HTTP Verb Tampering (Metot Manipülasyonu) ile Erişim Aşımı

Güvenlik filtrelerinin yalnızca belirli HTTP metotlarını (örn. yalnızca GET veya POST) denetleyip diğer alternatif metotları gözden kaçırması durumudur.

Laboratuvarı Tarayıcınızda Canlı Deneyin

Kurulumsuz, sanal hedef tarayıcı ve web terminali ile doğrudan zafiyeti istismar edin.

Laboratuvara Gir ⚡

Görev ve Zafiyet Senaryosu

Web sunucusu güvenlik kuralı ile /admin sayfasına erişimi kısıtlamış ancak POST veya HEAD metotlarına sınır koymayı unutmuştur. Saldırgan HTTP metodunu değiştirerek 403 Forbidden engelini aşar.

Hedef (Objective)

🎯 Görev: Korumalı /admin/console sayfasına standart GET isteği yerine Repeater veya curl ile POST ya da HEAD isteği atarak erişim kuralını atlatın ve bayrağı alın.

Adım Adım Çözüm Metodolojisi

GET İsteğiyle 403 Alındığını Görme

/admin sayfasına normal tarayıcı ile gidildiğinde erişimin engellendiğini doğrulayın.

Repeater Sekmesinde Metot Değiştirme

DevTools Repeater sekmesinde metodunu GET ten POST a veya HEAD e dönüştürün.

Erişim Kuralını Aşma & Bayrak

İsteği gönderdiğinizde sunucu 200 OK yanıtı verir ve yönetim konsolu bayrağını teslim eder.

Örnek Payload ve İstismar Kalıpları

curl -X POST https://corp-portal.local/admin/console
curl -X HEAD -i https://corp-portal.local/admin/console
curl -X PUT https://corp-portal.local/admin/console

Güvenli Kodlama ve Savunma Mekanizmaları

Zafiyet Nasıl Kapatılır?

Erişim kurallarını belirli HTTP metotlarına değil, tüm metotları kapsayacak şekilde (varsayılan red - deny by default) yapılandırın.
Kullanılmayan HTTP metotlarını (TRACE, OPTIONS, PUT, DELETE) sunucu düzeyinde tamamen devre dışı bırakın.
Yetkilendirme denetimini web sunucu konfigürasyonu yerine uygulama kodundaki middleware katmanında gerçekleştirin.

Uygulamaya Başlamaya Hazır mısınız?

SiberAdam interaktif arenasında hedef tarayıcı, DevTools ve CyberTerminal ile bayrağı hemen yakalayın.

Şimdi Çözmeye Başla ⚡