Ana sayfa Yazılar API sızma testinde dokümantasyon şart mıdır
API sızma testinde dokümantasyon şart mıdır
Gri kutu ve beyaz kutu için şarttır. Sızma testi, dokümandaki uç ile çalışan isteği ayrı ayrı karşılaştırır. Doküman yoksa yalnızca ele geçen istek bakılır. Bakılamayan uç, temiz diye kapanmaz. Açık kalan kalır. Penetrasyon testi, görülmeyen ucu “yok” diye yazmaz.
Kısa sonuç
- Doküman, kapsamın uç listesidir. Sözlü “şu API” bir liste değildir.
- Dokümanda olup çalışan istekte olmayan uç ayrıca yazılır.
- Çalışan istekte olup dokümanda olmayan uç da ayrı satırdır.
- REST ile GraphQL aynı doküman sanılmaz.
Doküman neyi kilitler
Uç, yöntem, kimlik şeması ve hangi rolün neyi çağırdığı yazılır. Rol yoksa yetki turu da yoktur. Hesap vermenin yolu hesap yazısında durur. O taslak yayınlanınca bağlantı da yayındadır.
Kara kutu, dokümansız bakabilir. O zaman sonuç, dışarıdan görülen istekle sınırlıdır. Girişin arkası ve yazılmamış uç, açık kalan olur. Bunu teklifte gizlemek, günü olduğundan uzun gösterir. Fiyat bu yüzden satırdan okunur.
İki liste neden karşılaştırılır
Doküman eski, kod yeni olabilir. Yeni uç, formda yoksa ona istek gitmez. Formda olup yanıt vermeyen uç, uygulanamaz veya açık kalan diye kapanır. İkisi de “API temiz” cümlesine sığmaz.
OWASP WSTG, testi bilinen yüzeye yaymayı ve kaydı tutmayı hedefler. Kayıtsız uç, bilinen yüzey değildir. GraphQL kullanılıyorsa şema, REST listesinin eki değildir. Ayrı verilir. API hizmetinin çerçevesi hizmet sayfasında durur.
Raporda ne görünür
Her bakılan uç, bulgulu, elendi, temiz, uygulanamaz veya açık kalan olur. Araç listesi bu tablonun yerine geçmez. Kimlik, nesne yetkisi ve hata yanıtı elle kapanır. Kanıt maskelidir.
Dokümanı kapsam formuyla birlikte verin.