Ana sayfa Yazılar Dosya yükleme sızma testinde nasıl ele alınır
Dosya yükleme sızma testinde nasıl ele alınır
Yüklenen dosyanın nereye düştüğü ve oradan çalışıp çalışmadığı bakılır. Sızma testi, türün yalnızca ekrandaki uyarıyla mı yoksa sunucuda mı reddedildiğini ayırır. Yükleme yoksa bu denetim uygulanamazdır. “Yükleme temiz” yazılmaz. Penetrasyon testi, deneme dosyasını üretimde bırakmaz.
Kısa sonuç
- Ad, tür ve içerik ayrı sorulur. Birinin reddi diğerini kapatmaz.
- Dosya, başkasının okuyacağı bir yere düşüyorsa etki oradadır.
- Deneme biter bitmez dosya, formdaki kurala göre kaldırılır.
- Yol geçişi ve sunucu tarafı istek, yüklemenin yanındaki ayrı satırlardır.
Ne bakılır
İstemci, yalnızca resim seçtiriyor olabilir. Sunucu, başka bir türü kabul edebilir. Kabul edilen dosya, herkese açık bir adreste duruyorsa ve tarayıcı onu çalıştırıyorsa etki değişir. Dosya yalnızca indiriliyorsa etki de ona göredir. İkisi aynı kartın kopyası değildir.
Adın içindeki dizin adımı, yüklemeyi başka bir klasöre yazdırıyorsa bu, yüklemenin yanında ayrı sorulur. Sunucunun, verdiğiniz adrese kendisinin istek atması da ayrı sorudur. Üçünü tek “dosya bulgusu” diye birleştirmek, sorumlusunu karıştırır.
Ne bırakılmaz
Deneme dosyası, kanıt alındıktan sonra formdaki kurala göre kaldırılır. Üretim verisinin yerine geçmez. İçinde kişisel veri veya zararlı yük taşıyan bir örnek, rapora ham konmaz. Maskeli istek, dosyanın düştüğü davranışı gösterir. Dosyanın kendisi her alıcıya gitmez.
OWASP WSTG, denemeyi kayıtlı tutmayı ister. Kayıt, dosyayı sistemde unutmak değildir. NIST SP 800-115 de toplanan verinin sonunda yok edilmesini planlar.
Olmayan yükleme
Özellik yoksa uygulanamaz yazılır. “Dosya yükleme elendi” yazılmaz. Elendi, denenip kanıtla kapanan yoldur. Hesap, yükleme ekranına yetmiyorsa satır açık kalan kalır. Temiz, ancak bakılıp kayda değer sorun çıkmayınca yazılır.
Web yüzeyi hizmet sayfasında durur. Etiketler ayrı yazıdadır.