20 \u015eubat 2009, Cuma<\/p>\n
\n G\u00fcn\u00fcm\u00fczde web sitelerinin b\u00fcy\u00fck \u00e7o\u011funlu\u011fu, kullan\u0131c\u0131lar\u0131na iyi hizmet sunabilmek i\u00e7in uygulamalar etraf\u0131nda in\u015fa edilmektedir. \u00d6zellikle i\u00e7erik olu\u015fturmak, d\u00fczenlemek ve y\u00f6netmek i\u00e7in yayg\u0131n olarak kullan\u0131lmaktad\u0131rlar. Kullan\u0131c\u0131 girdisinin temel oldu\u011fu bu sistemlerin etkile\u015fimli do\u011fas\u0131 gere\u011fi, k\u00f6t\u00fc niyetli \u00fc\u00e7\u00fcnc\u00fc taraflar\u0131n istismarlar\u0131n\u0131 \u00f6nlemek ve en iyi kullan\u0131c\u0131 deneyimini sa\u011flamak ad\u0131na g\u00fcvenlik konusunu d\u00fc\u015f\u00fcnmek \u00f6nemlidir.\n<\/p>\n
\n Hackerlar\u0131n bir web sitesinin k\u0131smi veya tam kontrol\u00fcn\u00fc ele ge\u00e7irmek i\u00e7in ger\u00e7ekle\u015ftirebilece\u011fi bir\u00e7ok farkl\u0131 sald\u0131r\u0131 t\u00fcr\u00fc vard\u0131r. Genel olarak en yayg\u0131n ve tehlikeli olanlar\u0131 SQL injection ve siteler aras\u0131 betik \u00e7al\u0131\u015ft\u0131rma (XSS) sald\u0131r\u0131lar\u0131d\u0131r.\n<\/p>\n
\n SQL injection, bir web uygulamas\u0131ndaki g\u00fcvenlik a\u00e7\u0131\u011f\u0131ndan yararlanarak veritaban\u0131 d\u00fczeyinde davran\u0131\u015f\u0131n\u0131 de\u011fi\u015ftirmek i\u00e7in k\u00f6t\u00fc ama\u00e7l\u0131 bir kod par\u00e7as\u0131 enjekte etme tekni\u011fidir. URL’leri (sorgu dizisi) veya herhangi bir formu (arama, giri\u015f, e-posta kayd\u0131) manip\u00fcle ederek k\u00f6t\u00fc ama\u00e7l\u0131 kod enjekte edebildi\u011fi d\u00fc\u015f\u00fcn\u00fcld\u00fc\u011f\u00fcnde olduk\u00e7a g\u00fc\u00e7l\u00fc bir tekniktir. SQL injection ile ilgili baz\u0131 \u00f6rnekleri Web Application Security Consortium<\/a> adresinde bulabilirsiniz.\n<\/p>\n \n Bu t\u00fcr sald\u0131r\u0131lardan ka\u00e7\u0131nmak i\u00e7in al\u0131nabilecek kesin \u00f6nlemler vard\u0131r. \u00d6rne\u011fin, \u00f6n u\u00e7taki bir form ile arka u\u00e7taki veritaban\u0131 aras\u0131na bir katman eklemek iyi bir uygulamad\u0131r. PHP’de, kullan\u0131c\u0131 girdisini ifadeye g\u00f6mmek yerine parametrelerle (bazen yer tutucular veya ba\u011flama de\u011fi\u015fkenleri olarak adland\u0131r\u0131l\u0131r) \u00e7al\u0131\u015fmak i\u00e7in genellikle PDO<\/a> uzant\u0131s\u0131 kullan\u0131l\u0131r. Bir di\u011fer olduk\u00e7a kolay teknik ise, veritaban\u0131 yap\u0131s\u0131 \u00fczerinde do\u011frudan etkisi olabilecek t\u00fcm tehlikeli karakterlerin ka\u00e7\u0131\u015f karakteri ile etkisiz hale getirildi\u011fi karakter ka\u00e7\u0131rmad\u0131r. \u00d6rne\u011fin, bir parametredeki her tek t\u0131rnak ( \n Burada tan\u0131taca\u011f\u0131m\u0131z di\u011fer teknik ise siteler aras\u0131 betik \u00e7al\u0131\u015ft\u0131rmad\u0131r (XSS). XSS, web uygulamalar\u0131n\u0131n g\u00fcvenlik a\u00e7\u0131klar\u0131ndan yararlanarak bir web sayfas\u0131na k\u00f6t\u00fc ama\u00e7l\u0131 kod enjekte etmek i\u00e7in kullan\u0131lan bir tekniktir. Bu t\u00fcr bir sald\u0131r\u0131, web uygulamas\u0131n\u0131n kullan\u0131c\u0131 girdisi yoluyla elde edilen verileri, son kullan\u0131c\u0131ya d\u00f6nd\u00fcrmeden \u00f6nce herhangi bir kontrol veya do\u011frulama yapmadan i\u015flemesi durumunda m\u00fcmk\u00fcnd\u00fcr. Siteler aras\u0131 betik \u00e7al\u0131\u015ft\u0131rma ile ilgili baz\u0131 \u00f6rnekleri Web Application Security Consortium<\/a> adresinde bulabilirsiniz.