Bu belge, OWASP'ın her saldırı (www-community) ve Cheat Sheet (CheatSheetSeries) sayfasını bir güvenlik kategorisiyle eşleştirir ve her birini resmi, herkese açık sayfasına bağlar. Bir kategori içinde eşdeğer öğeler tek bir liste satırını paylaşır: aynı riski ele alan saldırılar ve cheat sheet'ler virgülle ayrılarak birlikte listelenir. Doğrudan bir karşılığı olmayan öğeler kendi satırında durur.
- Emek OWASP'a aittir. Saldırılar
https://owasp.org/www-community/attacks/<attack>adresinde, cheat sheet'ler isehttps://cheatsheetseries.owasp.org/cheatsheets/<cheat>.htmladresinde bulunur.
1. Enjeksiyon (genel)
- Code Injection, Injection Prevention, Injection Prevention in Java (interpreter)
- Direct Dynamic Code Evaluation (Eval Injection) (interpreter)
- Function Injection (interpreter)
- Resource Injection (network)
- Special Element Injection (interpreter)
- Custom Special Character Injection (interpreter)
- Comment Injection Attack (interpreter)
- Parameter Delimiter (interpreter)
- Server-Side Includes (SSI) Injection (interpreter)
- Input Validation, Bean Validation (interpreter)
2. SQL ve veritabanı enjeksiyonu
- SQL Injection, SQL Injection Prevention, Query Parameterization (sql)
- Blind SQL Injection (sql)
- SQL Injection Bypassing WAF (sql)
- RSQL Injection (interpreter)
- Database Security (sql)
- NoSQL Security (interpreter)
3. İşletim sistemi ve komut enjeksiyonu
- Command Injection, OS Command Injection Defense (interpreter)
4. LDAP, XPath ve XML enjeksiyonu
- LDAP Injection, LDAP Injection Prevention (interpreter)
- XPATH Injection (interpreter)
- Blind XPath Injection (interpreter)
- XML External Entity (XXE) Prevention, XML Security (xml)
5. Cross-Site Scripting (XSS)
- Cross Site Scripting (XSS), Cross Site Scripting Prevention, XSS Filter Evasion (browser)
- DOM Based XSS, DOM based XSS Prevention, DOM Clobbering Prevention (browser)
- Reflected DOM Injection (browser)
- XSS in Converting File Content to Text (browser)
- XSS in subtitle (browser)
- Cross Frame Scripting (browser)
- Cross Site Tracing (browser)
- Content Security Policy (browser)
6. Cross-Site Request Forgery (CSRF) ve clickjacking
- Cross Site Request Forgery (CSRF), XSRF, Cross-Site Request Forgery Prevention (http-request)
- Clickjacking, Clickjacking Defense (browser)
- Cross Site History Manipulation (XSHM) (browser)
- Form action hijacking (network)
- Reverse Tabnabbing (browser)
7. Yönlendirmeler ve iletmeler
- Open Redirect, Unvalidated Redirects and Forwards (network)
- Execution After Redirect (EAR) (browser)
8. Erişim kontrolü ve yetkilendirme
- Insecure Direct Object Reference (IDOR), Insecure Direct Object Reference Prevention (access-control)
- Forced browsing (access-control)
- Web Parameter Tampering (access-control)
- Setting Manipulation (access-control)
- Authorization (access-control)
- Transaction Authorization (access-control)
- Mass Assignment (access-control)
- Multi-Tenant Application Security (access-control)
9. Kimlik doğrulama ve kimlik bilgileri
- Brute Force Attack, Password Spraying Attack, Bot Management and Anti-Automation (credential-endpoint)
- Credential stuffing, Credential Stuffing Prevention (credential-endpoint)
- Qrljacking (federation)
- Authentication, Multifactor Authentication (access-control)
- Password Storage (access-control)
- Forgot Password, Choosing and Using Security Questions (access-control)
- Email Validation and Verification in Identity Systems (access-control)
10. Oturum yönetimi
- Session fixation, Session hijacking attack, Session Prediction, Session Management (access-control)
- Cookie Theft Mitigation (access-control)
11. Kimlik federasyonu (OAuth, SAML, JWT)
- OAuth 2.0 Protocol (federation)
- SAML Security (federation)
- JSON Web Token for Java (federation)
12. Kriptografi ve aktarım güvenliği
- Cryptanalysis, Cryptographic Storage, Key Management (crypto)
- Manipulator-in-the-Middle (MITM), Transport Layer Security (transport)
- HTTP Strict Transport Security (transport)
- Pinning (transport)
