İçeriğe geç
CODZA
Teklif al

Hizmet · Siber güvenlik

Sızma Testi.

Saldırgan sizi test etmeden önce ben test edeyim.

Web uygulamanızı, API'nizi ve altyapınızı gerçek bir saldırganın yöntemleriyle, yazılı yetkiyle test ederim. Bulduğum her açığı kanıtıyla, önem derecesiyle ve nasıl kapatılacağıyla raporlarım.

Teklif al Örnek rapor sayfası

Yazılı yetki NDA Rapor + doğrulama testi KVKK

Test türleri

Neyi test ederim?

Kapsam her işte yazılı olarak belirlenir: hangi adresler, hangi kullanıcı rolleri, hangi saatler. Kapsam dışındaki hiçbir şeye dokunulmaz.

  • 01

    Web uygulaması

    Oturum yönetimi, yetkilendirme, girdi işleme (XSS, SQL enjeksiyonu), dosya yükleme ve iş mantığı hataları. Her kullanıcı rolüyle ayrı ayrı.

  • 02

    API (REST / GraphQL)

    Nesne ve işlev düzeyinde yetki (IDOR / BOLA), toplu atama, hız sınırı, gereğinden fazla veri döndürme, GraphQL iç gözlem ve sorgu derinliği.

  • 03

    Mobil uygulama arka ucu

    Uygulamanın konuştuğu sunucu ve API: belirteç yönetimi, istemciye güvenilen kontroller, kişisel veri ifşası.

  • 04

    Dış ağ ve sunucular

    İnternete açık servisler ve portlar, yapılandırma hataları, güncellenmemiş yazılımlar, TLS ayarları, yönetim panellerinin açıkta olup olmadığı.

  • 05

    Kimlik doğrulama ve oturum yönetimi incelemesi

    Giriş, kayıt, parola sıfırlama, çok aşamalı doğrulama, oturum ömrü ve çıkış; hesap ele geçirme yollarına odaklı.

  • 06

    Düzeltme sonrası doğrulama testi

    Düzeltilen her bulgu yeniden denenir; gerçekten kapandığı ve yeni bir açık doğurmadığı doğrulanır, rapor güncellenir.

Yöntem

Tarayıcı çıktısı rapor değildir.

Otomatik araçlar başlangıç noktasıdır, sonuç değil. Her bulgu elle doğrulanır, gerçekten sömürülebilir olduğu kanıtlanır ve sizin sisteminizdeki etkisiyle değerlendirilir. Yanlış alarmlar rapora girmez.

  • WSTG
    OWASP Web Security Testing GuideWeb uygulaması testlerinin adım adım kontrol listesi.
  • ASVS
    OWASP Application Security Verification StandardHangi güvenlik kontrolünün olması gerektiğinin ölçütü.
  • API10
    OWASP API Security Top 10API'lere özgü en yaygın ve en etkili açık türleri.
  • PTES
    Penetration Testing Execution StandardÖn görüşmeden raporlamaya kadar testin aşamaları.

Örnek

Bir bulgu raporda böyle görünür.

Önem derecesi CVSS 4.0 vektöründen hesaplanır; kanıt, yeniden üretme adımları ve düzeltme önerisi her bulguda vardır.

Örnek rapor sayfası — gerçek bir müşteriye ait değildir

Nesne düzeyinde yetki eksikliği (IDOR)

Yüksek
CVSS 4.0 vektörü
CVSS:4.0/AV:N/AC:L/AT:N/PR:L/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Etkilenen uç
GET /api/siparisler/{id}
Durum
Düzeltildi · doğrulandı
Açıklama
Sipariş ayrıntısını döndüren uç, istenen siparişin oturumdaki kullanıcıya ait olup olmadığını denetlemiyor. Oturum açmış herhangi bir kullanıcı, adresteki sipariş numarasını değiştirerek başka müşterilerin siparişlerini görebiliyor.
Kanıt (maskelenmiş)
GET /api/siparisler/██████ HTTP/2
Host: ███████████
Cookie: oturum=████████████████   # kullanıcı A

HTTP/2 200
{ "siparis": "██████", "musteri": "█████ ██████",   # kullanıcı B'ye ait
  "adres": "████████████████", "telefon": "██████████" }
Etki
Bütün müşterilerin ad, adres ve telefon bilgileri sıralı numaralarla tek tek okunabilir; bu, kişisel veri ihlali bildirimi gerektirebilecek bir sızıntıdır.
Düzeltme önerisi
Her istekte kaydın, oturumdaki kullanıcıya ait olduğu sunucuda denetlenmeli; sorgu WHERE id = ? AND musteri_id = ? biçiminde kurulmalı. Sıralı numaralar yerine tahmin edilemeyen kimlikler ek bir katman olarak kullanılabilir.

Teslimatlar

Elinize ne geçer?

Rapor iki okuyucu için yazılır: kararı veren yönetici ve düzeltmeyi yapan geliştirici.

