İPUCU

Siber Güvenlik Siber Güvenlik ile alakalı araçların kullanımı, bilgi paylaşımı ve siber güvenlik eğitimi ile ilgili kaynakların paylaşıldığı alanımızdır.

Seçenekler

Broken Authentication ve Session Management Nedir? // Xowly

Xowly - ait Kullanıcı Resmi (Avatar)
Junior Green Team
Üyelik tarihi:
06/2019
Nereden:
ғ˦
Mesajlar:
72
Konular:
15
Teşekkür (Etti):
50
Teşekkür (Aldı):
38
Ticaret:
(0) %
bir Hafta önce
#1
Broken Authentication ve Session Management Nedir? // Xowly
Broken Authentication

Saldırgan web uygulamalarında kimlik doğrulama ve oturum sağlamak amacı ile her kullanıcıya atanan "id değerleri" sayesinde sitede id değerinin sahibinin yetkileri ile gezinebilir.
Siteye erişim sağlayan her kullanıcıya bir değer atanır. Bu değerler sayesinde oluşabilen bu açık saldırganın sitede yetkiye erişmesine olanak sağlar.


Web uygulamasında oturum için geliştirilmiş fonksiyonların düzgün çalışmamasından veya düzgün geliştirilememesinden kaynaklanır.
Sitede şifre yenileme aşamasında eski şifrenin site tarafından kullanıcılardan talep edilmemesi sonucundan da oluşabilir.


Ayrıca mail ile hesabın aktivasyonunun yapılmasının münkün olmadığı sitelerde de ortaya çıkabilir. Session Yönetimi'nin yanlış yapılmasından dolayı da ortaya çıkabilir.
Bu saldırı türü Oturum Sabitleme(Session Fixation) ve Tahmin Edilebilir Oturum(Session Prediction) olarak ikiye de ayrılabilmektedir.



Konuda Geçen Başlıklar


• Broken Authentication Türleri
• Oturum Sabitleme (Session Fixation) Nedir?
• Tahmin Edilebilir Oturum (Session Prediction) Nedir?
• Zafiyetten Korunma Yöntemleri Nelerdir?


Broken Authentication Türleri


Oturum Sabitleme (Session Fixation) Nedir?


Bu saldırı türünde saldırgan kendisi kurbana bir id göndererek kurbanın o id ile giriş yapmasını bekler ve daha sonrasında
kurban da aynı id ile giriş yapar. Bu sayede kurbanın hesabına giriş yapmış olur. Kurbanla aynı id üzerinden giriş yaptığından dolayı bu olay oluşmaktadır.




• Saldırgan kişi erişim isteğinde bulunur, sistem normal olarak bireye kullanıcı ID'sini verir.

• Saldırgan Session ID’sini kurbana gönderir ve onun bağlantıya tıklamasını sağlar.

• Kurban bağlantıya/linke tıkladığında karşısına giriş ekranı gelir.

• Kurban saldırganın gönderdiği id ile giriş yapar. Saldırganda aynı şekilde giriş talebinde

bulunur ve bununla kurbanın hesabına erişim sağlamış olur.



Tahmin Edilebilir Oturum (Session Prediction) Nedir?


Bu saldırı tipinde servis üzerinden her kullanıcıya verilmiş bir ID bulunmaktadır. Eğer İD değerleri kullanıcılar arasında belli aralıklarla
artıyorsa bunun üzerinden tahmin yürüterek kurbanın hesabı ele geçirilir.



• Kullanıcıların İD değerlerinin değişme aralıkları tahmin edilir.
• Tahmin edilen İD ile oturum açma işlemi yapılır.
• Tahmin doğruysa kurbanın hesabı ele geçirilmiş olur.



Zafiyetten Korunma Yöntemleri Nelerdir?