13. Server-Side Request Forgery (SSRF)
14. Path traversal ve dosya işleme
- Path Traversal (path)
- Binary Planting (path)
- Windows ::DATA Alternate Data Stream (path)
- Embedding Null Code (path)
- File Upload (upload)
15. HTTP protokolünün kötüye kullanımı (başlıklar, önbellekleme, splitting)
- HTTP Response Splitting, Cross-User Defacement (interpreter)
- HTTP Security Response Headers (browser, transport, http-request ve access-control arasında bölündü)
- Cache Poisoning (interpreter)
- IP Spoofing via HTTP Headers (http-request)
16. Kodlama ve content spoofing
- Unicode Encoding (interpreter)
- Double Encoding (interpreter)
- Content Spoofing (browser)
17. CSV ve elektronik tablo enjeksiyonu
- CSV Injection (csv)
18. CORS (Cross-Origin Resource Sharing)
- CORS OriginHeaderScrutiny (http-request)
- CORS RequestPreflightScrutiny (http-request)
19. Hizmet reddi
20. Bellek güvenliği ve yerel kod
- Buffer Overflow Attack, Buffer Overflow via Environment Variables (c-cpp)
- Format string attack (c-cpp)
21. Mobil kod ve güvenilmeyen kod yürütme
- Mobile code invoking untrusted mobile code (interpreter)
- Mobile code non-final public field (java)
- Mobile code object hijack (java)
22. Deserialization
- Deserialization (python, ruby, php, java ve dotnet arasında bölündü)
23. Kötü amaçlı yazılımlar ve istemci tarafı tehditler
- Man-in-the-browser attack, Browser Extension Security Vulnerabilities (browser)
- Third Party JavaScript Management (browser)
24. Günlük kaydı, inkâr ve hata işleme
- Log Injection, Logging, Application Logging Vocabulary (interpreter)
- Repudiation Attack (interpreter)
25. İş mantığı ve işlevselliğin kötüye kullanımı
İş mantığının ve işlevselliğin kötüye kullanımının, yüzey başına bir uzmanlığın savunabileceği tek bir kod yüzeyi yoktur: savunma, uygulamaya özgü tasarımdır ve projenin tehdit modellemesinin yönlendirdiği akıl yürütmenin aynısıdır. "Kapsam dışında" bölümüne taşındı.
26. Yapay zeka, LLM ve ajan güvenliği
- Prompt Injection, LLM Prompt Injection Prevention (llm)
- MCP Tool Poisoning, MCP (Model Context Protocol) Security (llm)
- HITL Dialog Forging (Lies-in-the-Loop) (llm)
- AI Agent Security, Secure Coding with AI (llm)
- Retrieval-Augmented Generation (RAG) Security (llm)
- Secure AI/ML Model Ops (llm)
- AML and Sanctions Compliance for AI Agent Payments (llm)
27. Prototype pollution ve cross-site leak'ler
- Prototype Pollution Prevention (javascript)
- Cross-site leaks (XS-Leaks) (browser)
28. Framework'ler ve dil platformları
- Django Security, Django REST Framework (python)
- Ruby on Rails (ruby)
- Laravel (php)
- Symfony (php)
- Java Security (java)
- DotNet Security (dotnet)
- NodeJS Security (javascript)
- PHP Configuration (php)
29. Web ön yüzü ve tarayıcı
- HTML5 Security (browser)
- AJAX Security (browser)
- Securing Cascading Style Sheets (access-control ve browser arasında bölündü)
30. API'ler ve servisler
- GraphQL (api-endpoint)
- gRPC Security (api-endpoint)
- WebSocket Security (api-endpoint)
31. Bulut, container'lar ve altyapı
Container ve iş yükü yapılandırması, geliştiricinin uygulamayla birlikte yayınladığı kod olarak yapılandırmadır (Dockerfile, Compose, Pod securityContext ayarı). harden fazının düzelttiği ve verify fazının kanıtladığı gerçek bir yüzeydir, bu yüzden kapsam içindedir. Küme yönetimi (RBAC, etcd, API sunucusu, admission, ağ segmentasyonu) operatörün alanıdır ve kapsam dışında kalır.
- Docker Security, Node.js Docker (container)
- Kubernetes Security (container: iş yükü ve Pod kısmı. Küme yönetimi kapsam dışında kalır)
- Serverless / FaaS Security (serverless)
32. Tedarik zinciri ve CI/CD
- NPM Security (interpreter)
- Dependency Graph & SBOM Best Practices, Vulnerable Dependency Management (interpreter)
33. Gizli bilgiler ve yapılandırma
Gizli bilgi yönetimi operasyonel bir konudur: kasalar (vault), CI/CD, bulut yapılandırması, rotasyon. Kod düzeyindeki tek yönü (kaynak koda gömülü bir gizli bilgi) bir risk uzmanlığı değil, deterministik bir taramadır. "Kapsam dışında" bölümüne taşındı.
