1 Dokuz Eylül Üniversitesi Bilgi İşlem Dairesi Sunum konusu: Web Güvenliği
2 Web Güvenliği Bugün Türkiye'de önemli kurumların bilgi güvenliği ile ilgili zayıflıkları bulunduğunu görüyoruz. Bilginin güvensiz bir şekilde internet ortamında yayınlanmasının çok ağır sonuçları olabilir. Özlük bilgilerinin, banka hesaplarının, öğrenci notlarının, ticari sırların, e-postaların güvenliği önemli ve oldukça hassas bir konudur.
3 Zayıflık nedenlerini sınıflandıralım 1. Kullanıcı taraflı zaafiyetler 2. Ağ yönetimi ile ilgili zaafiyetler 3. Uygulama ile ilgili zaafiyetler 4. Sistem Yönetimi ile ilgili zaafiyetler Genel olarak yapılan hataları bu şekilde sınıflandırabiliriz. Bu sınıflandırmaya ekleme ve çıkarmalar yapılabilir. Daha çok uygulama ve sistem yönetimi ile ilgili hatalar üzerinde duracağız. Sıraladığımız tüm hatalar birbiri ile içiçedir. Zaman kazanma ve bütünlük sağlama açısından uygulama ve sistem yönetimi ile ilgili zayıflıkları birarada ele alacağız.
4 Kullanıcı taraflı zaafiyetler Kullanıcı tarafından tercih edilen işletim sisteminin doğru şekilde yönetilememesi sonucunda zararlı yazılımlarla şifre çalınması, oturum bilgilerinin çalınması (trojan, keylogger, spy gibi...). Belirlenen zayıf şifreler (12345, admin, nimda, 11111, gibi). Aynı şifrenin heryerde kullanılması. Phishing (Sahte formlar).. Bugün oneway function yöntemi ile şifrelenmiş geri döndürülemeyeceği zannedilen hash'ler "rainbow table" olarak isimlendirilen tablo yapısı üzerinde çalıştırılan çapraz sorgularla kırılabilmektedir. Bence bu noktada yapılan en kritik hata, zayıf parola seçimleridir.
5 Ağ Yönetimi ile ilgili zaafiyetler Ağ trafiğinin dinlenmesi, paketlerin analiz edilmesi... Arp spoofing, Man-in-the-middle yöntemi gibi.. Bu yöntemlerle http, pop3 gibi protokoller ile gönderilen paketler yakalanabilir...
6 Uygulama ve sistem yönetimi ile ilgili zaafiyetler Web uygulamalarından bahsedildiğinde farklı kategoride, kullanılan çok sayıda programlama ve veritabanı alternatifi akla gelmektedir. Perl, Python, Java, PHP, ASP, PostgreSQL, MSSQL, MySQL, Oracle gibi. Genel olarak benzer mantık hatalarının yapıldığını görüyoruz. Örneklerde PHP programlama dilinden ve MySQL ilişkisel veritabanı yazılımından faydalanılmıştır. Web güvenliği gibi geniş bir konuyu sıraladığımız teknolojilerle sınırlandırmak elbette mümkün değildir.
7 XSS Cross Site Scripting nedir? Alınan girdilerin süzgeçten geçirilmeden kullanılması sonucu, saldırgan zararlı içeriklerle programın çalışma şeklini istenmeyen etkiler doğuracak şekilde değiştirebilir. Örnek senaryo: e-posta web arabirimi gelen e-posta'daki bilgileri süzgeçten getirmeden ekrana basmaktadır.
8 Directory Traversal nedir? Kısaca izin verilmeyen dizinlere erişim sağlanması olarak özetlenebilir. Örneğin; apache - php konfigurasyonu yaparken virtual hostlarınızda openbasedir tanımlaması yapmazsanız istenmeyen dizinlerdeki dosyalar için file inclusion sorunu yaşayabilirsiniz. İstenmeyen dizinlerdeki dosyalarınız okunabilir, dizinlerinize dosya yazılabilir. show_source, include, require, system, shell_exec, passthru, exec gibi fonksiyonlar ile directory traversal zayıflıklarından faydalanabilirsiniz.
9 File Inclusion LFI - RFI Local file inclusion ve remote file inclusion olarak iki taraflı düşünülmelidir. <? include($_get[ page ]);?> GET /?page=/etc/passwd gibi uzaktaki veya yerel bir dosyanın uygulamaya dahil edilmesi söz konusu olabilir.
