Sızma Testi Hizmetleri

Alan Adı ve DNS Sağlığı

Kayıt, ad sunucuları, SPF/DKIM/DMARC e-posta güvenliği ve sertifika otoritesi bağımlılığı.

Ağ Açığı

Saldırganlara sürüm ve yapılandırma ayrıntılarını ifşa eden açık portlar, açık servisler ve banner sızıntıları.

TLS ve Şifreleme

Tüm uç noktalarda sertifika geçerliliği, zayıf protokoller, şifre paketi zayıflıkları ve HSTS durumu.

Güvenlik Başlıkları

HSTS, CSP, frame-options, content-type-options ve HTTP yanıt güvenlik başlıklarının tam seti.

Web Uygulaması Zayıflıkları

Açık yönetici yolları, kaynak kontrol sızıntıları, hata ayıklama sayfaları, açık yönlendirmeler ve host-header enjeksiyon güvenlik açıkları.

JavaScript Sırları

Ön uç paketinize yanlışlıkla dahil edilmiş sabit kodlanmış API anahtarları, bulut kimlik bilgileri ve dahili URL'ler. Geçmiş anlık görüntüleri de tararız.

CMS'e Özgü Sorunlar

WordPress, Drupal, Joomla ve Magento kurulumları için bilinen güvenlik açığına sahip eklentiler ve eski çekirdekler.

API Açığı

Üretimde bırakılmış Swagger ve GraphQL uç noktaları, etkin introspection ve kimlik doğrulaması olmayan API yüzeyi.

Bulut Depolama

Markanıza bağlı, yanlışlıkla herkese açık S3, GCS ve Azure kovaları (buckets) — veri ihlallerinin yaygın bir kaynağı.

Alt Alan Adı Ele Geçirme Riski

Sahiplenilmemiş servisleri gösteren sarkan DNS kayıtları — saldırganların markanızı taklit etmek için kullandığı bir vektör.

CORS ve JWT Kusurları

Joker karakterli CORS kaynakları, tehlikeli JWT algoritma seçimleri ve kimlik doğrulama yapılandırma hataları.

Bilinen CVE'ler

Tespit ettiğimiz yazılım sürümlerine göre otomatik olarak ilişkilendirilir, en güncel güvenlik açığı veritabanlarıyla çapraz kontrol edilir.

CORS Yanlış Yapılandırması

Active ve Deep — keyfi origin yansımasını, null origin atlatmayı ve CORS başlıkları aracılığıyla kimlik bilgisi sızıntısını tespit eder.

CRLF Enjeksiyonu

Active ve Deep — URL yolu ve sorgu dizesi parametreleri aracılığıyla başlık enjeksiyonunu test eder.

Önbellek Zehirlenmesi

Active ve Deep — ikinci istekte önbellek HIT ile doğrulanan anahtarsız başlık yansımasını tespit eder.

WAF Tespiti

Active ve Deep — saldırı deseni probeleri aracılığıyla Cloudflare, Sucuri, F5, Imperva, Akamai veya bilinmeyen bir WAF'ın parmak izini çıkarır.

Hız Sınırlama

Active ve Deep — giriş ve API uç noktalarını eksik hız sınırlama uygulaması için test eder.

SSRF Probu

Active ve Deep — sunucu tarafı istek sahteciliğini (SSRF) tespit etmek için URL benzeri parametrelere ve başlıklara bulut IMDS URL'lerini (AWS, GCP, Azure) ve loopback adreslerini enjekte eder.

HTML ve İçerik Enjeksiyonu

Active ve Deep — URL parametrelerini ve gövde değerlerini yansıtılan HTML enjeksiyonu, özellik enjeksiyonu, CSS enjeksiyonu ve JavaScript bağlamı enjeksiyonu için test eder.

