanmıştır.

1. Adım: Bilgi Toplama ve Keşif (Reconnaissance)

Operasyonun ilk aşaması, hedefin teknoloji yığınını (tech stack) ve saldırı yüzeyini haritalandırmaktır.

• Teknoloji Tespiti: Sunucunun Nginx olduğu, arka planda PHP 8.x çalıştığı ve PostgreSQL kullanıldığı saptanır.

• Dizin ve Dosya Keşfi: ffuf veya gobuster araçlarıyla gizli dizinler taranır. /admin_v2 ve /dev_api gibi kritik dizinler keşfedilir.

• Parametre Analizi: URL yapısındaki id=102 gibi değerlerin SQLi veya IDOR için potansiyel giriş noktaları olduğu not edilir.

2. Adım: Zafiyet Analizi ve Manuel Testler

Bu aşamada, keşfedilen noktalar üzerinde OWASP Top 10 kriterlerine göre testler başlatılır.

• IDOR Testi: Uzman, kendi profil sayfasındaki user_id=102 değerini 101 olarak değiştirir. Uygulama, yetki kontrolü yapmadan bir başka kullanıcının bilgilerini getirir.

• XSS Testi: Ürün yorumları kısmına <script>alert(document.cookie)</script> kodu girilir. Sayfa yenilendiğinde kod çalışır (Stored XSS).

3. Adım: İstismar (Exploitation) ve Zincirleme Saldırı

Sızma testinin gerçek gücü, basit bulguları birleştirerek büyük bir etki yaratmaktır.

• Senaryo: Uzman, API uç noktalarını incelerken /api/v1/debug?file=log.txt parametresinde LFI (Local File Inclusion) zafiyeti bulur.

• İstismar: file=../../../../etc/passwd denemesiyle sistem dosyalarını okur. Ardından, daha önce “File Upload” kısmında yüklediği resim görünümlü PHP dosyasını (Web Shell) bu LFI açığına enjekte eder.

• Sonuç: Sunucu üzerinde Uzaktan Komut Çalıştırma (RCE) yetkisi elde edilir.