34. Süreç, tasarım ve yönetişim
Kullanıcı gizliliğinin korunması bir uzmanlığın savunduğu bir kod yüzeyi değil, politika ve tasarım konusudur (veri minimizasyonu, şeffaflık, saklama). "Kapsam dışında" bölümüne taşındı.
35. Ödemeler ve uyumluluk
36. Gömülü sistemler, IoT ve özel alanlar
Otomotiv ve drone güvenliği gömülü sistem alanlarıdır (CAN bus, OTA firmware, sensör ve radyo bütünlüğü, fiziksel erişim), Lagune'nin denetlediği web ve API uygulama kaynak kodu değildir. "Kapsam dışında" bölümüne taşındı.
Kapsam dışında (kod yüzeyi yok)
Bunlar uzmanlık alanları değildir ve onay kutusu taşımaz: yüzey başına bir uzmanlığın savunabileceği tek bir kod yüzeyi olmayan yönetişim, süreç, operasyonel sıkılaştırma ya da framework kullanımıdır. Güvenlik değerleri gerçektir, ama bu katalogla gelen bir savunmada değil, süreçte ve mimaride (ya da bir framework için o dilin kendi becerisinde) bulunur. İş olarak değil, başvuru için listelenmiştir.
- Authorization Regression Testing, Authorization Testing Automation
- JAAS
- Denial of Service, Denial of Service
- HTTP/2 Reset Attack
- Traffic flood
- Web Service Amplification Attack (SOAP ve WS-Addressing üzerinden amplifikasyon, kod yüzeyi olmayan operasyonel bir DoS türü)
- Cash Overflow
- Spyware, Trojan Horse (son kullanıcıyı hedefleyen kötü amaçlı yazılım, denetlenen projede bir kod yüzeyi değil. Tarayıcı içinden iletim yönü
browseruzmanlığında yer alır) - REST Security, REST Assessment
- Web Service Security
- Cloud Architecture Security (tasarım ve ödünleşimler: IAM ile imzalı URL'ler, herkese açık ve özel VPC'ler, güven sınırları, paylaşılan sorumluluk.
containeruzmanlığından farklı olarak bir uzmanlığın kontrol edeceği somut bir yapılandırması yoktur) - Infrastructure as Code Security (adına rağmen IaC'yi yönetmek için SDLC süreci ve araçlarıdır: IDE eklentileri, statik analiz, imaj tarama, CI/CD, imzalama. Bir Terraform ya da CloudFormation dosyasında güvensiz kalıptan güvenli biçime bir geçiş sunmaz)
- Kubernetes Security (yalnızca küme yönetimi kısmı: RBAC, etcd, API sunucusu, admission. İş yükü ve Pod kısmı
containeraltında kapsam içindedir) - Network Segmentation (ağ mimarisi ve güvenlik duvarı politikası)
- Subdomain Takeover Prevention (DNS yaşam döngüsü ve izleme, kod değil)
- Secrets Management (kasalar, CI/CD, rotasyon. Koda gömülü gizli bilgi yönü bir risk uzmanlığı değil, deterministik bir taramadır)
- C-Based Toolchain Hardening (derleyici, bağlayıcı ve derleme bayrakları, kaynak kodda sink yok)
- Microservices Security, Microservices based Security Arch Doc
- Zero Trust Architecture
- CI/CD Security, GitHub Actions Security
- Software Supply Chain Security
- Error Handling, Full Path Disclosure (her teknoloji yığını için genel hata işleyici yapılandırması. Sızıntı, hata işlemenin zaten yönettiği ifşanın aynısıdır)
- Abuse of Functionality, Business Logic Security, Abuse Case (historical) (uygulamaya özgü tasarım, tek bir kod sink'i yok)
- User Privacy Protection (veri minimizasyonu, şeffaflık, saklama politikası)
- Top 10 Automotive Security Vulnerabilities, Drone Security (gömülü sistem alanları: CAN bus, OTA firmware, sensör ve radyo bütünlüğü, web ya da API kaynak kodu değil)
- Mobile Application Security (Android ve iOS platform sıkılaştırması: depolama, biyometri, pinning, kişisel veriler. Tek bir kod yüzeyi yoktur ve güvenilmeyen kod yükleme yönü
interpreteruzmanlığına taşındı) - Threat Modeling, Threat Modeling (community page)
- Attack Surface Analysis
- Secure Product Design
- Secure Code Review
- Virtual Patching
- Vulnerability Disclosure
- Legacy Application Management
- Security Terminology