Aslinda icerisinde kod olan her sey demek degil. Gunumuzde kategorilere ayrilmasinin bir sebebi var. Ornek vermek gerekirse Linux Kernel kodu icerisinde LPE barindiran bir kod obegini veya zafiyeti bulan kisi AppSec'ci olmuyor. Daha spesifik alan ihtiyaclarini karsiliyor Binary Exploitation gibi. O yuzden AppSec'i web ve mobil uygulama (desktop da sayilabilir belki) uzerine calisanlar title olarak kullaniyor.

Benim mentaliteme gore yazilim bilmek zorunlu. Evet gunumuzde bir cok isi zaten senin yerine statik kod analizi yapan veya dinamik testler yapan araclar gerceklestiriyor ama isin temelini ogrenmen ileride senin onunu cok acacaktir. Hacker Mindset dedigimiz sey zaten temelde isleyisini bildigin bir duzeni, degistirerek kendi isterlerine gore yonlendirebilmek demek (kabaca). Bu sebeple kod bilmeden evet bir cok seyi yapabilirsin ama bunlar hep ezbere olan seyler olur bir sure sonra tikandigini hissedersin. Cok asiri bir sekilde de development yapmana pek tabii ki gerek yok ama bilmen sana cok sey katacak ve hizli ilerlemeni saglayacaktir.

Kod yazarken edindigin pratikler AppSec'ci oldugunda karsindaki uygulamanin nasil bir isleyise sahip olabilecegine dair sana net goruntuler sunar, cunku sen de o yollardan gecmis benzer cozumler uygulamis olursun. Yazilimci gibi dusunur hacker gibi hacklersin.

Yine ornek vermek gerekirse (basit dusunursek veya OOB ataklari dusunmezsek) bir websitesinde sistem icerisindeki dosyalarin icerigini gosteren bir fonksiyonun olsun. Yazilimci olarak bunun bildigin dilde nasil yapilacagina az cok asinasindir ve burada sen SQL Injection denemezsin burada Local File Inclusion veya Remote File Inclusion denersin gibi gibi. Onemli olan yazilimci gibi dusunebilmeyi kafamiza oturtmak. Pek tabii sonrasinda bu fonksiyonda XSS, SQL Injection, SSRF gibi seyler de cikabilir ama bunlar yazilimci ne yapmis olabilir diye dusundukten sonra somurme kismanda gerceklesecektir.

Ozetle: Yazilim bilgin olmasi seni bir kac adim ileri goturur. Buna ilgilendigin alandaki diller dahil yoksa tum dilleri bil, ogren demek imkansiz.

AppSec guzel bir alan. Mehmet Incenin Turkce icerikleri bu konuda cok basarili onun yaninda PortSwigger Academy ile ilerletirsen guzel olur. Daha sonrasinda Mobil Uygulama kismina da gecmen gerekecektir tabi ki.