Ana sayfa Yazılar Kimlik ve oturum sızma testinde nereye bakılır
Kimlik ve oturum sızma testinde nereye bakılır
Kayıttan çıkışa kadar bakılır. Sızma testi, e-posta doğrulamasını, parola kuralını, girişteki hız sınırını, çıkışın sunucudaki oturumu kapatıp kapatmadığını, çerez bayrağını ve sıfırlama belirtecinin ömrünü ayrı sorar. Penetrasyon testi, “giriş var” cümlesiyle bu listeyi kapatmaz. Parola ve çerez raporda açık durmaz.
Kısa sonuç
- Çıkış, tarayıcıyı kapatmak değildir. Sunucudaki oturumun düşmesi gerekir.
- Sıfırlama yanıtı, kullanıcı var mı diye ayırt ediyorsa bu ayrı satırdır.
- Hız sınırı yoksa bu, hizmet engelleme denemesi için bahane değildir.
- Bakılamayan adım, hesap yoksa açık kalan kalır.
Liste
Kayıt herkese açıksa test hesabı o yolla açılabilir. Davetiye varsa davet formdadır. E-posta doğrulaması atlanınca hesap açılıyorsa bu denenir. Parola kuralı, yalnızca ekrandaki yazı değil, sunucunun kabul ettiği değerdir.
Giriş ve yönetim girişi, hız sınırına ayrıca bakılır. Sınırı delmek için yoğun deneme yapılmaz. Hizmet engelleme kapalıdır. Sınırın yokluğu, düşük hızla da görülebilir.
Çıkıştan sonra eski belirteç işe yarıyorsa oturum düşmemiştir. Çerez betiğe açıksa veya ömrü formdaki kullanıma göre uzunsa bu ayrı karttır. Sıfırlama belirtecinin ömrü ve ikinci kullanımı da ayrı sorulur. Sıfırlama yanıtı, hesabın varlığını ele veriyorsa o da yazılır.
Ne yazılmaz
Başka müşterinin parolası, çerezi ve sıfırlama bağlantısı rapora girmez. Kanıt maskelidir. Kanıt kodu, ekibin kendi test hesabıyla aynı yolu görmesi içindir. Araç listesi bu maddelerin yerine geçmez. Satır elle kapanır. Kapanışın farkı tarama yazısında durur.
Rol neden ayrıdır
Müşteri oturumu ile yönetim oturumu aynı çerezi paylaşıyorsa bu, kimlik kadar yetki sorusudur. Yetki ayrı yazıdadır. İkisi tek kartta birleşirse sorumlu karışır.
Çerçeve web hizmetinde ve raporda durur.