Web uygulaması sızma testlerinde (Web Pentest) teorik bilgiyi pratiğe dökmeden gerçek anlamda uzmanlaşmak mümkün değildir. Ancak, yasal izin almadan gerçek web siteleri üzerinde testler gerçekleştirmek siber suç teşkil eder. İşte tam bu noktada, siber güvenlik meraklılarının ve uzmanlarının kendilerini yasal ve güvenli bir şekilde geliştirebilmeleri için özel olarak tasarlanmış zafiyetli laboratuvar ortamları (Vulnerable Labs) devreye girer.
İnternet dünyasında web pentest yeteneklerinizi geliştirmek için kullanabileceğiniz en popüler ve etkili örnek laboratuvar ortamları şunlardır:
1. OWASP Broken Web Applications Project (OWASP BWA)
Siber güvenliğin en köklü topluluklarından OWASP tarafından geliştirilen bu proje, içinde onlarca farklı zafiyetli web uygulamasını barındıran hazır bir sanal makinedir (VM). Bilgisayarınıza indirip VMware veya VirtualBox üzerinde çalıştırarak tek bir işletim sistemi içinde yüzlerce farklı web açığını (SQL Injection, XSS, CSRF vb.) güvenle sömürme pratiği yapabilirsiniz.
2. DVWA (Damn Vulnerable Web Application)
PHP ve MySQL tabanlı, dünya genelinde en çok bilinen zafiyetli web uygulamalarından biridir. DVWA’nın en güzel yanı, zafiyet zorluk seviyelerinin (Low, Medium, High, Impossible) ayarlanabiliyor olmasıdır. Böylece hem yeni başlayanlar hem de ileri düzey pentester’lar kendi seviyelerine göre açık bulma ve sömürme (exploit) antrenmanları yapabilirler.
3. PortSwigger Web Security Academy
Web dünyasının endüstri standardı sızma testi aracı olan Burp Suite‘in arkasındaki firma (PortSwigger) tarafından sunulan tamamen ücretsiz, tarayıcı tabanlı harika bir akademidir. Herhangi bir şey kurmanıza gerek kalmadan, doğrudan internet siteleri üzerinden hem harika teorik dokümanlara erişebilir hem de laboratuvar ortamlarında canlı testler gerçekleştirebilirsiniz. Kesinlikle her pentester adayının listesinde olmalıdır.
4. bWAPP (buggy Web Application)
Yine PHP/MySQL tabanlı olan bWAPP, içinde 100’den fazla benzersiz web uygulama zafiyeti barındıran devasa bir açık kaynaklı projedir. OWASP Top 10 risklerinin neredeyse tamamını en ince ayrıntısına kadar deneyimlemenize olanak tanır. Kendi bilgisayarınıza kurabileceğiniz gibi, “bee-box” adı verilen hazır sanal makinesini indirerek de doğrudan kullanmaya başlayabilirsiniz.
5. TryHackMe ve Hack The Box
Bu iki platform, kurulumlarla uğraşmak istemeyenler için bulut tabanlı çalışan günümüzün en popüler oyunlaştırılmış (CTF – Capture The Flag) siber güvenlik laboratuvarlarıdır.
TryHackMe: Daha çok yeni başlayanlara hitap eder, rehberli odaları (guided rooms) sayesinde web pentest mantığını adım adım öğretir.
Hack The Box (HTB): Gerçek dünya senaryolarına çok yakın, daha zorlu ve gelişmiş web makineleri barındırır. Kendine güvenen uzmanlar için harika bir arena sunar.