در حال بارگذاری...
شناسایی تمام نقاط ورودی اپلیکیشن شامل فرم‌ها، APIها، پارامترها و endpointها برای تست جامع.
اهداف این درس
در این تست، تمام نقاط ورودی اپلیکیشن را شناسایی می‌کنیم. نقاط ورود مکان‌هایی هستند که داده‌های کاربر وارد اپلیکیشن می‌شوند.
هر نقطه ورود یک نقطه بالقوه حمله است. شناسایی کامل نقاط ورود اولین قدم برای تست جامع امنیت است.
| نوع | مثال | محل |
|---|---|---|
| پارامترهای GET | ?id=1&page=2 | URL |
| پارامترهای POST | username=admin | Body درخواست |
| کوکی‌ها | session_id=abc123 | هدر Cookie |
| هدرهای HTTP | User-Agent, Referer | هدرهای درخواست |
| فایل‌ها | آپلود تصویر | multipart/form-data |
| APIها | /api/v1/users | REST, GraphQL |
اولین قدم crawl کردن اپلیکیشن است. ابزارهای spider مثل Burp Suite Spider می‌توانند به‌صورت خودکار تمام لینک‌ها و فرم‌ها را شناسایی کنند.
برخی پارامترها ممکن است در کد منبع JavaScript مخفی باشند.
پارامترهای مخفی در JavaScript
این پارامترها ممکن است در کد JavaScript پیدا شوند:
1const config = {2 debug: true,3 adminMode: false,4 internalApi: 'https://internal.example.com/api'5};Attack Surface Mapping
نقشه‌برداری از سطح حمله فرآیند شناسایی و مستندسازی تمام نقاط ورود اپلیکیشن است.
هر ورودی کاربر یک نقطه بالقوه حمله است.
APIها و endpointها باید به‌طور کامل شناسایی شوند.
پارامترهای مخفی ممکن است آسیب‌پذیری‌های جدی داشته باشند.
کدام مورد نقطه ورود اپلیکیشن محسوب نمی‌شود؟
نقاط ورود اپلیکیشن چیست؟
نقاط ورود تمام مکان‌هایی هستند که داده‌های کاربر وارد اپلیکیشن می‌شوند: فرم‌ها، URLها، کوکی‌ها، هدرها و APIها.
چگونه نقاط ورود مخفی را شناسایی کنیم؟
از طریق بررسی کد منبع JavaScript، تحلیل ترافیک شبکه، و استفاده از ابزارهای spider مثل Burp Suite.