{"id":24541,"date":"2011-05-12T00:00:00","date_gmt":"2011-05-12T00:00:00","guid":{"rendered":"https:\/\/alienroad.com\/google-bilgi-bankasi\/website-security-for-webmasters\/"},"modified":"2011-05-12T00:00:00","modified_gmt":"2011-05-12T00:00:00","slug":"website-security-for-webmasters","status":"publish","type":"ar_kb","link":"https:\/\/alienroad.com\/google-bilgi-bankasi\/website-security-for-webmasters\/","title":{"rendered":"Web Y\u00f6neticileri i\u00e7in Web Sitesi G\u00fcvenli\u011fi"},"content":{"rendered":"

12 May\u0131s 2011, Per\u015fembe<\/p>\n

\n Kullan\u0131c\u0131lara, geli\u015fmi\u015f antivir\u00fcs yaz\u0131l\u0131mlar\u0131 y\u00fckleyerek kendilerini k\u00f6t\u00fc ama\u00e7l\u0131 programlardan korumalar\u0131 \u00f6\u011fretilir; ancak kullan\u0131c\u0131lar genellikle \u00f6zel bilgilerini sizin gibi web sitelerine de emanet edebilirler, bu durumda verilerini korumak b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. Kendi verilerinizi korumak da olduk\u00e7a \u00f6nemlidir; e\u011fer bir \u00e7evrimi\u00e7i ma\u011fazan\u0131z varsa, soyulmak istemezsiniz.\n<\/p>\n

\n Y\u0131llar i\u00e7inde \u015firketler ve web y\u00f6neticileri, web uygulamas\u0131 g\u00fcvenli\u011finin bir \u015faka olmad\u0131\u011f\u0131n\u0131 (\u00e7o\u011fu zaman ac\u0131 bir \u015fekilde) \u00f6\u011frendiler; SQL injection<\/a> sald\u0131r\u0131lar\u0131 nedeniyle s\u0131zd\u0131r\u0131lan kullan\u0131c\u0131 \u015fifrelerine, XSS<\/a> ile \u00e7al\u0131nan \u00e7erezlere ve ihmalkar girdi do\u011frulama nedeniyle hackerlar taraf\u0131ndan ele ge\u00e7irilen web sitelerine \u015fahit olduk.\n<\/p>\n

\"a<\/p>\n

\n Bug\u00fcn, bir web uygulamas\u0131n\u0131n nas\u0131l istismar edilebilece\u011fine dair baz\u0131 \u00f6rnekler g\u00f6sterece\u011fiz, b\u00f6ylece bunlardan ders \u00e7\u0131karabilirsiniz; bunun i\u00e7in kendi i\u00e7 g\u00fcvenlik e\u011fitimlerimizde de kulland\u0131\u011f\u0131m\u0131z, kas\u0131tl\u0131 olarak savunmas\u0131z b\u0131rak\u0131lm\u0131\u015f bir uygulama olan Gruyere<\/a>‘yi kullanaca\u011f\u0131z. \u0130zin almadan ba\u015fkalar\u0131n\u0131n web sitelerinde g\u00fcvenlik a\u00e7\u0131\u011f\u0131 aramay\u0131n<\/strong>, \u00e7\u00fcnk\u00fc bu hackleme olarak alg\u0131lanabilir; ancak Gruyere \u00fczerinde testler yapman\u0131zdan memnuniyet duyar\u0131z, hatta sizi buna te\u015fvik ederiz.\n<\/p>\n

\u0130stemci durumu manip\u00fclasyonu – URL’yi de\u011fi\u015ftirirsem ne olur?<\/h2>\n

\n Diyelim ki bir resim bar\u0131nd\u0131rma siteniz var ve kullan\u0131c\u0131lar\u0131n y\u00fckledi\u011fi resimleri g\u00f6r\u00fcnt\u00fclemek i\u00e7in bir PHP beti\u011fi kullan\u0131yorsunuz:\n<\/p>\n

<\/div>\n

\n Peki, URL’yi \u015fu \u015fekilde de\u011fi\u015ftirirsem ve userpasswords.txt ger\u00e7ek bir dosyaysa uygulama ne yapacak?\n<\/p>\n

<\/div>\n

userpasswords.txt dosyas\u0131n\u0131n i\u00e7eri\u011fini alabilir miyim?<\/p>\n

