Ve bu bölüm, bunun hakkında konuşmaya başlamadan önce web uygulaması penetrasyon testi
hakkında konuşacağız.
Web sitesinin ne olduğunu anlamamız ve web sitemizin sadece bir uygulama olduğunu ve bir
bilgisayarda depolandığını söylediğim gibi.
Bu bilgisayar muhtemelen bilgisayarınızdan daha iyi özelliklere sahip ancak temelde çalışıyor.
Kesinlikle.
Tıpkı başka bir bilgisayar gibi bir işletim sistemine sahiptir.
Ayrıca bir web sunucusu olarak işlev görmesine izin vermek için çok sayıda uygulamaya sahiptir.
Muhtemelen sahip olduğu ana iki uygulama bir web sunucusu ve web sunucumuz Apache
ve veritabanı ACL'm gibidir ve bunlar web sunucusu temelde web uygulamalarını anlar ve
uygular.
Böylece web uygulamanız BHP veya Python ile yazılmış ve herhangi bir programlama dili onu okuyacak.
Tek şey, web sunucusunun bu web uygulamasını anlayabilmesi ve yürütebilmesi gerektiğidir.
Veritabanı, web uygulaması tarafından kullanılan verileri içerir, böylece bunların tümü sunucu adı verilen bir bilgisayarda
saklanır.
Bilgisayar İnternete bağlı ve gerçek bir IP adresine sahip, böylece herkes bu bilgisayara erişebiliyor.
Sanırım Web uygulaması, web sitenize sunucunuzda yüklü olan ve web sitenize yüklenen web
sunucusu tarafından yürütülür.
Bu nedenle, sayfayı istediğiniz zaman veya web uygulamasını çalıştırdığınızda, aslında web sunucusunda
çalıştırılır ve istemcinin bilgisayarında çalıştırılmaz.
Web sunucusunda yürütülür ve ardından hedef kişi veya müşteri için okumaya hazır olan
hızlı bir e-posta sayfası gönderir, bu nedenle bir örneğe bakalım ve telefonda olduğunuzu veya bilgisayarınız ve
facebook dot com’a gitmek istediniz, böylece facebook dot com’u euro'unuza
yazabilirsiniz.
Bu, bir IP sunucusuna bir DNS sunucusu kullanılarak çevrilecektir.
Bu yüzden, bir nokta nokta nokta com nokta edu ya da bir alan adı ile herhangi bir Web sitesi çeviren bir sunucu
var.
Yani bu da bir etki alanı adıdır.
Bu, IP adresiyle ilgilidir, bu nedenle isteğiniz Facebook dot com'un sorusu, bir
DNS sunucusuna gider; Facebook dot com'u, Facebook'un depolandığı IP'ye çevirir ve sonra gidersiniz, Facebook'a gider.
Bahsettiğimiz tüm uygulamaları kullanmak istediğinizi ve ardından size acele
e-posta göndermenizi istediğinizi.
Yani geri aldığınız şey, programın çalıştırılmasının sonucunun bir işaret dili olan aceleci bir e-postada
yazılmış bir biçimlendirmedir.
Böylece program sunucuda yürütülür ve ardından sadece sonucu alırsınız.
Bu çok önemlidir, çünkü gelecekte web sunucusunda bir şey çalıştırmak istiyorsak, bir
kabuk geri hedef kabuk veya hedef bilgisayarda yürütülen bir virüs elde etmek istiyorsak web
sunucusunun kullandığı bir dile göndermemiz gerekir anlar.
Bu nedenle, örneğin BHP ve orada bir kez çalıştırdığınızda, bilgisayarınızda değil o bilgisayarda çalıştırılacak.
Bu nedenle, sayfaya erişen kişiye bakılmaksızın, BHP'de sunucunun anlayacağı bir
dilde yazılmışsa, göndereceğiniz web kabuğu, bilgisayarınızda değil, sunucuda yürütülecektir.
javascript sunucuya erişen ve o sunucuya javascript erişen kişiye
erişim sağlamazken,
bazı web sitelerinin javascript ve JavaScript'i istemci site dili olarak kullandığı görülmüştür.
Eğer javascript kodunu çalıştırmanıza izin veren bir web sitesi bulmayı başardıysanız, kod istemciler tarafından
yürütülecektir.
Bu nedenle, kod web sunucusuna enjekte edilse bile, istemci
tarafında yürütülür ve size sunucuya değil istemci bilgisayara bir şeyler yapmanıza izin verir.
Bu nedenle, bir istemci sitesi dili ile sunucu tarafı dili arasında ayrım yapmak çok önemlidir.