Kısaca
Penetor Uygulamalı Web Uygulamaları Sızma Testi ve Güvenliği Eğitimi; OWASP Top 10, Burp Suite, SQL Injection, XSS, Broken Access Control, IDOR, CSRF ve JWT güvenliğini laboratuvar ortamında hem saldırı hem de güvenli kodlama perspektifiyle öğreten 2–5 günlük bir programdır.
Eğitim İçeriği ve Konuları
Eğitim süresince teorik bilginin yanı sıra Burp Suite laboratuvar ortamında yoğun pratik yapma şansı bulacaksınız. İşte adım adım ele alacağımız başlıklar:
1. Modern Web Güvenliğine Giriş ve OWASP Top 10
Eğitime, web uygulama güvenliğinin temel prensipleri ve sektörün standart rehberi olan OWASP Top 10 listesi ile başlıyoruz. Katılımcılar, bir güvenlik açığının risk seviyesinin nasıl hesaplandığını ve güncel tehditlerin neler olduğunu öğreneceklerdir.
- HTTP/HTTPS Protokollerinin Derinlemesine İncelenmesi
- OWASP Top 10 2021/2025 Güncel Riskler
- Saldırgan Bakış Açısı (Threat Modeling)
2. Burp Suite ile Profesyonel Sızma Testi
Burp Suite, bir web sızma testi uzmanının olmazsa olmaz aracıdır. Bu modülde, Burp Suite Professional/Community sürümlerini etkin bir şekilde kullanmayı öğreneceksiniz. Sadece proxy değil, Repeater, Intruder ve Scanner modülleri ile manuel test yeteneklerinizi üst seviyeye taşıyacağız.
- Hedef Kapsam (Scope) Tanımlama ve Pasif/Aktif Tarama
- Trafiği Manipüle Etme (Repeater ve Intercept)
- Özel Saldırılar için Intruder (Fuzzing) Kullanımı
3. En Kritik Zafiyetler: Enjeksiyon Açıkları (SQL Injection)
SQL Injection (SQLi), yıllardır listenin başında yer alan ölümcül bir zafiyettir. Bu bölümde, veritabanı sorgularının nasıl manipüle edildiğini laboratuvar ortamında görecek, kör SQL (Blind SQL) teknikleri ile veri sızdırma yöntemlerini deneyimleyeceksiniz.
- Union Based, Error Based ve Boolean Based SQL Injection
- Veritabanı Sunucusunu Ele Geçirme (OS Shell Alma)
- Güvenli Kod Yazımı: Prepared Statements ve ORM Kullanımı
4. Siteler Arası Betik Çalıştırma (XSS - Cross Site Scripting)
XSS (Cross Site Scripting), kullanıcı tarayıcılarında çalışan kötü niyetli javascript kodlarıdır. Bu modülde, yansıyan (Reflected), kalıcı (Stored) ve DOM tabanlı XSS türlerini inceleyerek oturum çalma (Cookie Stealing) ve keylogger saldırılarını simüle edeceğiz.
- WAF (Web Application Firewall) Atlatma Teknikleri
- İçerik Güvenlik Politikası (CSP) ile Korunma Yöntemleri
5. Kimlik Doğrulama ve Yetkilendirme Hataları (Broken Access Control & CSRF)
Broken Access Control, kullanıcıların yetkisi olmayan verilere erişmesi veya işlem yapmasıdır. Bu modülde IDOR (Insecure Direct Object References) zafiyetini ve CSRF (Cross Site Request Forgery) saldırılarını ele alıyoruz. Bu saldırılar sayesinde bir kullanıcının banka havalesi yapmaya veya şifre değiştirmeye zorlanabileceğini uygulamalı olarak göreceksiniz.
- Yatay ve Dikey Yetki Yükseltme Saldırıları
- JWT (JSON Web Token) Güvenlik Analizi
- CSRF Token Mekanizması ve SameSite Cookie Ayarları
Bu Eğitim Size Ne Kazandıracak?
Eğitimi başarıyla tamamladığınızda, CV'nize ekleyebileceğiniz ve yetkinliğinizi kanıtlayan başarı sertifikasına sahip olursunuz. Bu eğitimi tamamladığınızda aşağıdaki yetkinliklere sahip olacaksınız:
- Bir web uygulamasını OWASP Top 10 rehberliğinde metodolojik olarak test edebileceksiniz.
- Burp Suite aracını sadece tarama için değil, manuel ileri seviye exploit geliştirmek için kullanabileceksiniz.
- Geliştirdiğiniz projelerde SQL Injection ve XSS açıklarına mahal vermeyecek güvenli kod yazma refleksi kazanacaksınız.
- Siber güvenlik mülakatlarında karşınıza çıkacak CSRF ve Yetki Kontrolü sorularına teknik ve pratik cevaplar verebileceksiniz.
Kimler Katılmalı?
Bu eğitim programı özellikle aşağıdaki profildeki katılımcılar için yüksek fayda sağlamaktadır:
- Yazılım Geliştiriciler (Backend/Frontend): Kodunuzun hacklenmesini istemiyorsanız, saldırganın zihniyetini anlamanın en hızlı yolu budur.
- Siber Güvenlik Analistleri ve SOC Uzmanları: Loglarda gördüğünüz anormalliklerin arkasındaki mekanizmayı kavrayarak olaylara daha hızlı müdahale edin.
- DevOps Mühendisleri: CI/CD süreçlerine entegre edilecek güvenlik testlerinin mantığını öğrenin.
- IT Yöneticileri ve Proje Liderleri: Ekibinizin ürettiği işin güvenlik risklerini daha doğru analiz edin.
Eğitim Süresi ve Formatı
- Süre: 2 - 5 Gün (İhtiyaca göre özelleştirilebilir)
- Format: Online / Yüz yüze
- Seviye: Orta – İleri