\n \u0130stemci durumu manip\u00fclasyonuna bir ba\u015fka \u00f6rnek de form alanlar\u0131n\u0131n do\u011frulanmad\u0131\u011f\u0131 durumlard\u0131r. \u00d6rne\u011fin, \u015fu forma sahip oldu\u011funuzu varsayal\u0131m:\n<\/p>\n

<\/p>\n

\n G\u00f6r\u00fcn\u00fc\u015fe g\u00f6re g\u00f6nderen ki\u015finin kullan\u0131c\u0131 ad\u0131 gizli bir giri\u015f alan\u0131nda saklan\u0131yor. Harika! Bu, o alan\u0131n de\u011ferini ba\u015fka bir kullan\u0131c\u0131 ad\u0131yla de\u011fi\u015ftirirsem, formu o kullan\u0131c\u0131ym\u0131\u015f gibi g\u00f6nderebilece\u011fim anlam\u0131na m\u0131 geliyor? Bu pekala ger\u00e7ekle\u015febilir; kullan\u0131c\u0131 girdisi g\u00f6r\u00fcn\u00fc\u015fe g\u00f6re sunucuda do\u011frulanabilecek bir token gibi bir y\u00f6ntemle kimlik do\u011frulamas\u0131na tabi tutulmuyor.\n<\/p>\n

\n Bu formun al\u0131\u015fveri\u015f sepetinizin bir par\u00e7as\u0131 oldu\u011funu ve 1000 dolarl\u0131k bir \u00fcr\u00fcn\u00fcn fiyat\u0131n\u0131 1 dolar olarak de\u011fi\u015ftirip sipari\u015fi verdi\u011fimi hayal edin.\n<\/p>\n

\n Uygulaman\u0131z\u0131 bu t\u00fcr sald\u0131r\u0131lara kar\u015f\u0131 korumak kolay de\u011fildir; uygulaman\u0131z\u0131 nas\u0131l savunaca\u011f\u0131n\u0131za dair birka\u00e7 ipucu \u00f6\u011frenmek i\u00e7in Gruyere<\/a>‘nin \u00fc\u00e7\u00fcnc\u00fc b\u00f6l\u00fcm\u00fcne bir g\u00f6z at\u0131n.\n<\/p>\n

Siteler aras\u0131 betik \u00e7al\u0131\u015ft\u0131rma (XSS) – Kullan\u0131c\u0131 girdisine g\u00fcvenilemez<\/h2>\n

\"An<\/p>\n

Basit, zarars\u0131z bir URL:<\/p>\n

<\/div>\n

\n Peki ger\u00e7ekten zarars\u0131z m\u0131? E\u011fer y\u00fczde kodlamal\u0131<\/a> karakterlerin kodunu \u00e7\u00f6zersem \u015funlar\u0131 elde ederim:\n<\/p>\n

<\/div>\n

\n Gruyere, \u00f6zel hata sayfalar\u0131na<\/a> sahip bir\u00e7ok site gibi, yol bile\u015fenini HTML sayfas\u0131na dahil edecek \u015fekilde tasarlanm\u0131\u015ft\u0131r. Bu durum, kullan\u0131c\u0131 girdisini do\u011frudan web uygulamas\u0131n\u0131n olu\u015fturulan HTML sayfas\u0131na dahil etti\u011fi i\u00e7in XSS gibi g\u00fcvenlik hatalar\u0131na yol a\u00e7abilir. “Sadece bir uyar\u0131 kutusu, ne olmu\u015f yani?” diyebilirsiniz. Mesele \u015fu ki, e\u011fer bir uyar\u0131 kutusu enjekte edebiliyorsam, b\u00fcy\u00fck ihtimalle ba\u015fka bir \u015fey de enjekte edebilirim ve belki de sitenize sizin ad\u0131n\u0131za giri\u015f yapmak i\u00e7in kullanabilece\u011fim \u00e7erezlerinizi \u00e7alabilirim.\n<\/p>\n

\n Bir ba\u015fka \u00f6rnek de saklanan kullan\u0131c\u0131 girdisinin temizlenmedi\u011fi durumdur. Diyelim ki blogunuza bir yorum yaz\u0131yorum; yorum basit:<\/p>\n

<\/div>\n

E\u011fer di\u011fer kullan\u0131c\u0131lar masum g\u00f6r\u00fcnen ba\u011flant\u0131ma t\u0131klarsa, \u00e7erezlerini ele ge\u00e7irmi\u015f olurum:<\/p>\n

