Ana sayfa Yazılar İş mantığı açığı sızma testinde nasıl aranır
İş mantığı açığı sızma testinde nasıl aranır
Akışın kendi kuralı elle denenir. Sızma testi, fiyat, adet, kupon, adım atlama ve yarışa bakar. Araç, bu kuralları aday liste diye dökmez. Penetrasyon testi, akış anlatılmadan “iş mantığı temiz” yazmaz. Anlatılmayan akış, açık kalan kalır.
Kısa sonuç
- Kural, kurumun sipariş, ödeme veya onay adımından gelir.
- Negatif fiyat, sıfır adet veya atlanan onay, ayrı ayrı denenir.
- Denenip tutmayan yol elendi olur. Tutarsa bulgulu olur.
- Kural yazılmadan kapanan satır, temiz değildir.
Ne sorulur
Sepete giren fiyat, istemciden mi geliyor. Adet sıfır veya eksi olunca tutar düşüyor mu. Kupon, kendi koşulunun dışında ikinci kez işliyor mu. Onay adımı atlanınca sipariş kapanıyor mu. İki isteğin yarışı, aynı hakkı iki kez yazıyor mu.
Bu sorular, kimlik doğrulamasının yerine geçmez. Giriş sağlam olsa da adım yanlış olabilir. Yetki de ayrı başlıktır. Başkasının sepetine yazmak yetkidir. Kendi sepetinde fiyatı değiştirmek iş mantığıdır. İkisi aynı kartta birleşirse sorumlu karışır.
Neden araç kapatmaz
Tarama, bilinen sınıfı arar. Fiyat kuralı, sizin akışınıza göredir. Araç onu “bulunamadı” diye kapatamaz. Satır elle kapanır. Kapanmayan satır tarama yazısındaki gibi aday kalır. OWASP WSTG de testi kayıtlı tutmayı ister. Kayıt, denenen adımın adıdır.
Raporda ne durur
Etki, paranın veya hakkın ne kadar kaydığı değil, kuralın kırıldığıdır. Tutar uydurulmaz. Kanıt maskelidir. Müşteri siparişi rapora yapışmaz. Düzeltme, istemciden gelen fiyata güvenmemek veya adımı sunucuda tekrar kontrol etmek gibi o akışa ait cümledir. Sıra, 30 gün, 1–3 ay veya 3–12 ay diye plana yazılır.
Akışı formla birlikte anlatın. Web uygulaması hizmet sayfasında durur.