THT DUYURU

Web & Server Güvenliği Doğru web ve veritabanı sunucusu güvenliği sağlanmadan, bilgisayar korsanları hassas verilerinize erişebilir. Web, Sunucu ve veritabanı güvenliğini nasıl sağlayacağınızı buradan öğrenebilirsiniz.

Seçenekler

Web Uygulama'da Hack Yaparken Dikkat!!-Rolls

Rolls - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2017
Nereden:
Tekirdağ
Mesajlar:
400
Konular:
31
Teşekkür (Etti):
345
Teşekkür (Aldı):
107
Ticaret:
(0) %
11-02-2017 13:26
#1
Web Uygulama'da ve Hack Yaparken Dikkat!!-Rolls
Selam'un Aleykum
-------------------
THT Ailesi
--------------

↓↓↓↓↓↓↓↓↓

Web Güvenlik
“Web güvenliği ile ilgili bir kontrol listesi var mıdır?”. Aslında benim
tecrübelerim web güvenliğinin daha fazla sezgisel olduğu, bu yüzden kontrol listeleriyle
hareket edilen network güvenlik testlerine çok benzemediğidir. Tabi bazı durumlarda
benzerlikler de olacaktır.



↓↓↓↓↓↓↓↓↓

Hack'lerken Dikkat Edilmesi Gerekenler

1. Ne olursa olsun, bu bir anlı şanlı manken gibi bayan dahil olsa bilgisayar (bizim tabirde Hacker konusunda) yeteneklerinizden bahsetmeyin.




↓↓↓↓↓↓↓↓↓

2. Arkadaşlarınıza hava atayım diye veya egonuzu tatmin etmeye çalışmayın.




↓↓↓↓↓↓↓↓↓

3. Mail hacking ve bazı web sitelerini (özellikle free server’lar) hack’lerken atlanmaması gereken bir nokta var: Bilgilerin değiştirmek.



ÖRNEK
Acemi dönemlerde misyon gereği hack’lenmesi gereken bir free servers sitesine dalıyorsunuz, yalnız profil bilgilerini, adamın mail’ini değiştirmeden şifreyi değiştirmeye çalıştık. Dolayısıyla bu bilgi, IP numaramla birlikte hedefin mail adresine gitti (mail hack ile hack’lememişsin


(Temsilli)

↓↓↓↓↓↓↓↓↓

4. Yine de tüm bu “kontrol listesi yoktur” düşüncelerime rağmen, kabaca bir web güvenlik testi
kontrol listesi yazacak olursak, muhtemelen aşağıda belirteceğim başlıklar olacaktır.

1. SQL injection var mı?

2. XSS var mı?

3.İş mantığı problemi var mı?

Ozaman Güvenlik Açısından Bir Göz Atalım

1. SQL injection denetimi?

Bir çok kişinin ilk aklına gelecek olan ‘ (tek tınak) parametresini girdinin sonuna ekleyip
göndermesi ve eğer hata alıyorsa; “evet, burda SQL injection olabilir” demesidir. Gördüğünüz
gibi “olabilir” dedik. Dolayısıyla bu üç madde için ilk testlerimiz çoğunlukla 1-0 arasında bir
değer alacaktır. Ne kesin olarak “Vardır” diyebiliriz, ne de “Yoktur”. Bir diğer sıkıntı ise, evet
bir parametre için kontrol ettik ama ya diğer tüm parametreler için? Sanırım orta ölçekli bir
web uygulamasının binlerce girdi noktası olacaktır.





2. XSS var mı?

XSS denetimi için girdi yerine “<script> alert(1);</script>” yazdık ve karşılığında herhangi bir
karmaşıklık görmedik. Dolayısıyla “XSS vardır” demek güçtür. Fakat bu test ile “XSS yoktur”
demekte bir okadar güçtür. Dolayısıyla 1-0 arasındaki değer ile birlikte test parametresinin
doğruluğu hatta birden fazla test parametresinin gerekliliği söz konusu olacaktır. Yine SQL
injection da olduğu gibi, sadece bir parametre için değil, tüm bulunan parametreler için
geçerli bir test yapmak gerekecektir.