\"An<\/p>\n

\n Kendi web uygulaman\u0131zda XSS a\u00e7\u0131klar\u0131n\u0131 nas\u0131l bulaca\u011f\u0131n\u0131z\u0131 ve bunlar\u0131 nas\u0131l d\u00fczeltece\u011finizi Gruyere<\/a>‘nin ikinci b\u00f6l\u00fcm\u00fcnde \u00f6\u011frenebilirsiniz; veya ileri d\u00fczey bir geli\u015ftiriciyseniz, Online Security blogumuzda<\/a> hakk\u0131nda yazd\u0131\u011f\u0131m\u0131z \u015fablon sistemlerindeki otomatik ka\u00e7\u0131\u015f \u00f6zelliklerine bir g\u00f6z at\u0131n.\n<\/p>\n

Siteler aras\u0131 istek sahtecili\u011fi (XSRF) – evil.com’dan gelen isteklere g\u00fcvenmeli miyim?<\/p>\n

\"An<\/p>\n

\n Hata, bozuk bir resim. Tehlikeli olamaz—sonu\u00e7ta bozuk—bu da resmin URL’sinin 404<\/code> d\u00f6nd\u00fcrd\u00fc\u011f\u00fc veya sadece hatal\u0131 bi\u00e7imlendirildi\u011fi anlam\u0131na gelir. Bu her durumda do\u011fru mudur?\n<\/p>\n

\n Hay\u0131r, de\u011fil! \u0130\u00e7erik t\u00fcr\u00fcne bak\u0131lmaks\u0131z\u0131n herhangi bir URL’yi resim kayna\u011f\u0131 olarak belirtebilirsiniz. Bu bir HTML sayfas\u0131, bir JavaScript dosyas\u0131 veya ba\u015fka bir potansiyel olarak k\u00f6t\u00fc ama\u00e7l\u0131 kaynak olabilir. Bu durumda resim kayna\u011f\u0131 basit bir sayfan\u0131n URL’siydi:\n<\/p>\n

\"The<\/p>\n

\n Bu sayfa yaln\u0131zca giri\u015f yapm\u0131\u015fsam ve baz\u0131 \u00e7erezlerim ayarlanm\u0131\u015fsa \u00e7al\u0131\u015facakt\u0131r. Uygulamaya ger\u00e7ekten giri\u015f yapm\u0131\u015f oldu\u011fum i\u00e7in, taray\u0131c\u0131 resim kayna\u011f\u0131 URL’sine eri\u015ferek resmi getirmeye \u00e7al\u0131\u015ft\u0131\u011f\u0131nda, ilk kod par\u00e7am\u0131 da sildi. Bu kula\u011fa \u00e7ok tehlikeli gelmiyor, ancak uygulamaya biraz a\u015finaysam, bir kullan\u0131c\u0131n\u0131n profilini silen veya y\u00f6neticilerin di\u011fer kullan\u0131c\u0131lar i\u00e7in izin vermesini sa\u011flayan bir URL’yi de tetikleyebilirim.\n<\/p>\n

\n Uygulaman\u0131z\u0131 XSRF’ye kar\u015f\u0131 korumak i\u00e7in durum de\u011fi\u015ftiren eylemlerin GET<\/code> arac\u0131l\u0131\u011f\u0131yla \u00e7a\u011fr\u0131lmas\u0131na izin vermemelisiniz; POST<\/code> y\u00f6ntemi bu t\u00fcr durum de\u011fi\u015ftiren istekler i\u00e7in icat edilmi\u015ftir. Sadece bu de\u011fi\u015fiklik bile yukar\u0131daki sald\u0131r\u0131y\u0131 hafifletmi\u015f olabilir, ancak genellikle bu yeterli de\u011fildir ve XSRF’yi \u00f6nlemek i\u00e7in t\u00fcm durum de\u011fi\u015ftiren isteklere tahmin edilemez bir de\u011fer eklemeniz gerekir. XSRF hakk\u0131nda daha fazla bilgi edinmek istiyorsan\u0131z l\u00fctfen Gruyere<\/a>‘ye gidin.\n<\/p>\n

Siteler aras\u0131 betik dahil etme (XSSI) – T\u00fcm betikleriniz bize aittir<\/h2>\n

