gethead.py ile HTTP Header Analizi

Merhaba

İnternet tarayıcıları ile uygulamalar arasındaki emir-komuta zinciri HTTP başlık bilgileri ile sağlanmaktadır. Bu sayede başlık bilgilerine bakılarak client-side security için nelerin konfigure edildiği tespit edilebilmektedir.

HTTP Header bilgilerini otomatize şekilde kontrol etmek için geliştirilmiş bir araç bulunmaktadır. Geliştirildiği tarihten bugüne değişen başlık bilgileri olsada çok kolay bir şekilde kod üzerinde modifikasyon yapılabilir. Örneği; CSP aktifleştirilmesi için ilk zamanlarda x-content-security-policy parametresi kullanılmaktaydı. Şimdi ise direk content-security-policy olarak kullanılabilmekte.

gethead.py

Uygulama aşağıdaki linkten temin edilebilir.

https://github.com/httphacker/gethead/blob/gh-pages/gethead.py

Kullanımı ise oldukça basittir. Parametre olarak test edilecek URL verilmektedir.

Screenshot from 2014-03-20 11:23:59

Sonuçlar analiz edildiğinde twitter.com adresinde Reflected XSS koruması, kullanıcıları güvenlik trafik yapmaya zorlaması gibi özellikler internet tarayıcılarına iletilmektedir. Web uygulama güvenlik testleri rutinleri içerisinde kontrol edilmesi gereken bu bilgiler, getheader aracıyla rahatça elde edilebilir. İhtiyaca göre modifikasyon gerçekleştirilebilir.