AltaySec Wiki, web uygulama sızma testi (pentest) ve Red Team konularını ele alan Türkçe bir bilgi kütüphanesidir. SQL Injection, XSS, SSRF, JWT güvenliği, IDOR ve birçok web zafiyeti için teknik modüller içerir.

AltaySec Wiki ücretsiz mi?

Evet. AltaySec Wiki içeriğine herkes ücretsiz olarak erişebilir; kayıt veya ödeme gerektirmez.

AltaySec Wiki hangi konuları kapsıyor?

Web Application Pentesting başlığı altında kimlik ve erişim (Enum & Brute Force, Session, JWT, OAuth, MFA, IDOR), enjeksiyon saldırıları (SQLi, NoSQLi, OS Command, LDAP, SSTI), sunucu taraflı saldırılar (SSRF, XXE, dosya yükleme/dahil etme, path traversal), istemci taraflı saldırılar (XSS, CSRF, CORS) ve modern web (Prototype Pollution, API güvenliği, HTTP Request Smuggling, WebSockets) konuları yer alır.

İçerikler kimler için uygun?

Sızma testi uzmanları, Red Team operatörleri, güvenlik araştırmacıları ve siber güvenliğe ilgi duyanlar için hazırlanmıştır. Modüller teknik analiz, zafiyetli kod örnekleri ve istismar yöntemleri içerir.

İçerikleri kim hazırlıyor?

Modüller AltaySec ekosistemindeki yazarlar tarafından hazırlanır ve her modülün yazarı içeriğin başında belirtilir. Yazarların listesine sitedeki 'Yazarlarımız' sayfasından ulaşabilirsiniz.

AltaySec Wiki - Red Team & Pentest Playbook

AltaySec Wiki, web uygulama sızma testi (pentest) ve Red Team konularını ele alan, ücretsiz ve Türkçe bir teknik bilgi kütüphanesidir. Aşağıdaki modüller SQL Injection, XSS, SSRF, JWT, OAuth, IDOR, CSRF ve birçok web zafiyeti için teknik analiz, zafiyetli kod örnekleri ve istismar yöntemleri içerir.

Web Application Pentesting Modülleri

Identity & Access Mng

Authentication Enumeration & Brute Force Operations — Modern web uygulamalarında ve ağ altyapılarında kimlik doğrulama mekanizmaları, güvenliğin temel köşe taşını oluşturur.
Session Management — Oturum Yönetimi (Session Management), HTTP protokolünün doğasından gelen "stateless" (durum bilgisiz) yapısını aşmak ve kullanıcıları uygulama içindeki hareketleri boyunca takip etmek için kullanılan kritik bir güvenlik mekanizmasıdır.
JSON Web Token (JWT) Security & Advanced Exploitation — Modern web mimarilerinde (Microservices, SPA, Serverless) kimlik doğrulama ve yetkilendirme (Authentication & Authorization) süreçlerinin omurgasını oluşturan JSON Web Token (JWT), durumsuz (stateless) yapısı sayesinde sunucu tarafında...
OAuth 2.0 & 2.1 Özellikleri ve Zafiyet İstismar Yöntemleri — Modern web mimarisinde kimlik doğrulama (Authentication) ve yetkilendirme (Authorization) süreçlerinin belkemiğini oluşturan OAuth 2.0 (RFC 6749) ve onun sıkılaştırılmış versiyonu olan OAuth 2.1, Red Team operasyonlarında en kritik...
Multi-Factor Authentication (MFA) Bypass — Siber güvenlik operasyonlarında Multi-Factor Authentication (MFA), savunma mimarilerinin en güvenilen ancak uygulama katmanında en sık istismar edilen kontrol mekanizmalarından biridir.
IDOR & Broken Access Control — IDOR, modern web mimarilerinde en sık rastlanan ve etkisi en yıkıcı olan Access Control (Erişim Kontrolü) zafiyetlerinden biridir.
Business Logic Vulnerabilities — İş mantığı zafiyetleri (Business Logic Vulnerabilities), bir uygulamanın meşru işlem akışlarının, organizasyon için olumsuz sonuçlar doğuracak şekilde manipüle edilmesidir.

Injection Attacks

SQL Injection (SQLi) — Web uygulamalarının mimari zafiyetleri arasında en kritik ve tahrip edici olanlardan biri olan SQL Injection (SQLi), uygulamanın veritabanı (RDBMS) ile kurduğu iletişimin manipüle edilmesidir.
NOSQL INJECTION — NoSQL (Not Only SQL) veritabanları, modern web uygulamalarında esneklik, ölçeklenebilirlik ve yüksek performans sağlamak amacıyla ilişkisel olmayan (non-relational) veri modelleri (Doküman tabanlı, Key-Value, Graph vb.) kullanan...
OS Command Injection — Modern web uygulamaları ve kurumsal sistemlerde, işletim sistemi seviyesindeki komutların tetiklenmesi sıklıkla başvurulan bir yöntemdir (örneğin ağ durumunu kontrol etmek, dosya manipülasyonu yapmak veya legacy sistemlerle haberleşmek...
LDAP Injection — Lightweight Directory Access Protocol (LDAP), modern kurumsal ağlarda, özellikle kimlik ve erişim yönetimi (IAM), Tek Oturum Açma (SSO) mimarileri ve Active Directory (AD) entegrasyonlarında omurga görevi gören kritik bir protokoldür.
ORM Injection — (Object-Relational Mapping Injection), modern web mimarilerinde veritabanı ile uygulama katmanı arasındaki soyutlamayı sağlayan ORM (Object-Relational Mapper) kütüphanelerinin güvensiz implementasyonlarından kaynaklanan kritik bir...
Server-side Template Injection (SSTI) — Server-Side Template Injection (SSTI), modern web uygulamalarında içerik ile veriyi birbirinden ayırmak için kullanılan şablon motorlarının (Template Engines) güvensiz yapılandırılması veya kullanıcı girdilerinin doğrudan şablon dosyası...