\n G\u00fcn\u00fcm\u00fczde bir\u00e7ok site, JSON verisi d\u00f6nd\u00fcren asenkron JavaScript istekleri arac\u0131l\u0131\u011f\u0131yla bir sayfan\u0131n i\u00e7eri\u011fini dinamik olarak g\u00fcncelleyebilir. Bazen JSON hassas veriler i\u00e7erebilir ve do\u011fru \u00f6nlemler al\u0131nmazsa, bir sald\u0131rgan\u0131n bu hassas bilgileri \u00e7almas\u0131 m\u00fcmk\u00fcn olabilir.\n<\/p>\n

\n \u015eu senaryoyu hayal edelim: Standart bir HTML sayfas\u0131 olu\u015fturdum ve size ba\u011flant\u0131y\u0131 g\u00f6nderdim; bana g\u00fcvendi\u011finiz i\u00e7in g\u00f6nderdi\u011fim ba\u011flant\u0131y\u0131 ziyaret ediyorsunuz. Sayfa sadece birka\u00e7 sat\u0131r i\u00e7eriyor:\n<\/p>\n

<\/div>\n

\n Gruyere’ye giri\u015f yapt\u0131\u011f\u0131n\u0131z ve \u00f6zel bir kod par\u00e7ac\u0131\u011f\u0131n\u0131z oldu\u011fu i\u00e7in, sayfamda size kod par\u00e7ac\u0131\u011f\u0131n\u0131z\u0131n i\u00e7eri\u011fi hakk\u0131nda bilgi veren bir uyar\u0131 kutusu g\u00f6receksiniz. Her zaman oldu\u011fu gibi, bir uyar\u0131 kutusunu tetiklemeyi ba\u015fard\u0131ysam, istedi\u011fim her \u015feyi yapabilirim; bu durumda basit bir kod par\u00e7ac\u0131\u011f\u0131yd\u0131, ancak en b\u00fcy\u00fck s\u0131rr\u0131n\u0131z da olabilirdi.\n<\/p>\n

\n Uygulaman\u0131z\u0131 XSSI’ye kar\u015f\u0131 savunmak \u00e7ok zor de\u011fildir, ancak yine de dikkatli bir d\u00fc\u015f\u00fcnce gerektirir. XSRF b\u00f6l\u00fcm\u00fcnde a\u00e7\u0131kland\u0131\u011f\u0131 gibi token kullanabilir, beti\u011finizi yaln\u0131zca POST isteklerine yan\u0131t verecek \u015fekilde ayarlayabilir veya beti\u011fin \u00e7al\u0131\u015ft\u0131r\u0131labilir olmad\u0131\u011f\u0131ndan emin olmak i\u00e7in JSON yan\u0131t\u0131n\u0131 ‘n’ ile ba\u015flatabilirsiniz.\n<\/p>\n

SQL Injection – Hala kullan\u0131c\u0131 girdisinin g\u00fcvenli oldu\u011funu mu d\u00fc\u015f\u00fcn\u00fcyorsunuz?<\/h2>\n

\n Uygulaman\u0131za JohnDoe'; DROP TABLE members;--<\/code> gibi bir kullan\u0131c\u0131 ad\u0131yla giri\u015f yapmaya \u00e7al\u0131\u015f\u0131rsam ne olur?\n<\/p>\n

\n Bu \u00f6zel \u00f6rnek kullan\u0131c\u0131 verilerini a\u00e7\u0131\u011fa \u00e7\u0131karmasa da, uygulaman\u0131z\u0131n \u00fcyeler hakk\u0131ndaki bilgileri saklad\u0131\u011f\u0131 SQL tablosunu tamamen silme potansiyeline sahip oldu\u011fu i\u00e7in b\u00fcy\u00fck ba\u015f a\u011fr\u0131lar\u0131na neden olabilir.\n<\/p>\n

\n Genel olarak, uygulaman\u0131z\u0131 proaktif d\u00fc\u015f\u00fcnme ve girdi do\u011frulama ile SQL injection’dan koruyabilirsiniz. \u0130lk olarak, SQL kullan\u0131c\u0131s\u0131n\u0131n DROP TABLE members<\/code> komutunu y\u00fcr\u00fctme iznine sahip olmas\u0131 gerekti\u011finden emin misiniz? Sadece SELECT<\/code> haklar\u0131 vermek yeterli olmaz m\u0131yd\u0131? SQL kullan\u0131c\u0131s\u0131n\u0131n izinlerini dikkatlice ayarlayarak ac\u0131 verici deneyimlerden ve bir\u00e7ok sorundan ka\u00e7\u0131nabilirsiniz. Ayr\u0131ca hata raporlamay\u0131, ba\u015far\u0131s\u0131z bir sorgu durumunda veritaban\u0131n\u0131n ve tablolar\u0131n\u0131n isimleri a\u00e7\u0131\u011fa \u00e7\u0131kmayacak \u015fekilde yap\u0131land\u0131rmak isteyebilirsiniz.\n<\/p>\n

