Merhaba
İnternet tarayıcıları ile uygulamalar arasındaki emir-komuta zinciri HTTP başlık bilgileri ile sağlanmaktadır. Bu sayede başlık bilgilerine bakılarak client-side security için nelerin konfigure edildiği tespit edilebilmektedir.
HTTP Header bilgilerini otomatize şekilde kontrol etmek için geliştirilmiş bir araç bulunmaktadır. Geliştirildiği tarihten bugüne değişen başlık bilgileri olsada çok kolay bir şekilde kod üzerinde modifikasyon yapılabilir. Örneği; CSP aktifleştirilmesi için ilk zamanlarda x-content-security-policy parametresi kullanılmaktaydı. Şimdi ise direk content-security-policy olarak kullanılabilmekte.
gethead.py
Uygulama aşağıdaki linkten temin edilebilir.
https://github.com/httphacker/gethead/blob/gh-pages/gethead.py
Kullanımı ise oldukça basittir. Parametre olarak test edilecek URL verilmektedir.
Sonuçlar analiz edildiğinde twitter.com adresinde Reflected XSS koruması, kullanıcıları güvenlik trafik yapmaya zorlaması gibi özellikler internet tarayıcılarına iletilmektedir. Web uygulama güvenlik testleri rutinleri içerisinde kontrol edilmesi gereken bu bilgiler, getheader aracıyla rahatça elde edilebilir. İhtiyaca göre modifikasyon gerçekleştirilebilir.