Hızlı cevap: Dizin ve içerik keşfi, bir web sitesinde bağlantı verilmemiş ama sunucuda var olan gizli dizin, dosya ve uçları (ornek: /admin, /backup.zip, /.git, /api/v1) ortaya çıkarma işidir. Gobuster ve ffuf gibi araçlarla, bir kelime listesi kullanılarak sunucuya hızlı istekler gönderilir ve var olan yollar bulunur. Sızma testinin web keşif aşamasının temel adımıdır; çünkü unutulmuş bir yedek dosyası ya da gizli yönetim paneli, saldırganın en kolay girişidir.

Dizin keşfi ne işe yarar?

Bir web sitesinin menüsünde ve bağlantılarında görünen yüzeyi, sunucuda gerçekte var olan yüzeyin yalnızca bir kısmıdır. Arkada bağlantı verilmemiş birçok dosya ve dizin olabilir: eski yedekler, yönetim panelleri, yapılandırma dosyaları, test uçları, sürüm kontrol dizinleri (.git). Bunlar menüde görünmez ama sunucu istenirse yanıt verir.

Dizin keşfi, bu gizli yüzeyi bir kelime listesiyle sistemli deneyerek ortaya çıkarır. Bulunan bir yedek dosyası kaynak kodu sızdırabilir, açık bir .git dizini tüm projeyi verebilir, unutulmuş bir yönetim paneli doğrudan erişim sağlayabilir.

Araçlar ve kavramlar

Kavram Açıklama
Kelime listesi (wordlist) Denenecek dizin ve dosya adları listesi
Gobuster Hızlı dizin, DNS ve sanal konak keşif aracı
ffuf Esnek web fuzzing aracı (parametre, dizin, konak)
Durum kodu filtreleme 200, 301, 403 gibi yanıtlara göre ayıklama
Özyineleme Bulunan dizinin altını tekrar tarama
Uzantı deneme .php, .bak, .zip gibi uzantıları ekleyerek deneme

Sık bulunan kritik yollar

  • Açık .git ya da .svn dizini, tüm kaynak kodun sızması.
  • Yedek dosyaları (backup.zip, database.sql, site.bak).
  • Bağlantı verilmemiş yönetim panelleri (/admin, /manage).
  • Yapılandırma ve ortam dosyaları (.env, config.php.bak).
  • Eski ve test API uçları.

Savunma: dizin keşfine karşı ne yapılır?

  1. Hassas dosya ve dizinleri web kök dizininde tutmayın, erişilebilir yerde yedek bırakmayın.
  2. .git, .env gibi dizin ve dosyalara web sunucu düzeyinde erişimi engelleyin.
  3. Otomatik dizin listelemeyi kapatın.
  4. Yönetim panellerini erişim kontrolü ve mümkünse ağ sınırlamasıyla koruyun.
  5. Hız sınırı ve anomali tespitiyle yoğun tarama trafiğini fark edin.

KAOS ve DSET yaklaşımı

DSET, web sızma testlerinde dizin ve içerik keşfiyle sitenin gizli yüzeyini ortaya çıkarır ve açıkta kalan yedek dosyaları, sürüm kontrol dizinlerini ve yönetim panellerini raporlar. Geliştirdiğimiz KAOS güvenlik motoru, bu keşfi yapar ve bulunan kritik yolların gerçekten erişilebilir ve riskli olup olmadığını doğrular. Saha deneyimimizde en sık gördüğümüz kritik bulgu, açıkta kalan bir .git dizini ya da erişilebilir bir veritabanı yedeğidir. Amacımız sitenin görünmeyen yüzeyini saldırgandan önce görmektir.

Bağlantılı okumalar: subdomain keşfi ve enumeration, web uygulaması sızma testi OWASP Top 10, Burp Suite ile web sızma testi, sızan API anahtarları ve sır yönetimi, güvenlik yanlış yapılandırması OWASP, path traversal ve LFI.

Sık sorulan sorular

Dizin keşfi ile subdomain keşfi farkı nedir? Subdomain keşfi, bir kurumun farklı alt alan adlarını (panel.site.com gibi) bulur. Dizin keşfi ise tek bir sitenin içindeki gizli yolları ve dosyaları (/admin, /backup.zip gibi) bulur. İkisi de keşif aşamasının parçasıdır ama farklı katmanlara bakar: biri alan adı düzeyinde, diğeri tek site içinde.

Açık bir .git dizini neden tehlikeli? Açık bir .git dizini, sitenin tüm kaynak kodunu ve geçmişini indirmeye izin verebilir. Bu, uygulamanın iç mantığını, gizli anahtarları ve veritabanı bilgilerini açığa çıkarabilir. Saldırgan kaynak kodu elde ettiğinde açıkları çok daha kolay bulur. Bu yüzden .git ve benzeri dizinler web erişimine kesinlikle kapatılmalıdır.

Dizin keşfini nasıl engellerim? Hassas dosya ve dizinleri web kök dizininde tutmayın, yedekleri erişilebilir yere koymayın, .git ve .env gibi yollara web sunucu düzeyinde erişimi engelleyin ve otomatik dizin listelemeyi kapatın. Ayrıca yoğun tarama trafiğini hız sınırı ve anomali tespitiyle fark edebilirsiniz. En etkili savunma, gizli yüzeyi en baştan oluşturmamaktır.

Kaynaklar

Web sitenizin gizli yüzeyini keşfetmek için Ankara Hacettepe Teknokent'teki ekibimizle görüşebilirsiniz. DSET ile iletişime geçin.