Ana sayfa Yazılar Yetkilendirme sızma testinde nasıl bakılır
Yetkilendirme sızma testinde nasıl bakılır
Rol rol bakılır. Sızma testi, sıradan kullanıcının başka kullanıcının kaydını okuyup okuyamadığını ve yazıp yazamadığını dener. Yönetici oturumunun müşteri oturumundan ayrı durup durmadığı da ayrı sorudur. Penetrasyon testi, tek hesapla bütün yetkiyi kapanmış saymaz.
Kısa sonuç
- Her rol ayrı test hesabıdır.
- Başka kayda giden yol doğrulanırsa bulgulu olur.
- Denenip kanıtla kapanan yol elendi olur.
- Hesap yoksa o rol açık kalan kalır. Temiz yazılmaz.
Ne denenir
Kaydın kimliği değiştirilerek başka kullanıcının nesnesi istenir. Okuma ve yazma ayrıdır. Biri kapalıysa diğeri açık olabilir. Yönetim adresi, müşteri oturumuyla açılıyorsa bu da ayrı satırdır. Fiyat, adet veya başkasının siparişi iş mantığına kayabilir. O başlık iş mantığı yazısında durur. Aynı taslak kümesindedir.
OWASP WSTG, testi tekrarlanabilir tutmayı hedefler. Tekrar, iki rolün hesabıyla kurulur. Tek rol, diğerinin kanıtı değildir.
Hesap yoksa
Gri kutu, rolleri baştan ister. Verilmeyen rolün arkası bakılamaz. O satır açık kalan olur. Nedeni ve gereken hesap yazılır. Kara kutu bunu bilinçli seçtiyse, seçim formdadır. Seçim yoksa eksik hesap, turun temiz kapanması için bahane değildir.
API’de aynı soru uç bazında sorulur. Dokümandaki uç ile çalışan istek karşılaştırılır. Doküman yoksa görülen istekle sınırlı kalınır. API yazısı bunu anlatır.
Raporda ne durur
Kartta etkilenen uç, sorumlu, etki ve maskeli istek vardır. Başka müşterinin kaydı kartta açık durmaz. Kanıt kodu, ekibin kendi test hesaplarıyla aynı sonucu görmesi içindir. Araç listesi bu kartın yerine geçmez.
Rolleri forma yazın. Web yüzeyi hizmet sayfasında durur.