• Cookieless session'ın devre dışı bırakılması

• Authentication yapımında ve geliştirilmesinde

düzgün ve güvenilir kaynaklarla yapılması

• IP Kontrolü yapılması

• Şifre değiştirme, kayıt olma gibi işlemlerde zafiyet

çıkarabilecek durumların kaldırılması; güvenli hale getirilmesi

• SSL Sertifikası'nı kullanmak

• Cookie Güvenliği'nin arttırılması

• Şifre değiştirme ve oluşturma işlemlerinde "Email Doğrulaması"

kullanılması, şifre değiştirme/yenileme işlemlerinde eski şifrenin sorulması

• Gizli soru / Secret Question değiştirme veya yenileme işlemlerinde

güvenlik kontrol edici önlemler olması

• Tüm bilgilerin düzenli aralıklarla düzenli bir biçimde loglanması

• Http den Https'ye yönlendirme bulunması

• session expire süresinin olabildiğince kısa sürede olmasını sağlamak

• SSL Sertifikası'nın sitenin tümünde kullanılması

• Tüm cookielerin ayrı ayrı setlenmesi
---------------------
Şimdi git ve yok et, Akame!


porsukhak, InSpy, "P4RS Teşekkür etti.
megat - ait Kullanıcı Resmi (Avatar)
Stajyer Moderatör
Üyelik tarihi:
02/2016
Nereden:
İstanbul
Mesajlar:
3.106
Konular:
311
Teşekkür (Etti):
854
Teşekkür (Aldı):
671
Ticaret:
(0) %
bir Hafta önce
#2
Cevap: Broken Authentication ve Session Management Nedir? // Xowly
Konunun daha derinlemesine anlatıldığı bir konu gelecek mi ? içerik gayet dolgun gözüküyor .
---------------------
TurkHackTeam.org/net
Xowly - ait Kullanıcı Resmi (Avatar)
Junior Green Team
Üyelik tarihi:
06/2019
Nereden:
ғ˦
Mesajlar:
72
Konular:
15
Teşekkür (Etti):
50
Teşekkür (Aldı):
38
Ticaret:
(0) %
bir Hafta önce
#3
Cevap: Broken Authentication ve Session Management Nedir? // Xowly
Alıntı:
megat´isimli üyeden Alıntı Mesajı göster
Konunun daha derinlemesine anlatıldığı bir konu gelecek mi ? içerik gayet dolgun gözüküyor .
Elimden geldiğince derinlemesine anlattım, daha fazla kaçırdığım bir şey olduysa olabilir. Teşekkür ederim
---------------------
Şimdi git ve yok et, Akame!


megat - ait Kullanıcı Resmi (Avatar)
Stajyer Moderatör
Üyelik tarihi:
02/2016
Nereden:
İstanbul
Mesajlar:
3.106
Konular:
311
Teşekkür (Etti):
854
Teşekkür (Aldı):
671
Ticaret:
(0) %
bir Hafta önce
#4
Cevap: Broken Authentication ve Session Management Nedir? // Xowly
Alıntı:
Xowly´isimli üyeden Alıntı Mesajı göster
Elimden geldiğince derinlemesine anlattım, daha fazla kaçırdığım bir şey olduysa olabilir. Teşekkür ederim
Konuyu anlamamda sıkıntı olmadı lakin nasıl yapılabileceğine dair biraz daha detay iyi olabilir.
---------------------
TurkHackTeam.org/net
Xowly - ait Kullanıcı Resmi (Avatar)
Junior Green Team
Üyelik tarihi:
06/2019
Nereden:
ғ˦
Mesajlar:
72
Konular:
15
Teşekkür (Etti):
50
Teşekkür (Aldı):
38
Ticaret:
(0) %
bir Hafta önce
#5
Cevap: Broken Authentication ve Session Management Nedir? // Xowly
Alıntı:
megat´isimli üyeden Alıntı Mesajı göster
Konuyu anlamamda sıkıntı olmadı lakin nasıl yapılabileceğine dair biraz daha detay iyi olabilir.
Haklısınız. Açtığım konu ile ilgili türkçe kaynak diğerlerine göre az bundan dolayı detaylı yapmaya çalıştım. Ama yinede anlamadığınız kısım olduysa lütfen özel mesaj olarak yazın elimden geldiğince yardımcı olmaya çalışırım. Değerlendirmeniz için teşekkür ederim.
---------------------
Şimdi git ve yok et, Akame!


Konu Xowly tarafından (bir Hafta önce Saat 21:55 ) değiştirilmiştir.

Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler

Yetkileriniz
Sizin Yeni Konu Acma Yetkiniz var yok
You may not post replies
Sizin eklenti yükleme yetkiniz yok
You may not edit your posts

BB code is Açık
Smileler Açık
[IMG] Kodları Açık
HTML-Kodları Kapalı
Trackbacks are Kapalı
Pingbacks are Kapalı
Refbacks are Kapalı