\n<\/p>\n \n Bir web uygulamas\u0131n\u0131 bu tekni\u011fe kar\u015f\u0131 koruman\u0131n bir\u00e7ok yolu vard\u0131r. Al\u0131nabilecek baz\u0131 kolay \u00f6nlemler \u015funlard\u0131r:\n<\/p>\n \n SQL injection ve siteler aras\u0131 betik \u00e7al\u0131\u015ft\u0131rma, hackerlar\u0131n masum sitelere sald\u0131rmak ve istismar etmek i\u00e7in kulland\u0131\u011f\u0131 bir\u00e7ok teknikten sadece ikisidir. Genel bir g\u00fcvenlik k\u0131lavuzu olarak, g\u00fcvenlik sorunlar\u0131 hakk\u0131nda her zaman g\u00fcncel kalmak ve \u00f6zellikle \u00fc\u00e7\u00fcnc\u00fc taraf yaz\u0131l\u0131mlar kullan\u0131rken mevcut en son s\u00fcr\u00fcm\u00fc y\u00fckledi\u011finizden emin olmak \u00f6nemlidir. Bir\u00e7ok web uygulamas\u0131, s\u00fcrekli destek ve g\u00fcncellemeler sunan b\u00fcy\u00fck topluluklar etraf\u0131nda in\u015fa edilmi\u015ftir.\n<\/p>\n \n Birka\u00e7 \u00f6rnek vermek gerekirse, en b\u00fcy\u00fck A\u00e7\u0131k Kaynak i\u00e7erik y\u00f6netim sistemi topluluklar\u0131ndan d\u00f6rd\u00fc olan Joomla, WordPress, PHP-Nuke ve Drupal, web sitelerinde g\u00fcvenlik konusunda faydal\u0131 k\u0131lavuzlar sunmakta ve kullan\u0131c\u0131lar\u0131n sorunlar\u0131 bildirebilece\u011fi ve destek isteyebilece\u011fi b\u00fcy\u00fck topluluk odakl\u0131 forumlara ev sahipli\u011fi yapmaktad\u0131r. \u00d6rne\u011fin, WordPress, web sitesinin Hardening WordPress<\/a> b\u00f6l\u00fcm\u00fcnde, CMS’sinin g\u00fcvenli\u011fini nas\u0131l g\u00fc\u00e7lendirece\u011fine dair kapsaml\u0131 belgeler sunmaktad\u0131r. Joomla, g\u00fcvenlik ile ilgili bir\u00e7ok kaynak, \u00f6zellikle de Joomla tabanl\u0131 bir web sitesinin g\u00fcvenli\u011fini art\u0131rmak i\u00e7in web y\u00f6neticilerinin almas\u0131 gereken kapsaml\u0131 bir eylem listesi i\u00e7eren bir G\u00fcvenlik Kontrol Listesi<\/a> sunmaktad\u0131r. Drupal’\u0131n sitesinde, G\u00fcvenlik b\u00f6l\u00fcm\u00fcne<\/a> giderek g\u00fcvenlik sorunlar\u0131 hakk\u0131nda bilgiye eri\u015febilirsiniz. Ayr\u0131ca, devam eden sorunlardan s\u00fcrekli haberdar olmak i\u00e7in g\u00fcvenlik posta listelerine abone olabilirsiniz. PHP-Nuke, bu CMS platformunun sistem y\u00f6netimine ayr\u0131lm\u0131\u015f “Nas\u0131l Yap\u0131l\u0131r” b\u00f6l\u00fcm\u00fcn\u00fcn 23. b\u00f6l\u00fcm\u00fcnde G\u00fcvenlik<\/a> hakk\u0131nda baz\u0131 belgeler sunmaktad\u0131r. Ayr\u0131ca, hacklenme ile ilgili sorunlar\u0131 \u00e7\u00f6zmek i\u00e7in k\u0131lavuzlar sunan Hacked – Now what?<\/a> ad\u0131nda bir b\u00f6l\u00fcmleri de bulunmaktad\u0131r.