10 Arbitrary file upload Dosya yüklemelerinde yapılan uzantı kontrol hataları akla gelmelidir. Sunucuya çalıştırılabilir, yorumlanabilir dosya yüklenmesi sonucu, sunucunuza sağlanabilecek erişimler ile sisteminiz ele geçirilebilir. CGI, PHP, ASP, PY gibi yorumlanan, çalıştırılabilir dosyaların yüklenmesi engellenmelidir.
11 Command Injection nedir? Php programlama dili ile system, shell_exec, passthru, exec gibi fonksiyonlar kullanılarak sistem komutları çalıştırılabilir. Yine asp 'ler için fso (File System Object) ve diğer programlama dillerinde de benzer fonksiyon, methot veya sınıflar mevcuttur.
12 SQL Injection nedir? Veritabanı destekli uygulamalarda girişlerin süzgeçten geçirilmemesi; sonrasında, sql komutları kullanılarak tabloların okunması, yazılması, değiştirilmesi... dosyaların okunup, dosyaların yüklenmesi gibi sonuçlar doğurabilecek zayıflıklar akla gelmelidir. Örnek kod 1 union sorgusu Örnek kod 2 load_file fonksiyonu Örnek kod 3 authentication bypass
13 Kernel intrusion İşletim sisteminin çekirdeği kullanılarak yapılan saldırılar akla gelmelidir. Linux işletim sistemi için sistemi root'layabileceğiniz çok sayıda local root exploit i mevcuttur.
15 Önlemler *Linux sistem yönetimi ile ilgili tercihler *Linux partition tablosu ile ilgili yapılabilecek düzenlemeler ve nedenleri *MySQL kullanıcıları ile ilgili seçimler *php.ini dosyasının düzenlenmesi *Apache virtualhost tanımlamaları
16 Linux sistem yönetimi ile ilgili tercihler Sistem yöneticisi kesinlikle linux kernel'i için güvenlik yamaları yapmalıdır, dosya dizinler ile ilgili izinler gözden geçirilmelidir.
17 Linux partition tablosu ile ilgili yapılabilecek düzenlemeler ve nedenleri Bildiğiniz gibi tmp dizini izinleri herkes tarafından okunabilir ve yazılabilir şekilde düzenlenmiştir. /tmp 'i ayrı bir partition olarak tanımlamak fstab dosyasında noexec, no-suid olarak bağlamak mantıklı olacaktır. Aksi durumda saldırganın dosya atabileceği bir dizin olarak düşünürülürse dosyaların çalıştırılması kesinlikle sorun yaratacaktır.
18 MySQL kullanıcıları ile ilgili seçimler Global yetkileri olan mysql kullanıcısı ile kesinlikle web uygulamları kullanmamanızı öneriyorum. load_file fonksiyonu genel kullanıcılar tarafından kullanılan bir fonksiyondur. Dolayısıyla eğer genel kullanıcı ile web uygulaması geliştiriyorsanız bunun sonuçlarına katlanmak zorunda kalabilirsiniz.
[ Web Uygulama Güvenliği #101 ] Mehmet Ince email@example.com BGA Bilgi Güvenliği Eğitim ve Danışmanlık Ltd. Şti firstname.lastname@example.org www.bga.com.tr Sayfa 1 İçindekiler 1) HTTP... 3 a) SSL Nedir? HTTPS...
Apache Web Sunucusu ve Güvenlik Serbülent ÜNSAL serbulentu[et]gmail.com Neler Bekliyor Bizi? Nerden Çıktı Bu Seminer? Apache Nedir? Apache'nin Konfigürasyonu Apache'nin Yapısı Apache ve Web Programlama
Local File Inclusion Nedir? İlk Olarak anlamı işleyişi gibi işlemlerden başlı yalım LFI (Local File Inclusion) kelime anlamı olarak Local File İnclude (Serverdan dosya çağırma) işlemidir. Lfi açığı Php
Ağ Güvenliği 2/66 Ağ iletişim tehditlerini sıralamak. Saldırı yöntemleri ve güvenlik önlemlerini tanımlamak. Güvenlik araçlarını ve uygulamalarını sıralamak. Kablosuz ağ güvenliği hakkında bilgi sahibi
