Ana sayfa Yazılar Sızma testi raporundaki kanıt kodu ne işe yarar
Sızma testi raporundaki kanıt kodu ne işe yarar
Kanıt kodu, sızma testi raporunu okuyan ekibin aynı sonucu kendi test hesabıyla yeniden görmesi içindir. Sözlü “biz gördük” cümlesinin yerine durur. Penetrasyon testi bu kodu kamuya, örnek sayfaya veya bu siteye koymaz. Kod, teknik raporun içindedir ve alıcısı dardır.
Kısa sonuç
- Kod, kurumun test hesabıyla çalışacak şekilde yazılır.
- Parola, çerez ve müşteri kaydı kodun içine gömülmez.
- Kod yoksa ve sonuç da yeniden görülemiyorsa satır zor kapanır.
- Kod, tarama aracının ham çıktısı değildir.
Ne işe yarar
Düzeltmeyi yapacak kişi, adımı kendi ortamında tekrarlar. Tekrar, raporun iddiasını kontrol eder. Tekrar tutmuyorsa madde tartışılır. Tutuyorsa düzeltme o adıma bakarak yazılır. Yönetici özeti bu kodu taşımaz. Özet, karar vericiler içindir. Kod, teknik raporun bulgu kartındadır.
İçine ne girmez
Hesap, çerez, müşteri kaydı ve üretim verisi kodda durmaz. İstek örneği maskelidir. Bunu maskeleme yazısı ayrıca anlatır. Kod, başkasının oturumunu sürmek için saklanmaz. Test hesabının süresi bitince kod da o hesapla çalışmaz. Yeni hesap, formun süresi içindedir.
OWASP WSTG, testi kayıtlı ve tekrarlanabilir tutmayı hedefler. Tekrar, veriyi taşımadan da kurulabilir. PTES, hassas içeriği indirmenin şart olmadığını söyler.
Kod olmayan ne
Aracın ürettiği uzun liste, kanıt kodu değildir. Aday listesidir. Satır elle kapanmadan rapora geçmez. Kapanmayan satır açık kalan kalır. Tarama yazısı bu ayrımı tutar. Kartın yeri raporda ne yazar yazısındadır.