oylg2013 web uygulamalari sizmatesti

Web Uygulama Sızma Testleri

Proactive Defense Against Future Threats

Hakkımda

• Mehmet Dursun Ince

• Uygulama Güvenliği ve Sızma Testleri alanında çalışmalar gerçekleştirmekte.

• [email protected]• twitter.com/mmetince

mailto:[email protected]



Web Uygulama Güvenlik Testleri Nasıl Yapılır ?

Black Box PentestWhite Box Pentest



Güvenlik Açıkları Nasıl Oluşur ?

1.Mühendislik Hataları ?2.Programlama Diline Hakimiyet ?

3.İşletim Sistemine Hakimiyet ?4.Framework’e Güvenmek ?5.Unutkanlık



TOP #10 VulnerabilityA1-Injection

A2-Cross Site Scripting (XSS)

A3-Broken Authentication and Session Management

A4-Insecure Direct Object References

A5-Cross Site Request Forgery (CSRF)

A6-Security Misconfiguration

A7-Insecure Cryptographic Storage

A8-Failure to Restrict URL Access

A9-Insufficient Transport Layer Protection

A10-Unvalidated Redirects and Forwards



Örnek Web Mimarisi - 1

IIS /Apache

DB-1

DB-2



Örnek Web Mimarisi - 2

DB-1

DB-2

IIS /Apache

IIS /Apache

IIS /Apache

Load Balancer



DB-1

DB-2

IIS /Apache

IIS /Apache

IIS /Apache

Load Balancer

Web Services



HTTP Requestleri Nasıl Değiştirilir ?

• Web uygulama güvenlik testleri, hedef web sitesine giden HTTP taleplerinin analizi/değiştirilmesi ile gerçekleştirilir.

• Firefox –Live HTTP headers–Tamper Data–Hackbar

• Burp Suite



INPUT



Web Uygulamalarında SQL Injection



Web Uygulamalarında SQL Injection

• Kullanıcı girdisi :– Kisaad = ahmet– Parola = 123456

• Hacker girdisi :– Kisaad = hacker or 1=1– Parola = hacker or 1=1



Web Uygulamalarında Output Encoding

DATABASE

Online T-Shirt Sipariş

Sipariş Takip Modülü

Kullanıcıdan gelen datalar veri tabanı sistemi üzerinde tutulmaktadır. Bu datalar farklı modüllerde kullanılmaktadır.

Örnek Senaryo : Alış veriş sitesinden t-shirt siparişi veren kullanıcılar, t-shirt’in üstüne yazılacak yazıya karar verebilmektedirler. Bu bilgi kullanıcıdan

alınarak veri tabanında tutulur. Ardından Sipariş Takip Modül’ü ile şirket çalışanlarına iletilir.



Web Uygulamalarında İzinler

www.gsmsirketi.com/faturalar/fatura_liste

SELECT fatura_id,fatura_ay FROM Faturalar WHERE fatura_uid= 1

www.gsmsirketi.com/faturalar/fatura_id/18234

SELECT * FROM Fatura_detay WHERE fatura_id = 18234

http://www.gsmsirketi.com/faturalar/fatura_liste

http://www.gsmsirketi.com/faturalar/fatura_id/18234



CSRF



Web Uygulamalarında Oturumlar



UYGULAMA

SQL Injection



UYGULAMA

Stored XSS



UYGULAMA

PHP Object Injection

oylg2013 web uygulamalari sizmatesti

Technology