Server-Side Attacks

Server-Side Request Forgery (SSRF) — Server-Side Request Forgery (SSRF), uygulamanın sunucu tarafında kurduğu güven ilişkisini, kullanıcı kontrollü bir girdi üzerinden kötüye kullandıran, modern web ve bulut mimarilerindeki en kritik zafiyet sınıflarından biridir.
XML External Entity (XXE) Injection — XML External Entity (XXE) zafiyeti, modern siber güvenlik operasyonlarında sunucu taraflı istismarların en yıkıcı vektörlerinden biridir.
Insecure Deserialization — Modern dağıtık mimarilerde (Microservices, API'ler, RPC mekanizmaları, Message Brokers), nesnelerin ağ üzerinde taşınması veya diskte/önbellekte saklanması için kullanılan serileştirme (serialization) mekanizmaları, siber güvenlik...
File Inclusion (LFI / RFI) & Path Traversal — File Inclusion ve Path Traversal zafiyetleri, modern web uygulamalarındaki en kritik ve yaygın mimari kusurlardan biridir.
Path Traversal (Directory Traversal) Expert Playbook — Path Traversal (veya Directory Traversal), bir saldırganın uygulama tarafından kullanılan dosya yolu parametrelerini manipüle ederek, web kök dizini (web root) dışındaki kısıtlı dosya ve dizinlere erişmesine olanak tanıyan kritik bir...
File Upload Vulnerabilities — Dosya yükleme zafiyetleri (File Upload Vulnerabilities), modern web uygulamalarının en kritik ve stratejik zayıf noktalarından biridir.
Information Disclosure & Open Cloud Buckets — Modern web mimarilerinde ve bulut tabanlı altyapılarda "Information Disclosure" (Bilgi İfşası) zafiyetleri, bir Red Team operasyonunun en kritik basamak taşlarından biridir.

Client-Side Attacks

Cross-Site Scripting (XSS) — Cross-Site Scripting (XSS), modern web uygulamalarının en kritik ve yaygın güvenlik zafiyetlerinden biridir.
Cross-Site Request Forgery (CSRF) — Cross-Site Request Forgery (CSRF), saldırganın kurbanın tarayıcısını kullanarak, kurbanın kimlik doğrulama bağlamı (authentication context) altında hedef uygulamada yetkisiz işlemler gerçekleştirmesini sağlayan, istemci tarafı...
DOM BASED VULNERABILITIES — DOM tabanlı zafiyetler, modern web uygulamalarının istemci tarafındaki (client-side) mantıksal ve teknik tasarım hatalarından kaynaklanan, siber güvenlik dünyasının en sofistike "görünmez" saldırı vektörlerinden biridir.
CORS Misconfigurations — Cross-Origin Resource Sharing (CORS) miskonfigürasyonları, modern web mimarilerinde (Mikroservisler, API Gateway'ler, Serverless yapılar) veri sızıntısı (Data Exfiltration), oturum ele geçirme (Session Hijacking) ve iç ağa sızma...
SOP (Same-Origin Policy) Evasions — Modern web uygulamalarının güvenlik temelini oluşturan Same-Origin Policy (SOP), bir origin (URI Scheme, Hostname ve Port üçlüsü) üzerindeki web sayfasının, farklı bir origin üzerindeki verilere yetkisiz okuma (read) erişimi yapmasını...

Advanced & Modern Web

Prototype Pollution — Prototype Pollution, JavaScript'in dinamik, prototip tabanlı kalıtım (prototype-based inheritance) mimarisindeki temel bir tasarım zafiyetidir.
API Security (REST & GraphQL) — API (Application Programming Interface) güvenliği; modern web, mobil, mikroservis ve entegrasyon tabanlı sistemlerin güvenlik omurgasını oluşturur.
HTTP Request Smuggling — HTTP Request Smuggling (HRS), modern web mimarilerinde frontend (Reverse Proxy, Load Balancer, WAF, CDN) ve backend sunucuları arasındaki HTTP isteklerini ayrıştırma (parsing) mekanizmalarındaki uyumsuzluklardan kaynaklanan, kritik...
WebSockets Security & Advanced Exploitation — WebSockets (RFC 6455), modern web uygulamalarında istemci ile sunucu arasında düşük gecikmeli, tam çift yönlü (full-duplex) ve sürekli açık bir TCP bağlantısı kurmak için standart haline gelmiştir.

Ayrıca LLM & AI Security, Cloud Security & IAM, Network Pentesting ve Applied Cryptography kategorileri yakında eklenecektir. İçerik JavaScript ile yüklenir; tam interaktif deneyim için tarayıcınızda JavaScript etkin olmalıdır.

AltaySec Wiki

Red Team Playbook

AltaySec Ana Site Yazarlarımız

404 - Bypassed/Not Found