Tarayıcı
Tarayıcı, analizin farklı aşamalarını hedefleyen Pasif tarayıcı ve Aktif tarayıcı adlı iki sekmeye sahiptir.
Pasif tarayıcı
Pasif tarayıcı daha önce kaydettiğiniz trafiği inceler. Ek istek göndermez.
- Kurallar istek ve yanıt içeriğinde çalışır: başlıklar, çerezler, belirteçler, gövde desenleri, hata mesajları ve açığa çıkan dosyalar.
- Her kural önem derecesini, kategorisini ve ne tespit ettiğinin doğal dille açıklamasını gösterir.
- Tüm geçmişi tara, etkin tüm kuralları kaydedilen trafiğin tamamına uygular.
- Pasif kuralların oluşturduğu bulgular eşleşen kanıtlarla Bulgular panelinde görünür.
Yeni istek gönderilmediğinden pasif tarama, üretim trafiği dahil kaydedilmiş herhangi bir oturumda güvenle çalıştırılabilir.
Aktif tarayıcı
Aktif tarayıcı enjeksiyon veri yükleriyle değiştirilmiş istekler gönderir ve yalnızca yanıt eşleşen kanıt sağladığında bulgu oluşturur.
Kontroller ve önem düzeyleri
| Kontrol | Önem derecesi |
|---|---|
| SQL enjeksiyonu | Yüksek |
| Siteler arası betik çalıştırma (XSS) | Yüksek |
| Yol geçişi | Yüksek |
| Komut enjeksiyonu | Kritik |
| Sunucu taraflı şablon enjeksiyonu (SSTI) | Kritik |
| Sunucu taraflı istek sahteciliği (SSRF) | Kritik |
| Açık yönlendirme | Orta |
Kanıt gereksinimleri
- Bulgu yalnızca yanıt kontrol mantığıyla eşleşen kanıt içerdiğinde oluşturulur; sunucunun HTTP 200 döndürmesi yeterli değildir.
- Zaman tabanlı kontroller (kör SQLi, kör komut enjeksiyonu), temel yanıt süresinin üzerinde ölçülmüş gecikme gerektirir. Tarayıcı zamanlama veri yüklerini göndermeden önce temel süreyi belirler.
- SSRF kontrolleri yanıt göstergesi yoklamalarını ve yapılandırıldığında OAST geri çağrı doğrulamasını içerir. Bant dışı doğrulama için erişilebilir OAST dinleyicisi yapılandırın. Yanıt göstergesi tek başına haricen doğrulanmış geri çağrının kanıtı değildir.
Aktif tarayıcıyı çalıştırma
- Yardımcı araçlar > Tarayıcı bölümünü açıp Aktif tarayıcı sekmesini seçin.
- Kontrol listesini inceleyin ve hedefe uygun olmayan kontrolleri kapatın.
- Etkin tüm kontrolleri yakın zamanda kaydedilen trafikte çalıştırmak için Tümünü aktif tara düğmesine tıklayın.
- İlerlemeyi izleyin ve Bulgular panelindeki bulguları inceleyin. Tarayıcı kanıtları doğrulama için başlangıç noktasıdır; sorunu raporlamadan önce etkiyi ve tekrar üretilebilirliği doğrulayın.
Aktif tarama hedefe gerçek istekler gönderir. Test etme izniniz olmayan sistemlerde çalıştırmayın.