3. İş mantığı problemi var mı?


Çok genel bir terim olduğunu söyleyebilirim. Hatta bilinen açıklıkların %80`i bu açıklık altında
da kategorize edilebilir. Zira iş mantığı problemi, kişinin hatalı kodlamasından kaynaklanan
problemlerdir –ki XSS ve SQL injection da bu tür hatalı kodlamalardan kaynaklanmaktadır.
Testi diğerlerine göre çok daha zordur. Çünkü test için sabit bir parametresi yoktur. Bunun
yerine test yapılacak form/girdi v.s alanlarının hangi iş modeli için tasarlandığını bilmek ve
bunun aksi yönde hareketlerde bulunup, ortaya çıkabilecek açıklıkları raporlamaktır.
Dolayısıyla bunun için bir kontrol listesi oluşturmak zor.




Tüm bu söylemlerime rağmen yine de özellikle kullanılan metodun kontrolünü amaçlayan bir
kontrol listesi hazırlayalım. Tabi bu listeye farklı dillerin kendine özgü zaayifetleri de
eklenebilir. Fakat ilk aşama da hepsini listeleyemesekte, kabaca aşağıdakine benzer bir
listemiz olacaktır.

1. Login esnasında username ve password parametreleri HTTPS üzerinden gitmelidir.

2. COOKIE için de password, kullanıcı adı gibi her hangi bilgiler olmamalıdır kesinlikle.

3. Kullanılan şifre algoritması yeterince katı mı?

4. Kullanılan şifreler düzmetin olarak saklanmamalıdır. Bunun yerine şifreleme
fonksiyonlarının çıktıları tutulmalıdır asla sıkıntı yaşanmaz


5. Şifre güncelleme işlemlerinde kullanıcı doğruluğu birden fazla parametre ile
kontrol edilmelidir


6. Session bilgisini sadece COOKIE yardımıyla değil, IP ve zaman kontrolleri ile de
desteklemek gerekir.


7. Uygulama kullanıcısına hiç bir zaman hata rapor edilmemelidir. Bunun yerine hata
kodları gösterilmeli ve bu kodlar yardımıyla debug işlemleri yapılmalıdır.

vs. vs. araştırma yaparak birçok örnekler bulabilirsiniz

↓↓↓↓↓↓↓↓↓

4. Ve sonucusu olarak Hack’lediğiniz sitelerde nick’inizi biraz değiştirerek yazın.

"Niyeymiiiş?", "Biz tanınalım diye site hack’liyoz, sen gelmiş ne diyon!" nev’inden tepkiler vermeyin içinizden... Hele hele dışınızdan, hiç vermeyin... Yazdığınız nick sizi tanıyanlara, "bak, bizim xxx yapmış bunu, helâl olsun çocuğa" dedirtsin (eğer böyle bir takıntınız varsa, benim yok da ) ama sitesi haşin hacker’ımızın parmakları altında can veren (veya en azından yaralanan, sakat kalan) elemanlar google’da arama yaptıklarında o nick’te birisini bulamasınlar, veya başka birisini bulsunlar!!!...

Google’da, yapılan arama sonucu o kişinin nick’i çıkarsa, "profil görüntüle" şeklindeki bir hain link’in kurbanı olarak enselenebilirsiniz.


Yoksa sonunuz aşağıdaki gibi


Temsili




----------------------------------------------------------
--------------------------------------------------
----------------------------------------
-------------------------------
----------------------
Ne Mutlu Türkiye


Evet hepsi bugünlük bu kadar.


