Araç ne sağlar?
Yakalanan trafiği filtrelemek ve istekleri karşılaştırmak analizi düzenler. Otomasyon ve eklenti yeteneklerinin kapsamı seçilen sürümle kontrol edilmelidir.
Uygulamada nasıl değerlendirilir?
Kendi uygulamanızdaki hesap değişiminde hangi kimlik bilgilerinin yenilendiğini inceleyin. Önceki kullanıcının kaynaklarına erişimin sürmediğini sunucuda doğrulayın.
Sınırlar ve yaygın hatalar
Proxy kullanmak sunucu yetki testini otomatik olarak tamamlamaz. İşlem akışının anlamını araştırmacı belirlemelidir.
Kontrol listesi
- Çalışma alanlarını ayırın
- Hassas kayıtları azaltın
- Yetki sonucunu doğrulayın
Karar verirken
Caido'yu mevcut test yönteminizle küçük bir pilotta karşılaştırın; yalnızca arayüz tercihiyle güvenlik kapsamı kararı vermeyin.
Güvenlik testinde proje sınırı
Caido ile yürütülen trafik incelemesinde hedef kapsamı, test hesabı ve izin verilen işlemler açık tutulur. Proje içindeki istekler gerçek hesap veya oturum bilgisi içerebileceğinden paylaşım kontrol edilir. Araç kullanımı kendi başına bütün mobil yüzeyi kapsamaz.
Bir isteği tekrar gönderirken test verisinin durumu önemlidir. Önceki çalışmanın oluşturduğu kayıt sonucu değiştirebilir. Sunucudaki işlem kimliği ve beklenen durum kaydedilirse güvenlik bulgusu yeniden üretilebilir hâle gelir.
İlgili rehberler: Mobil işlemlerde replay saldırısı, Burp Suite ile mobil API güvenlik testi.
Kaynaklar ve kapsam
Teknik özelliklerin başvuru noktaları aşağıdadır. Uygulama örneği ve kontrol listesi bu yayın için hazırlanmış değerlendirme önerileridir; bağımsız ürün testi sonucu değildir.