GÜMRÜK VE TİCARET BÖLGE MÜDÜRLÜĞÜ (TAŞRA-ŞUBE MÜDÜRÜ UNVANI-BİLGİ İŞLEM) YAZILI SINAV SORULARI 11.04.2015 1. Aşağıdakilerden hangisi algoritma kavramı için doğru bir açıklama değildir? a) Bir sorunun çözümü
[BGA Capture The Flag Ethical Hacking Yarışması] [#BGACTF2012] Bilgi Güvenliği AKADEMİSİ 8/18/2012 [Bu yazı Nisan 2012 tarihli Bilgi Güvenliği AKADEMİSİ tarafından gerçekleştirilmiş genele açık Capture
Politeknik Dergisi Cilt:13 Sayı: 2 s. 71-81, 2010 Journal of Polytechnic Vol: 13 No: 2 pp. 71-81, 2010 Veritabanı Yönetim Sistemleri Güvenliği: Tehditler ve Korunma Yöntemleri Yılmaz VURAL, Şeref SAĞIROĞLU
TÜRKİYE BİLİŞİM DERNEĞİ Bilişim Sistemleri Güvenliği El Kitabı Sürüm 1.0 TBD Kamu-BİB Türkiye Bilişim Derneği Yayınları Mayıs 2006 i TBD TÜRKİYE BİLİŞİM DERNEĞİ Bilişim Sistemleri Güvenliği El Kitabı Sürüm
1/6 1. AMAÇ: Bu doküman İstanbul Üniversitesinde geliştirilmiş ve geliştirilmekte olan tüm uygulamalarında yazılımın her türlü güvenliğinin sağlanması amacıyla tüm yazılım geliştiriciler, veri tabanı ve
Bölüm 4 Apache Web Sunucu 1. Giriş Hizmet sunucuları işlevini görecek bilgisayarlar iki alt grupta toplanabilir. Birincisi Internet erişimini sağlayan diğer bir deyişle Internet bağlantı hizmetini verecek
1 Yazılım Güvenliği 2 Yazılım Güvenliği Olgunluk Modelleri 4 OpenSAMM 6 Tehdit Modelleme 7 Güvenli Kod Denetimi 8 Statik Kod Analizi 9 Sızma Testleri-Pentest 10 13 Ne Kadar Karmaşık Olabilir ki? 14 HTML
PHP ye Giriş Hidayet Doğan Türkiye PHP Grubu email@example.com Özet: PHP genellikle web programlama için kullanılan ve dünyada geniş bir kullanıma sahip, P dilleri ailesinden bir betik dilidir. Derleyicisi
T.C. MİLLÎ EĞİTİM BAKANLIĞI MEGEP (MESLEKİ EĞİTİM VE ÖĞRETİM SİSTEMİNİN GÜÇLENDİRİLMESİ PROJESİ) ENDÜSTRİYEL OTOMASYON TEKNOLOJİLERİ SUNUCU SERVİSLERİ 2 Ankara, 2009 Milli Eğitim Bakanlığı tarafından geliştirilen
WEB SUNUCU GÜVENLİĞİ: Web Siteleri Neden Hacklenir? Gereksiz yedek dosyaları Default ayarlarla gelen konfigürasyon dosyaları Yetkisi tam olarak verilmiş dosyalar ya da dosya izni kontrolü yapılmadan sunucuda
Veri ve Ağ Güvenliği Ders Notları(içindekiler) 1 VERİ VE AĞ GÜVENLİĞİNE GİRİŞ(IntroductIon to data and network security)... 3 1.1 Bazı Güvenlik Tecavüzleri... 3 1.2 Saldırılar servisler ve Mekanizmalar....
TÜRKİYE LINUX KULLANICILARI DERNEĞİ APACHE WEB SUNUCUSU SEMİNERİ Doruk Fişek firstname.lastname@example.org http://www.linux.org.tr/belgeler/konferanslar/inettr-2001/apache/ APACHE'NİN INTERNET WEB SUNUCU PAZARINDAKİ
MYO-ÖS 2010- Ulusal Meslek Yüksekokulları Öğrenci Sempozyumu 21-22 EKĐM 2010-DÜZCE SQL ĐNJECTĐON VE BĐLGĐ GÜVENLĐĞĐ Đbrahim Taha ĐPEK Kübra AVCI Ankara Meslek Yüksekokulu Fatih Üniversitesi ANKARA email@example.com
1 Beyaz Şapkalı Hacker eğitimi hackerların sistemlere sızmada kullandığı yöntemleri ve araçları detaylı ve uygulamalı bir şekilde anlatılarak proaktif güvenlik anlayışı kazandırma amaçlı bir eğitimdir.
Web Uygulama Guvenlik Duvarı Tercih Rehberi Web uygulama güvenlik duvarınızı seçmeden önce bu yazıyı okumanız önemle tavsiye olunur Web Uygulama Güvenlik Duvarı nedir? Günümüzde hemen hemen internete açık
Atılım Üniversitesi Bilgi & Đletişim Teknolojileri Müdürlüğü Sistem Yönetim Uzman Yardımcısı Görev Tanımı Formal Doküman Detayları Hazırlanma Tarihi 11 Temmuz 2013 Yayın Taslak Hazırlayan Ersun Ersoy Doküman