Bulduğu zafiyetleri gerçekten istismar edip gerçek olduklarını kanıtlayan bir tarayıcı inşa edebilirdik. Bunu bilerek yapmadık.
Cazip kısayol
Bir zafiyeti aktif olarak doğrulamak — SQL injection'ı denemek, dosya yükleme açığını tetiklemek, bir girişi kaba kuvvetle denemek — şüpheyi ortadan kaldırır. Çalışırsa, sitenin zafiyetli olduğundan kesin olarak eminsinizdir. Özellikle "boş vaat" olmadığını kanıtlamaya çalışan bir araç için bu cazip bir tasarımdır.
Neden bunu inşa etmedik
İşletmediğiniz bir siteye karşı istismar çalıştırmak, formda bir onay kutusu olsa bile geçmek istemediğimiz hukuki ve etik bir çizgidir. Onay kutusu bize URL'yi gönderen kişinin ne söylediğini bildirir — üçüncü bir tarafın altyapısına karşı aktif bir müdahale girişimini ölçekte otomatikleştirmemizi haklı çıkarmaz.
Pratik bir neden de var: aktif test etme bir şeyi bozabilir. Gerçek bir SQL injection denemesi veriyi bozabilir. Bir dosya yükleme istismarı geride bir şey bırakabilir. Bir giriş kaba kuvveti, gerçek yöneticileri kilitleyebilir veya barındırma sağlayıcısının kötüye kullanım tespitini tetikleyebilir. Bunların hiçbiri, talep üzerine, hiç görmediğimiz sitelere karşı gözetimsiz çalışması gereken bir araç için kabul edilebilir değil.
Pasif tarama neyden vazgeçer, karşılığında ne kazandırır
Pasif, sürüm tabanlı tespit, bir miktar kesinlikten güvenlik lehine vazgeçer: bir sürüm eşleşmesi güçlü bir kanıttır, kesin bir ispat değildir (örneğin bir site sahibi sürüm numarasını değiştirmeden bir düzeltmeyi geri taşımış olabilir). Karşılığında, taramaya yetkili olduğunuz herhangi bir siteye, onu bozma riski sıfır olacak şekilde yöneltebileceğiniz gerçekten güvenli bir araç elde ederiz.
Sürüm eşleşmesinin ötesinde bir kanıt istiyorsanız, tam da gerçek bir sızma testinin (pentest) yapılma amacı budur — ve PatchCheckup'ın bunun yerine geçmediğini açıkça belirtiyoruz. Kapsamda olan ve olmayan her şeyin tam dökümü için metodoloji sayfamıza bakabilirsiniz.