  • Yönetici özetiTeknik olmayan dille, 1–2 sayfa: ne bulundu, risk ne, önce ne yapılmalı.
  • Teknik bulgularHer bulgu için kanıt, adım adım yeniden üretme ve düzeltme önerisi.
  • Önem dağılımıKritik, yüksek, orta, düşük: hangi işin önce yapılacağı açıkça görünür.
  • Doğrulama testi ve güncel raporDüzeltmelerden sonra yeniden test; kapanan bulgular raporda işaretlenir.

Süreç

Beş adım, hepsi yazılı.

  1. 01

    Ön görüşme ve kapsam

    Hedefleri, test türünü, kullanıcı rollerini, süreyi ve kapsam dışı sistemleri birlikte netleştiririz.

  2. 02

    Yazılı yetki

    Test penceresi, hedef IP ve alan adları, kapsam dışı sistemler ve acil durum iletişimi imzalı belgeye girer.

  3. 03

    Keşif ve test

    Saldırganın göreceği yüzeyi çıkarır, açıkları elle dener ve kanıtlarım. Kritik bir açık aynı gün bildirilir.

  4. 04

    Raporlama

    Yönetici özeti, teknik bulgular, kanıtlar, yeniden üretme adımları ve düzeltme önerileri.

  5. 05

    Düzeltme sonrası doğrulama

    Düzeltmelerden sonra bulguları yeniden dener, kapandığını doğrular ve raporu güncellerim.

Yasal ve etik çerçeve

Yazılı yetki olmadan hiçbir sisteme test yapılmaz; yetkisiz erişim Türk Ceza Kanunu'nun 243. ve 244. maddelerinde suçtur. Yetki belgesi sistemin sahibi ya da yetkili temsilcisi tarafından imzalanır. Kapsam dışı sistemlere dokunulmaz. Test sırasında kritik bir açık bulunursa rapor beklenmeden aynı gün haber verilir.

Sertifikalar

Belgelenmiş yetkinlik.

Uygulamalı laboratuvarlara dayalı, tamamlanmış sertifikalar.

  • CWSE · Uzman

    Certified Web Security Expert

    Modern web uygulamalarındaki güvenlik açıklarını tespit etme, analiz etme ve sömürme; kapsamlı laboratuvarlarla ileri düzey web güvenliği.

  • CAPT · Uygulayıcı

    Certified Associate Penetration Tester

    Gerçek dünya senaryolarına dayalı uygulamalarla sızma testi teknikleri ve ofansif güvenlik becerileri.

  • Siber Vatan · Finalist

    Türkiye Geneli — Finalist

    2026 yılında düzenlenen yarışmada finale kalarak finalist belgesi almaya hak kazandım.

  • CORE · Temel

    Certified Cybersecurity Foundations

    Siber güvenliğin temel kavramlarını kapsayan başlangıç sertifikası.

Bütün sertifikalarım LinkedIn profilimde.

Sık sorulanlar

Sızma testi hakkında.

Sızma testi sitemi bozar mı?

Amaç bozmak değil, açığı kanıtlamaktır. Hizmeti aksatabilecek testler (yük testi, hizmet dışı bırakma) kapsamda açıkça istenmedikçe yapılmaz; riskli adımlar önceden konuşulur.

Canlı sistemde risk hiçbir zaman sıfır değildir. Bu yüzden testten önce yedek almanızı öneririm; isterseniz test, trafiğin az olduğu bir saat penceresinde ya da test ortamında yapılır.

Test ne kadar sürer?

Kapsama göre değişir: uygulamanın büyüklüğü, kullanıcı rolü sayısı, API uç sayısı, hedef sunucu sayısı. Süre teklifte iş günü olarak net yazılır.

Rapor neleri içerir?

Teknik olmayan dille bir yönetici özeti; her bulgu için önem derecesi, kanıt, adım adım yeniden üretme ve düzeltme önerisi; önem dağılımı. Düzeltmelerden sonra doğrulama testi yapılır ve rapor güncellenir.

Düzeltmeleri kim yapar?

Düzeltmeleri sizin ekibiniz ya da yazılımcınız yapar. Ben her bulgu için neyin, neden ve nasıl düzeltilmesi gerektiğini açıkça yazarım; ekibinizin sorularını yanıtlarım. Düzeltmeler bitince doğrulama testiyle gerçekten kapandığını kontrol ederim.

Test için sizden ne istenir?

İmzalı yetki belgesi, hedef adresler ve kapsam dışı sistemlerin listesi, test penceresi ve acil durumda ulaşılacak bir kişi. Kullanıcı girişli bölümler test edilecekse her rol için ayrı bir test hesabı.

Verilerimiz ne olur?

Test sırasında eriştiğim veriler yalnızca bulguyu kanıtlamak için gereken en az ölçüde görülür, raporda maskelenir ve rapor tesliminden sonra imha edilir. İsterseniz işe başlamadan önce gizlilik sözleşmesi (NDA) imzalarız.

Teklif

Projenizi anlatın.

En geç bir iş günü içinde dönüş yaparım.

Görüşeceğiniz kişi
YUSUF · ANKARA

0 / 2000