Derinlemesine TLS Analizi

Yalnızca Deep — tam şifre paketi analizi: SSLv2/DROWN, SSLv3/POODLE, BEAST, SWEET32 (3DES), FREAK/EXPORT, LOGJAM (DHE-EXPORT), NULL şifre desteği ve Perfect Forward Secrecy eksikliği.

SQL Enjeksiyonu

Active ve Deep — URL parametreleri, form alanları, başlıklar ve JSON gövde değerleri genelinde error-based, boolean-blind ve time-based blind SQLi probeleri.

Siteler Arası Betik Çalıştırma (XSS)

Active ve Deep — script etiketi, özellik kırılması, JavaScript bağlamı ve DOM sink enjeksiyon vektörleri genelinde yansıtılan XSS testi.

Şablon Enjeksiyonu (SSTI)

Active ve Deep — Jinja2, Twig, Freemarker, ERB ve Pug şablon motorları için sunucu tarafı şablon enjeksiyon probeleri.

Yerel Dosya Dahil Etme (LFI)

Active ve Deep — URL parametreleri ve başlıklar aracılığıyla path traversal ve LFI probeleri; /etc/passwd, web sunucu yapılandırmaları ve uygulama kaynak dosyalarının okunmasını tespit eder.

XML Harici Varlığı (XXE)

Active ve Deep — XML kabul eden uç noktalarda XXE enjeksiyonu, dosya alma, DTD üzerinden SSRF ve bant dışı (out-of-band) sızdırma testi.

Dosya Yükleme Kötüye Kullanımı

Active ve Deep — yükleme uç noktalarını betik uzantısı atlatma, çift uzantılı yükleme ve MIME türü atlatma için test eder; SPA catch-all rotalarında yanlış pozitif olmadan RCE riskini doğrulamak için almayı onaylar.

HTTP Request Smuggling

Active ve Deep — CL.TE, TE.CL ve TE.TE desenkronizasyon probeleri. Desenkronizasyonu doğrulamak ve yanlış pozitifleri en aza indirmek için kanarya isteklerine karşı temel farkı alınır.

Varsayılan Kimlik Bilgileri

Yalnızca Deep — tespit edilen yönetici panellerini (Jenkins, phpMyAdmin, Grafana, Adminer, Kibana, Tomcat Manager, Airflow, Traefik, RabbitMQ) varsayılan veya zayıf kimlik bilgisi kabulü için test eder.

Oturum Yönetimi

Yalnızca Deep — cookie entropisini, Secure/HttpOnly/SameSite bayrağı varlığını, oturum token tahmin edilebilirliğini ve fixation riskini analiz eder.

OAuth Yanlış Yapılandırması

Yalnızca Deep — OAuth akışlarını eksik state parametresi (CSRF), açık redirect_uri ve yetersiz redirect-URI doğrulaması için test eder.

Güvensiz Doğrudan Nesne Referansları (IDOR)

Yalnızca Deep — sıralı ID manipülasyonu, UUID tahmini ve yatay ayrıcalık yükseltme probeleri kullanarak API uç noktalarında IDOR numaralandırması.

Derinlemesine GraphQL Analizi

Yalnızca Deep — introspection kötüye kullanımı, toplu sorgu güçlendirmesi, sorgu derinliği ve karmaşıklık sömürüsü ve alan düzeyinde yetkilendirme probeleri.

WebSocket Güvenliği

Yalnızca Deep — Origin başlığı doğrulaması, siteler arası WebSocket ele geçirme (CSWSH) ve tespit edilen WebSocket uç noktalarında mesaj enjeksiyon probeleri.

Dependency Confusion

Yalnızca Deep — tedarik zinciri ele geçirmesi için herkese açık kayıt defterlerinde işgal edilebilecek açığa çıkmış paket manifest dosyalarını ve dahili paket adlarını tespit eder.

Prototype Pollution

Yalnızca Deep — sorgu parametreleri ve JSON gövde değerleri aracılığıyla istemci tarafı Prototype Pollution probeleri, DOM tabanlı XSS'e gadget zincirlemesi için test eder.