\n \u0130kinci olarak, XSS vakas\u0131nda \u00f6\u011frendi\u011fimiz gibi, kullan\u0131c\u0131 girdisine asla g\u00fcvenmeyin: size giri\u015f formu gibi g\u00f6r\u00fcnen \u015fey, bir sald\u0131rgana potansiyel bir kap\u0131 gibi g\u00f6r\u00fcn\u00fcr. Veritaban\u0131nda saklanacak girdileri her zaman temizleyin ve t\u0131rnak i\u015faretlerini g\u00fcvenli hale getirin; m\u00fcmk\u00fcn oldu\u011funda \u00e7o\u011fu veritaban\u0131 programlama aray\u00fcz\u00fcnde bulunan haz\u0131rlanm\u0131\u015f veya parametreli ifadeler olarak adland\u0131r\u0131lan ifadeleri kullan\u0131n.\n<\/p>\n

\n Web uygulamalar\u0131n\u0131n nas\u0131l istismar edilebilece\u011fini bilmek, onlar\u0131 nas\u0131l savunaca\u011f\u0131n\u0131z\u0131 anlaman\u0131n ilk ad\u0131m\u0131d\u0131r. Bu \u0131\u015f\u0131kta, sizi Gruyere kursunu<\/a> almaya, Google Code University<\/a>‘den di\u011fer web g\u00fcvenli\u011fi kurslar\u0131n\u0131 almaya ve otomatik bir web uygulamas\u0131 g\u00fcvenlik testi arac\u0131 ar\u0131yorsan\u0131z skipfish<\/a>‘e g\u00f6z atmaya te\u015fvik ediyoruz. Daha fazla sorunuz varsa l\u00fctfen bunlar\u0131 Web Y\u00f6neticisi Yard\u0131m Forumumuzda<\/a> payla\u015f\u0131n.\n<\/p>\n

\n Yazan:
\n Gary Illyes<\/a>, Web Y\u00f6neticisi Trendleri Analisti<\/p>\n","protected":false},"excerpt":{"rendered":"

12 May\u0131s 2011, Per\u015fembe Kullan\u0131c\u0131lara, geli\u015fmi\u015f antivir\u00fcs yaz\u0131l\u0131mlar\u0131 y\u00fckleyerek kendilerini k\u00f6t\u00fc ama\u00e7l\u0131 programlardan korumalar\u0131 \u00f6\u011fretilir; ancak kullan\u0131c\u0131lar genellikle \u00f6zel bilgilerini sizin gibi web sitelerine de emanet edebilirler, bu durumda verilerini korumak b\u00fcy\u00fck \u00f6nem ta\u015f\u0131r. Kendi verilerinizi korumak da olduk\u00e7a \u00f6nemlidir; e\u011fer bir \u00e7evrimi\u00e7i ma\u011fazan\u0131z varsa, soyulmak istemezsiniz. Y\u0131llar i\u00e7inde \u015firketler ve web y\u00f6neticileri, web uygulamas\u0131 […]<\/p>\n","protected":false},"menu_order":84894,"template":"","meta":{"footnotes":""},"ar_kb_kategori":[665],"ar_kb_etiket":[],"class_list":["post-24541","ar_kb","type-ar_kb","status-publish","has-post-thumbnail","hentry","ar_kb_kategori-blog"],"_links":{"self":[{"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/ar_kb\/24541","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/ar_kb"}],"about":[{"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/types\/ar_kb"}],"version-history":[{"count":0,"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/ar_kb\/24541\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/media\/26869"}],"wp:attachment":[{"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/media?parent=24541"}],"wp:term":[{"taxonomy":"ar_kb_kategori","embeddable":true,"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/ar_kb_kategori?post=24541"},{"taxonomy":"ar_kb_etiket","embeddable":true,"href":"https:\/\/alienroad.com\/wp-json\/wp\/v2\/ar_kb_etiket?post=24541"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}