Orso Connect
İş Akışları

Orso Connect ile API güvenlik değerlendirmesi

03
Staging kontrolü

Staging API'nizi kontrol edin

Proje klasörünüzü Orso Connect'te açın ve aracıdan giriş akışını (örneğin MFA'nın gerekli olup olmadığını) gözden geçirmesini ve staging sunucunuza GET istekleri göndermesini isteyin. Sonuçları sohbet penceresinde inceleyin; aracı, belirli bağlamlarda API'ler için MFA'nın neden gerekli olmadığını açıklayabilir.

01

Klasörü aç

Proje dizininizi seçin.

02

Yapılandırmayı oku

Aracı ayar dosyasını okur.

03

İstek gönder

Aracı bir test isteği gönderir.

04

Sonucu kontrol et

Durum kodu çıktısını gözden geçirin.

Örnek test planı

api-test-plan.txt
# Staging API Test Plan
# Target: https://staging.example.com
check 1: GET /orders/ID as user B, expect 403
check 2: POST /login with bad token, expect 401
check 3: GET /users/profile, expect 200 OK
check 4: POST /logout, expect 200 OK
check 5: GET /orders/ID as user A, expect 200
check 6: POST /login with valid creds, expect 200
check 7: GET /health, expect 200 OK
check 8: POST /login with empty body, expect 400
check 9: GET /users/profile as anon, expect 401
check 10: POST /login with wrong pass, expect 401
check 11: GET /orders/ID as user B, expect 403
check 12: POST /login with valid creds, expect 200
check 13: GET /users/profile as user A, expect 200
check 14: POST /logout, expect 200 OK
check 15: GET /orders/ID as user A, expect 200
check 16: POST /login with bad token, expect 401
check 17: GET /health, expect 200 OK
check 18: POST /login with valid creds, expect 200

Bu düz metin dosyası, staging ortamı için belirli kontrolleri tanımlar. API davranışını doğrulamak için her istek için beklenen sonuçları listeler.

JWT testleri ve kapsam incelemesi

Tokenları gözden geçir

Aracı, yapılandırmadaki issuer ve audience claim'lerini doğrulamak için read_file kullanır; staging'de süresi dolmuş bir token ile gönderilen bir test isteği 403 dönmelidir. Bu bir JWT testidir. Ask first modunda, herhangi bir değişikliği kabul etmeden önce ayrıntılı çıktıyı dikkatlice inceler. API'lerdeki IDOR sorunlarını ele almak için kullanıcı A'nın kullanıcı B kayıtlarını okuyamadığından emin olun. Aracı, API güvenlik değerlendirmesi raporunuz için test sonuçlarını kaydeder. İşlem sırasında telemetri PC'nizden ayrılmaz ve gizli bilgiler karartılır. Güncellemeler, yeni sürümler hazır olduğunda Güncelleme düğmesi aracılığıyla mevcuttur. Geri bildirim, uygulama içi düğme kullanılarak gönderilir.

Kapsamı kontrol et

Aracı, onaylanmış kapsamınızla karşılaştırmak ve yapıyı açık ve eksiksiz doğrulamak için route tanımlarını listelemek üzere grep kullanır. Ask first modu duraklatır. Yanıtları doğrulamak için staging sunucusuna istekler gönderir. Sunucu tarafından döndürülen durum kodlarını dikkatlice inceleriz. Kişisel veriye açık olan genel API uç noktaları şimdi dikkatli bir inceleme gerektirir. Hız sınırlama ayarlarını okumak, mantığı doğrulamak için bir sorudur. Veri sızıntıları için hata mesajlarını inceleriz. Bu, güvenlik testi için API güvenlik değerlendirmesinin bir parçasıdır.

Windows için Orso Connect

Güvenlik testlerinize başlayın

Orso Connect'i İndir ↗