\n<\/p>\n \n Yukar\u0131da belirtildi\u011fi gibi, hackerlar\u0131n bir sitede ger\u00e7ekle\u015ftirebilece\u011fi bir\u00e7ok farkl\u0131 sald\u0131r\u0131 t\u00fcr\u00fc ve masum bir siteyi istismar etmenin farkl\u0131 y\u00f6ntemleri vard\u0131r. Hackerlar bir sitenin tam kontrol\u00fcn\u00fc ele ge\u00e7irdiklerinde, siteyi tahrif edebilir (ana sayfay\u0131 de\u011fi\u015ftirebilir), t\u00fcm i\u00e7eri\u011fi silebilir (veritaban\u0131 tablolar\u0131n\u0131z\u0131 d\u00fc\u015f\u00fcrebilir) veya k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m ya da \u00e7erez h\u0131rs\u0131zlar\u0131 yerle\u015ftirebilirler. Ayr\u0131ca, spam i\u00e7erikli kaynaklara i\u015faret eden ba\u011flant\u0131lar\u0131 gizleyerek veya k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m sitelerine y\u00f6nlendiren sayfalar olu\u015fturarak bir siteyi spam yapmak i\u00e7in istismar edebilirler. Uygulaman\u0131zdaki bu de\u011fi\u015fiklikler belirgin oldu\u011funda (tahrifat gibi), hackleme faaliyetini kolayca fark edebilirsiniz; ancak di\u011fer istismar t\u00fcrleri, \u00f6zellikle spam ama\u00e7l\u0131 olanlar i\u00e7in bu o kadar belirgin olmayacakt\u0131r. Google, baz\u0131 \u00fcr\u00fcnleri arac\u0131l\u0131\u011f\u0131yla web y\u00f6neticilerine bir sitenin hacklenip hacklenmedi\u011fini veya izinsiz olarak \u00fc\u00e7\u00fcnc\u00fc bir taraf\u00e7a de\u011fi\u015ftirilip de\u011fi\u015ftirilmedi\u011fini tespit etmeleri i\u00e7in baz\u0131 yollar sunar. \u00d6rne\u011fin, Google Arama’y\u0131 kullanarak hackerlar\u0131n web sitenize ekledi\u011fi tipik anahtar kelimeleri tespit edebilir ve g\u00fcvenli\u011fi ihlal edilmi\u015f sayfalar\u0131 tan\u0131mlayabilirsiniz. Sadece google.com<\/a> adresini a\u00e7\u0131n ve web sitenizde \n Siteniz art\u0131k Google arama sonu\u00e7lar\u0131nda g\u00f6r\u00fcnm\u00fcyorsa, bu, Google’\u0131n hackleme sonucu sitenizdeki k\u00f6t\u00fc uygulamalar\u0131 zaten tespit etti\u011fi ve web y\u00f6neticisi kalite y\u00f6nergelerimizi<\/a> ihlal etmesi nedeniyle sitenizi ge\u00e7ici olarak dizinimizden kald\u0131rm\u0131\u015f olabilece\u011fi anlam\u0131na gelebilir.\n<\/p>\n \n Web sitenizdeki \u015f\u00fcpheli anahtar kelimelerin varl\u0131\u011f\u0131n\u0131 s\u00fcrekli olarak takip etmek i\u00e7in \n Sitenizdeki herhangi bir hackleme faaliyetini tespit etmek i\u00e7in Google’\u0131n Web Y\u00f6neticisi Ara\u00e7lar\u0131<\/a>‘n\u0131 da kullanabilirsiniz. Web Y\u00f6neticisi Ara\u00e7lar\u0131, siteniz i\u00e7in en iyi arama sorgular\u0131 hakk\u0131nda istatistikler sa\u011flar. Bu veriler, sitenizin \u015f\u00fcpheli, alakas\u0131z spam anahtar kelimeler i\u00e7in s\u0131ralan\u0131p s\u0131ralanmad\u0131\u011f\u0131n\u0131 izlemenize yard\u0131mc\u0131 olacakt\u0131r. ‘Googlebot ne g\u00f6r\u00fcyor’ verileri de yararl\u0131d\u0131r, \u00e7\u00fcnk\u00fc s\u0131ralan\u0131p s\u0131ralanmad\u0131\u011f\u0131n\u0131za bak\u0131lmaks\u0131z\u0131n Google’\u0131n sitenizde herhangi bir ola\u011fand\u0131\u015f\u0131 anahtar kelime tespit edip etmedi\u011fini g\u00f6rebilirsiniz.