Ana sayfa Hizmetler Web uygulaması sızma testi
Web uygulaması sızma testi
Web uygulaması sızma testinde sitenizin giriş, oturum, yetkilendirme, sepet ve ödeme adımlarını, gerçek bir saldırganın izleyeceği yollarla deneriz. Otomatik tarama araçları yalnızca olası açıkları listeler. Bir açığın gerçekten kullanılabilir olup olmadığını ise uzmanlarımız elle doğrular. Penetrasyon testi, imzalı kapsam formundan sonra başlar. Sonunda yönetici özeti ve teknik bir rapor teslim ederiz.
Son güncelleme: Kasım 2026. Bu hizmet, sızma testi çalışmamızın web uygulaması bölümüdür.
Ücretsiz penetrasyon testi talep et Örnek rapor iste
Web uygulaması sızma testinde nelere bakıyoruz?
Giriş ve oturum yönetimi
Kayıt sırasında e-posta doğrulaması yapılıyor mu, parola kuralı yalnızca uzunluğa mı bakıyor, hatalı girişler sayılıyor mu, hesap kilitleniyor veya giriş yavaşlatılıyor mu, bunları kontrol ederiz. Çıkış yapıldığında tarayıcıdaki oturum izi siliniyor ve sunucudaki oturum da kapanıyor mu, çerez ayarları ve oturum süresi uygun mu, bunlara da bakarız.
Parola sıfırlama akışında, parola değiştirildiğinde sıfırlama bağlantısının geçersiz olup olmadığını kontrol ederiz. Sıfırlama sayfasının bu bağlantıyı üçüncü taraf ölçüm etiketlerine taşıyıp taşımadığını da inceleriz.
Yetkilendirme: başka bir kullanıcının verisine erişim
Bir kullanıcının başka birinin destek kaydına, adresine veya sepetine erişip yazabildiğini test ederiz. Yönetim ekranının mağaza kullanıcısının oturumunu kabul edip etmediğine de bakarız. Bu tür yetkilendirme hataları, web uygulamalarında en ciddi veri sızıntılarına yol açan açıklar arasındadır.
Sipariş ve ödeme akışı
Fiyat, adet, kupon ve kargo tutarının sunucuda yeniden hesaplanıp hesaplanmadığını kontrol ederiz. Ödeme adımı atlandığında sistemin siparişi kabul edip etmediğini deneriz. Aynı anda gönderilen isteklerin stoku veya tutarı bozup bozmadığına da bakarız.
Dosya yükleme
Yüklenen dosyanın sunucuda nereye kaydedildiğini ve çalıştırılıp çalıştırılamadığını kanıtlarız. Bunu kanıtlayamazsak nokta raporda açık kalan olarak kalır.
Arama ve form alanları
Arama kutularında ve formlarda enjeksiyon ile betik denemeleri yaparız. Sonuç alamazsak bu kontrol kapsam kaydında “elendi” olarak kalır, bulgu tablosuna girmez.
Güvenlik başlıkları
İçerik güvenlik politikasını, yönlendiren politikasını, HSTS’yi, çerçeve ve içerik türü başlıklarını inceleriz. Eksik bir başlığın sömürüldüğünü kanıtlayamazsak bunu kendi önem seviyesinde raporlarız. Birden fazla zayıflık zincirleniyorsa, bunun birleşik etkisini yönetici özetinde anlatırız.
Teste başlamadan önce kapsam formunda neler netleşir?
Test, formda yazmayan hiçbir şeye dokunmaz. Kapsam formunda şunlar belirlenir:
- Adres: Yalnızca formdaki adresler test edilir. Formda olmayan bir adrese istek gönderilmez.
- Ortam: Üretim, test ve geliştirme ortamları ayrı ayrı yazılır.
- Hesap: Test hesaplarının rolü ve geçerlilik süresi yazılır. Hesap verilmezse yalnızca kimlik istemeyen, herkese açık alanlar test edilir. Kimlik isteyen alanlar sorunsuz yazılmaz; açık kalan nokta olarak raporda kalır.
- Yasaklar: Ödeme adımı formda yoksa o adıma istek gönderilmez. Gerçek tahsilat, form izin vermedikçe tamamlanmaz.
- Hız: Üretim ortamında test hızı daha düşük tutulur.
- Tarih ve yedek: Test günleri formda yer alır. Kurum, yedek aldığını yine formda işaretler.
Sipariş kaydı oluşmadan sipariş yetkisi “temiz” diye yazılmaz.
Sızma testi raporunda neler yer alır?
Doğruladığımız her açık, teknik raporda ayrı bir bulgu kartı olur. Kartta şunlar bulunur:
- önem derecesi, CVSS puanı ve CWE numarası
- sorumlu ekip ve etkilenen uç nokta
- açığın etkisi
- maskelenmiş istek ve yanıt
- kanıt kodu ve düzeltme önerisi
Kanıt kodu, kurumunuzun kendi test hesabıyla aynı sonucu görmesi içindir. Bu sayfada kod ve istek örneği yayınlamıyoruz.
Rapor yalnızca açık listesi değildir. Kontrol edilip elenen veya temiz bulunan alanlar da dosyada kalır, yani nereye bakıldığı görünür. Temiz çıkan alanlarla kanıtını tamamlayamadığımız noktalar ayrı bölümlerde durur.
Daha fazlası için: sızma testi raporunda neler aranır · zafiyet taraması neden yetmez
Sık sorulan sorular
Web uygulaması sızma testi canlı sistemde yapılır mı?
Evet, ama kapsam formunda üretim, test ve geliştirme ortamları ayrı yazılır. Üretimde test hızı düşük tutulur ve gerçek tahsilat, form izin vermedikçe tamamlanmaz.
Test için hesap vermem gerekir mi?
Hesap vermeniz şart değil. Hesap vermezseniz yalnızca giriş yapmadan erişilebilen alanlar test edilir. Kimlik isteyen alanlar sorunsuz diye yazılmaz; kanıtı tamamlanamadığı için açık kalan nokta olarak raporda kalır. Verdiğiniz hesabın rolü ve geçerlilik süresi kapsam formunda yazılır.
Zafiyet taraması ile web uygulaması sızma testi aynı şey mi?
Hayır. Tarama olası açıkları otomatik listeler. Sızma testinde ise her bulgu elle denenir ve gerçekten kullanılabilir olup olmadığı kanıtlanır. Aradaki farkı detaylı anlattığımız yazıda okuyabilirsiniz.
Test sırasında sistemimiz yavaşlar mı?
Üretim ortamında test hızını bilerek düşük tutuyoruz. Kampanya ve yoğun sipariş günlerinde test tarihini kapsam formunda birlikte belirleriz.
Bulduğunuz açıkları düzelttikten sonra yeniden test yapılıyor mu?
Evet. Düzeltmeler tamamlandığında aynı bulgular aynı ortamda tekrar test edilir, kapanıp kapanmadığı raporlanır. Bu tur yeniden test sayfasında anlatılır.
Web uygulaması sızma testi ne kadar sürer?
Sabit bir gün sayısı yok. Süre, kapsamdaki adres, rol ve iş akışına göre değişir. Kapsam formu netleşince test günleri yazılır.
Web uygulamanız için ücretsiz sızma testi başvurusu
Test etmek istediğiniz uygulamayı ve size uygun tarihi iletin. Kapsamı birlikte netleştirelim.