VulnLab
VulnLab web uygulama güvenliği laboratuvarı, kendini web güvenliği üzerine geliştirmek isteyen herkes için tasarlanmış bir laboratuvardır. Çeşitli web güvenliği zafiyetlerini birebir deneyimleyerek öğrenme fırsatı sunan laboratuvarımız, gerçek dünya senaryolarında karşılaşabileceğiniz birçok güvenlik açığını içermektedir. İki yıl önce, her yıl Amerika'da düzenlenen dünyanın en büyük bilgisayar güvenliği konferansı Blackhat'e VulnLab projemiz ile katılma fırsatını yakaladık. VulnLab, aynı zamanda OWASP Vulnerable Web Applications Directory'de listelenmiştir.
Neden VulnLab?
VulnLab, İngilizce, Türkçe ve Fransızca olmak üzere 3 dil seçeneği sunmaktadır. Basit kurulumu ile hızlıca bilgisayarınıza kurabilirsiniz. Teorik bilgilerin ötesine geçerek, uygulamalı öğrenme fırsatları sunar. Gerçek dünya senaryolarında karşılaşabileceğiniz güvenlik zafiyetlerini birebir deneyimleyerek hem saldırı hem de savunma tekniklerini öğrenirsiniz. Ayrıca VulnLab'in sunduğu zengin içerik ve çeşitli zafiyetlerle web güvenliği konusunda geniş bir bilgi yelpazesi elde edebilirsiniz.
Laboratuvarımızdaki Güvenlik Zafiyetleri
VulnLab'de, siber güvenlik dünyasında sıkça karşılaşılan ve önemli riskler barındıran birçok güvenlik açığını deneyimleme fırsatınız var. İşte laboratuvarımızda bulunan bazı güvenlik zafiyetleri:
- SQL Injection (5 Adet): Veri tabanına dayalı uygulamalara saldırmak için kullanılan bir atak tekniğidir; burada saldırgan SQL dili özelliklerinden faydalanarak standart uygulama ekranındaki ilgili alana yeni SQL ifadelerini ekler.
- Cross-Site Scripting (XSS) (8 Adet): Diğer kullanıcılar tarafından görüntülenen web sayfalarına istemci taraflı kodun enjekte edilmesine imkân verir.
- Command Injection (4 Adet): Güvenlik açığı bulunan bir uygulama aracılığıyla ana bilgisayar işletim sisteminde rastgele komutların yürütülmesinin amaçlandığı bir saldırıdır.
- Insecure Direct Object Reference (IDOR) (7 Adet): Bir uygulama, nesnelere doğrudan erişmek için kullanıcı tarafından sağlanan girdiyi kullandığında ortaya çıkan bir tür erişim denetimi güvenlik açığıdır.
- Cross-Site Request Forgery (CSRF) (3 Adet): Bir web tarayıcısını, kullanıcının oturum açtığı bir uygulamada istenmeyen bir eylemi yürütmesi için kandıran bir saldırı vektörüdür.
- XML External Entity (XXE) (1 Adet): XML girdilerini ayrıştıran bir uygulamaya karşı yapılan bir saldırı türüdür. Bu saldırı, harici bir varlığa referans içeren XML girdisi eksik yapılandırılmış bir XML ayrıştırıcısı ile işlendiğinde gerçekleşir.
- Insecure Deserialization (5 Adet): Bir uygulama, nesnelere doğrudan erişmek için kullanıcı tarafından sağlanan girdiyi kullandığında ortaya çıkan bir tür erişim denetimi güvenlik açığıdır.
- File Upload (5 Adet): Kullanıcıdan alınan dosyaların tam olarak kontrol edilememesi sonucu ortaya çıkan ve sunucu üzerinde uzaktan kod çalıştırma ile sonuçlanabilecek bir güvenlik açığıdır.
- File Inclusion (3 Adet): Saldırganın, genellikle web sunucusundaki bir komut dosyası aracılığıyla, uzaktan veya yerel olarak barındırılan bir dosya eklemesine olanak tanıyan güvenlik açığıdır.
- Race Condition (2 Adet): Yarış Durumu, bir programın doğru çalışmasını engelleyebilecek ve güvenlik zafiyetlerine yol açabilen bir durumu ifade eder. Bu durum, iki veya daha fazla işlemin aynı kaynaklara aynı anda erişmeye çalıştığı, bu erişimin sıralı veya kontrolsüz bir şekilde gerçekleştiği durumlarda ortaya çıkar, ve bu durumda beklenmeyen hatalar veya güvenlik açıkları meydana gelebilir.
- Broken Authentication (3 Adet): Bozuk kimlik doğrulama, bilgisayar korsanlarının oturum açma güvenliğini atlamasına ve saldırıya uğramış kullanıcının sahip olduğu tüm ayrıcalıklara erişmesine olanak tanıyan bir çevrimiçi platform veya uygulamada bulunan güvenlik açıkları veya zayıflıkları ifade eder.
- Server-Side Template Injection (SSTI) (2 Adet): Sunucu Tarafı Şablon Enjeksiyonu (SSTI), web uygulamalarındaki güvenlik açıklarından biridir. Bu açık, saldırganın kötü niyetli şablon ifadelerini kullanıcı girişleri aracılığıyla enjekte ederek, sunucu tarafında şablon motorunu etkilemesine ve istenmeyen kodun yürütülmesine neden olabilir. Bu tür saldırılar, uygulama içindeki kodu manipüle ederek hassas bilgilerin sızdırılmasına veya sistem üzerinde istenmeyen eylemlerin gerçekleştirilmesine olanak tanır.
Last updated