\n<\/p>\n \n Bir Web Y\u00f6neticisi Ara\u00e7lar\u0131 hesab\u0131n\u0131z varsa ve Google sitenizin hacklendi\u011fine inan\u0131yorsa, genellikle sitenizdeki istismar t\u00fcr\u00fcne g\u00f6re bilgilendirilirsiniz:\n<\/p>\n \n Siteniz hacklendi mi veya k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m m\u0131 sunuyor? \u00d6ncelikle k\u00f6t\u00fc ama\u00e7l\u0131 yaz\u0131l\u0131m sorununu temizleyin ve ard\u0131ndan a\u015fa\u011f\u0131dakilerden birini yap\u0131n:\n<\/p>\n'<\/code>) i\u015fareti, ge\u00e7erli bir SQL dize de\u011fi\u015fmezi olu\u015fturmak i\u00e7in iki tek t\u0131rnak (''<\/code>) ile de\u011fi\u015ftirilmelidir. Bunlar, bir sitenin g\u00fcvenli\u011fini art\u0131rmak ve SQL injection sald\u0131r\u0131lar\u0131n\u0131 \u00f6nlemek i\u00e7in alabilece\u011finiz en yayg\u0131n \u00f6nlemlerden sadece ikisidir. \u0130nternette ihtiya\u00e7lar\u0131n\u0131za (programlama dilleri, belirli web uygulamalar\u0131 vb.) uygun daha bir\u00e7ok \u00f6zel kaynak bulabilirsiniz.\n<\/p>\n\n
CMS g\u00fcvenli\u011fi hakk\u0131nda baz\u0131 kaynaklar<\/h2>\n
Sitenizin hacklendi\u011fini belirlemenin baz\u0131 yollar\u0131<\/h2>\n
site:<\/code> arama sorgusunu \u00e7al\u0131\u015ft\u0131rarak hackerlar\u0131n spam ama\u00e7l\u0131 yayg\u0131n olarak kulland\u0131\u011f\u0131 ticari anahtar kelimeleri (viagra, porn, mp3, kumar vb.) aray\u0131n: site:example.com viagra<\/code>. site:<\/code> arama operat\u00f6r\u00fcne hen\u00fcz a\u015fina de\u011filseniz, bu, araman\u0131z\u0131 belirli bir siteyle s\u0131n\u0131rlayarak Google’da sorgulama yapman\u0131n bir yoludur. \u00d6rne\u011fin, site:googleblog.blogspot.com<\/span><\/a> aramas\u0131 yaln\u0131zca Resmi Google Blogu<\/a>‘ndan sonu\u00e7lar d\u00f6nd\u00fcrecektir. Bu t\u00fcr bir sorguya spam i\u00e7erikli anahtar kelimeler ekledi\u011finizde, Google web sitenizin bu spam anahtar kelimeleri i\u00e7eren ve b\u00fcy\u00fck olas\u0131l\u0131kla hacklenmi\u015f olan t\u00fcm dizine eklenmi\u015f sayfalar\u0131n\u0131 d\u00f6nd\u00fcrecektir. Bu \u015f\u00fcpheli sayfalar\u0131 kontrol etmek i\u00e7in Google taraf\u0131ndan \u00f6nerilen \u00f6nbelle\u011fe al\u0131nm\u0131\u015f s\u00fcr\u00fcm\u00fc a\u00e7man\u0131z yeterlidir; b\u00f6ylece varsa hacklenmi\u015f davran\u0131\u015f\u0131 tespit edebilirsiniz. Daha sonra g\u00fcvenli\u011fi ihlal edilmi\u015f sayfalar\u0131n\u0131z\u0131 temizleyebilir ve sunucunuzun yap\u0131land\u0131rma dosyalar\u0131ndaki (\u00f6rne\u011fin Apache web sunucular\u0131nda: .htaccess<\/code> ve httpd.conf<\/code>) anormallikleri kontrol edebilirsiniz.\n<\/p>\nsite:example.com viagra OR casino OR porn OR ringtones<\/code> gibi sorgular\u0131 izlemek \u00fczere Google Uyar\u0131lar\u0131<\/a>‘n\u0131 da kullanabilirsiniz. Bu anahtar kelimeler sitenizin i\u00e7eri\u011finde her bulundu\u011funda bir e-posta uyar\u0131s\u0131 al\u0131rs\u0131n\u0131z.\n<\/p>\n\n
Hacklenmi\u015f davran\u0131\u015f kald\u0131r\u0131ld\u0131, \u015fimdi ne olacak?<\/h2>\n
\n