Okuduğunuz için kocaman teşekkür ediyorum


TURK HACK TEAM AİLESİNE
SELAMLAR

-Rolls-
Asistan/Stajyer

---------------------
• Bu dünyada herkes birçok şeyin cahilidir. Yeter ki kendi işinin cahili olmasın. •

Ϲ⋆
Konu Rolls tarafından (11-02-2017 15:45 Saat 15:45 ) değiştirilmiştir.
firehackturk Teşekkür etti.
SemihTR123 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2016
Nereden:
İstanbul
Mesajlar:
519
Konular:
60
Teşekkür (Etti):
14
Teşekkür (Aldı):
88
Ticaret:
(0) %
11-02-2017 13:36
#2
Eline sağlık yararlı
---------------------
''Yalan, Dünyadaki Bulabileceğin En Kötü Şeydir''


''Bu ister yalan söyleyip kırdığın kalp olsun ister yalanlarınla öldürdüğün bir insan olsun''



Solo-Türk
Rolls Teşekkür etti.
Rolls - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2017
Nereden:
Tekirdağ
Mesajlar:
400
Konular:
31
Teşekkür (Etti):
345
Teşekkür (Aldı):
107
Ticaret:
(0) %
11-02-2017 13:49
#3
Teşekkür ederim
Alıntı:
SemihTR123´isimli üyeden Alıntı Mesajı göster
Eline sağlık yararlı
Konunun devamı geldi. Yanlışlıkla konuyu aç butona tıkladığım için devam ettim tekrar okuyabilrsin
---------------------
• Bu dünyada herkes birçok şeyin cahilidir. Yeter ki kendi işinin cahili olmasın. •

Ϲ⋆
SoldieR 57 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
12/2015
Nereden:
ك*
Mesajlar:
912
Konular:
94
Teşekkür (Etti):
124
Teşekkür (Aldı):
145
Ticaret:
(0) %
11-02-2017 13:56
#4
Eline sağlık kardeşim
---------------------
☪ SoldieR 57 ☪
HANi OSMANLIYI BiLiRSiNiZYA BiZDE TORUNLARIYIZ.
YABANCI SiTE HACKLEMEYE , TÜRK SiTE UYARMAYA DEVAM...

Eski Turan Ordusu Üyesi
Rolls Teşekkür etti.
Rolls - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2017
Nereden:
Tekirdağ
Mesajlar:
400
Konular:
31
Teşekkür (Etti):
345
Teşekkür (Aldı):
107
Ticaret:
(0) %
11-02-2017 14:06
#5
Alıntı:
Sezer57´isimli üyeden Alıntı Mesajı göster
Eline sağlık kardeşim
Rica ederim okuduğunuz için ayrıca bende teşekkür ederim.
---------------------
• Bu dünyada herkes birçok şeyin cahilidir. Yeter ki kendi işinin cahili olmasın. •

Ϲ⋆
LifeOverview - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
09/2016
Nereden:
-
Mesajlar:
1.411
Konular:
161
Teşekkür (Etti):
474
Teşekkür (Aldı):
215
Ticaret:
(0) %
11-02-2017 14:51
#6
Elinize Sağlık
---------------------
.
Rolls Teşekkür etti.
MRDreAmsTR - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
12/2015
Nereden:
Türkiye
Mesajlar:
2.480
Konular:
158
Teşekkür (Etti):
295
Teşekkür (Aldı):
283
Ticaret:
(0) %
11-02-2017 15:01
#7
çok dogru e.s
Rolls - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
01/2017
Nereden:
Tekirdağ
Mesajlar:
400
Konular:
31
Teşekkür (Etti):
345
Teşekkür (Aldı):
107
Ticaret:
(0) %
11-02-2017 23:52
#8
Alıntı:
MRDreAmsTR´isimli üyeden Alıntı Mesajı göster
çok dogru e.s
Teşekkür ederim
---------------------
• Bu dünyada herkes birçok şeyin cahilidir. Yeter ki kendi işinin cahili olmasın. •

Ϲ⋆
versen5656 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
02/2015
Mesajlar:
3.317
Konular:
68
Teşekkür (Etti):
10
Teşekkür (Aldı):
358
Ticaret:
(0) %
25-02-2017 08:17
#9
xss scanner v.1 lınkı verırmısın hocam sana zahmet ben aradım bulamadım lazım
--------------------- 10101010101010100101010100000101010101
1111 0000 1111 000 111 000 11100 11111 00000 1111 0000 000111 188 177 191 178 185 184 186 187 192 193 190 178 179 175 176 194 195 196 197
101010101010101010100101

Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler