Xavfsizlik testi asoslari

# Penetratsion test ruxsatnomasi (namuna)

Buyurtmachi: "Dokon" MChJ
Ijrochi: "Xavfsizlik" MChJ

## Doira
Kiradi:
- https://sinov.dokon.uz (barcha yo'llar)
- 203.0.113.10 - 203.0.113.20 (IP oralig'i)

Kirmaydi:
- Ishlab chiqarish muhiti (dokon.uz)
- Uchinchi tomon xizmatlari
- Xodimlarga ijtimoiy muhandislik
- Jismoniy kirish

## Ruxsat etilgan usullar
- Avtomatik skanerlash
- Qo'lda tekshirish
- Zaifliklardan foydalanish (ma'lumot o'zgartirmasdan)

## Taqiqlangan
- DoS/DDoS hujumlari
- Ma'lumotni o'chirish yoki o'zgartirish
- Haqiqiy foydalanuvchilar ma'lumotini yuklab olish

## Muddat
2026-09-01 09:00 - 2026-09-10 18:00 (Toshkent vaqti)

## Aloqa
Shoshilinch: +998 90 xxx-xx-xx (@husanboy)
Har kuni holat hisoboti: 18:00 gacha

## Imzolar
Buyurtmachi: __________  Sana: __________
Ijrochi:     __________  Sana: __________

# Ochiq manbalardan ma'lumot (OSINT) - o'z tashkilotingiz uchun
whois dokon.uz
dig dokon.uz ANY
dig dokon.uz TXT

# Subdomenlarni topish (sertifikat shaffofligi orqali)
curl -s "https://crt.sh/?q=%25.dokon.uz&output=json" | jq -r '.[].name_value' | sort -u

# Texnologiyalarni aniqlash
whatweb https://dokon.uz
curl -sI https://dokon.uz | grep -iE '^(server|x-powered-by)'

# Ochiq kod repozitoriylarida sirlar
# O'z tashkilotingiz uchun tekshiring
gitleaks detect --source . --report-format json
trufflehog github --org=kompaniya

# Virtual mashinalar
# 1. Kali Linux - test vositalari
# 2. Metasploitable / DVWA - zaif nishon
# 3. Ubuntu Server - o'z ilovangiz

# Docker bilan tez laboratoriya
docker run -d -p 8080:80 vulnerables/web-dvwa
docker run -d -p 3000:3000 bkimminich/juice-shop
docker run -d -p 8081:8080 webgoat/webgoat

# Qo'lda tekshirish ro'yxati

## Kirish nazorati
- [ ] Boshqa foydalanuvchi ID si bilan resursga kirish (IDOR)
- [ ] Admin sahifalariga to'g'ridan-to'g'ri URL orqali kirish
- [ ] API endpointlarida huquq tekshiruvi
- [ ] Rolni o'zgartirishga urinish (massaviy tayinlash)
- [ ] Boshqa foydalanuvchi buyurtmasini bekor qilish

## Biznes mantiq
- [ ] Manfiy miqdor kiritish
- [ ] Juda katta miqdor
- [ ] Narxni o'zgartirish (yashirin maydon, API)
- [ ] Chegirma kuponini bir necha marta ishlatish
- [ ] Jarayon qadamini o'tkazib yuborish
- [ ] Bir vaqtda ikki so'rov (poyga sharti)
- [ ] Vaqt chegarasini chetlab o'tish

## Autentifikatsiya
- [ ] Parol tiklash tokeni bashorat qilinadimi?
- [ ] Sessiya chiqishdan keyin ham amal qiladimi?
- [ ] 2FA ni chetlab o'tish mumkinmi?
- [ ] Hisob raqamlanishi (foydalanuvchi bor-yo'qligini aniqlash)
- [ ] Parol almashtirilganda sessiyalar bekor qilinadimi?

## Ma'lumot oshkorligi
- [ ] Xato xabarlarida ichki ma'lumot
- [ ] API javobida ortiqcha maydonlar
- [ ] Kesh sarlavhalari
- [ ] Manba kodida izohlar
- [ ] `.git`, `.env`, zaxira fayllari ochiqmi?

# Ochiq qolgan fayllarni tekshirish
for yol in .git/config .env composer.json .DS_Store backup.sql phpinfo.php; do
    kod=$(curl -s -o /dev/null -w "%{http_code}" "https://sinov.dokon.uz/$yol")
    echo "$kod  /$yol"
done

# API endpointlarini aniqlash
curl -s https://api.dokon.uz/openapi.yaml | grep -E '^\s+/'

# API tekshirish ro'yxati

- [ ] Autentifikatsiyasiz so'rov (401 qaytadimi?)
- [ ] Boshqa foydalanuvchi tokeni bilan (403 qaytadimi?)
- [ ] Muddati o'tgan token
- [ ] Noto'g'ri imzolangan JWT
- [ ] `alg: none` bilan JWT
- [ ] HTTP metodini o'zgartirish (GET → DELETE)
- [ ] Ortiqcha maydonlar yuborish
- [ ] Juda katta so'rov (DoS)
- [ ] Chegaralash ishlaydimi?
- [ ] CORS sozlamalari
- [ ] Xato javoblarida ma'lumot oshkorligi

# Chegaralashni tekshirish
for i in $(seq 1 50); do
    kod=$(curl -s -o /dev/null -w "%{http_code}" https://api.dokon.uz/mahsulotlar)
    echo -n "$kod "
done
echo

# Penetratsion test hisoboti

**Buyurtmachi:** "Dokon" MChJ
**Ijrochi:** "Xavfsizlik" MChJ
**Sana:** 2026-09-01 - 2026-09-10
**Doira:** sinov.dokon.uz, 203.0.113.10-20

---

## Rahbariyat uchun xulosa

Test davomida **12 ta zaiflik** topildi:
- Kritik: 1
- Yuqori: 3
- O'rta: 5
- Past: 3

**Eng jiddiy topilma:** qidiruv formasida SQL inyeksiya, uning
orqali barcha mijozlar ma'lumotini olish mumkin.

**Umumiy baho:** tizim asosiy himoya choralariga ega, lekin
kirish nazorati va kirish ma'lumotlarini tekshirishda jiddiy
kamchiliklar bor.

**Tavsiya:** kritik va yuqori zaifliklarni 2 hafta ichida tuzatish,
keyin qayta test o'tkazish.

---

## Topilma: SQL inyeksiya

**ID:** PT-001
**Jiddiylik:** Kritik (CVSS 9.8)
**Joylashuv:** `GET /qidiruv?q=`
**Holat:** Tasdiqlangan

### Tavsif

`q` parametri SQL so'roviga to'g'ridan-to'g'ri qo'shiladi.
Bu hujumchiga bazadagi istalgan ma'lumotni o'qish imkonini beradi.

### Takrorlash qadamlari

1. Brauzerda oching: `https://sinov.dokon.uz/qidiruv?q=test`
2. Parametrni o'zgartiring: `q=test'`
3. Sahifada baza xato xabari ko'rinadi

### Dalil

    HTTP/1.1 500 Internal Server Error

    SQLSTATE[42000]: Syntax error near ''test''' at line 1
    in /var/www/dokon/manba/Qidiruv.php:47

### Ta'sir

- Barcha mijozlar ma'lumotini o'qish (52 000 yozuv)
- Parol xeshlarini olish
- Ma'lumotni o'zgartirish yoki o'chirish

### Tavsiya

1. Parametrlangan so'rovlarga o'ting:

    $stmt = $pdo->prepare('SELECT * FROM mahsulotlar WHERE nomi LIKE ?');
    $stmt->execute(['%' . $sorov . '%']);

2. `PDO::ATTR_EMULATE_PREPARES => false` sozlamasini yoqing
3. Baza foydalanuvchisi huquqlarini cheklang
4. Xato xabarlarini foydalanuvchiga ko'rsatmang

### Havolalar
- OWASP: A03:2021 Injection
- CWE-89: SQL Injection

// Xavfsizlik testlarini avtomatlashtirish
final class XavfsizlikTest extends TestCase
{
    public function test_boshqa_foydalanuvchi_buyurtmasini_kora_olmaydi(): void
    {
        $mijoz1 = $this->foydalanuvchiYarating();
        $mijoz2 = $this->foydalanuvchiYarating();

        $buyurtma = $this->buyurtmaYarating($mijoz1);

        $javob = $this->tokenBilan($mijoz2)
                      ->get("/api/buyurtmalar/{$buyurtma->id}");

        $this->assertContains($javob->kod(), [403, 404]);
    }

    public function test_narx_serverda_hisoblanadi(): void
    {
        $mahsulot = $this->mahsulotYarating(narx: 250_000);

        $javob = $this->tokenBilan($this->mijoz)->post('/api/buyurtmalar', [
            'elementlar' => [[
                'mahsulot_id' => $mahsulot->id,
                'soni'        => 2,
                'narx'        => 1,        // soxta narx
            ]],
        ]);

        $this->assertEquals(500_000, $javob->json()['malumot']['jami']['qiymat']);
    }

    public function test_manfiy_soni_rad_etiladi(): void
    {
        $javob = $this->tokenBilan($this->mijoz)->post('/api/buyurtmalar', [
            'elementlar' => [['mahsulot_id' => 1, 'soni' => -5]],
        ]);

        $this->assertEquals(422, $javob->kod());
    }

    public function test_rolni_ozgartirib_bolmaydi(): void
    {
        $javob = $this->tokenBilan($this->mijoz)->patch('/api/profil', [
            'ism' => 'Yangi ism',
            'rol' => 'administrator',
        ]);

        $this->assertEquals(200, $javob->kod());
        $this->assertEquals('mijoz', $this->mijoz->qaytaYuklang()->rol->value);
    }

    public function test_chiqishdan_keyin_sessiya_ishlamaydi(): void
    {
        $token = $this->kiring($this->mijoz);
        $this->tokenBilan($token)->post('/api/chiqish');

        $javob = $this->tokenBilan($token)->get('/api/profil');

        $this->assertEquals(401, $javob->kod());
    }

    public function test_xato_xabarida_ichki_malumot_yoq(): void
    {
        $javob = $this->get('/api/buyurtmalar/999999999');

        $tana = $javob->xomTana();

        $this->assertStringNotContainsString('SQLSTATE', $tana);
        $this->assertStringNotContainsString('/var/www', $tana);
        $this->assertStringNotContainsString('Stack trace', $tana);
    }
}

# Burp Suite ni proksi sifatida ishlatish (o'z ilovangizda)
# Brauzer → Burp (127.0.0.1:8080) → Ilova
# So'rovlarni ushlab, o'zgartirib yuborish mumkin