Sunuyu indir
Sunum yükleniyor. Lütfen bekleyiniz
YayınlayanOkay Mardin Değiştirilmiş 10 yıl önce
1
Copyright © The OWASP Foundation Permission is granted to copy, distribute and/or modify this document under the terms of the OWASP License. The OWASP Foundation http://www.owasp.org OWASP İLK 10 ZAFİYET Web Güvenlik Topluluğu OWASP-Türkiye
2
CROSS SITE SCRIPTING - XSS Uygulamanın kullanıcıdan veri alması ve bunları herhangi bir kodlama ya da do ğ rulama işlemine tabi tutmadan sayfaya göndermesi ile oluşur. Kurbanın tarayıcısında oturum bilgilerinin çalınmasına, web sayfasının tahrif edilmesine, solucan yüklenmesine, v.b. sebep olur. 2
3
XSS – Korunma Gelen verilerin do ğ rulanması Çıkan verilerin kodlanması ( HTML/URL Kodlama ) Sayfa kodlamalarının belirtilmesi ( UTF8/ISO-8859-9 ) Kara liste yöntemlerinin kullanılmaması Varsayılan hata çıktılarının izlenmesi Kodlama standartlarının yanlış kullanılmaması 3
4
ENJEKSİYON HATALARI Enjeksiyon, kullanıcı tarafından alınan verinin yorumlayıcıya (interpreter) komut ya da sorgunun bir parçası olarak gönderilmesi durumda oluşur. Özellikle SQL enjeksiyonuna web sitelerinde sıkça rastlanmaktadır. 4
5
Enjeksiyon – Korunma Gelen verilerin do ğ rulanması Parametrelenmiş sorgu API’larının kullanılması Dinamik sorgu tiplerinin kullanılmaması Minimum hak prensibinin uygulanması Detaylı hata mesajlarının önlenmesi Kodlama standartlarının yanlış kullanılmaması 5
6
ZARARLı DOSYA ÇALıŞTıRMA Zararlı dosya çalıştırılması, kullanıcıdan dosya adı veya dosya kabul eden PHP, XML veya diğer uygulama çatılarını etkileyebilir. Özellikle PHP uygulamalarında RFI saldırılarına sıkça rastlanmaktadır. 6
7
Zararlı Dosya Çalıştırma – Korunma Dolaylı nesne referans haritası kullanılması Gelen verilerin do ğ rulanması Sunucular için güvenlik duvarı kuralları uygulanması Sunucularda chroot kullanılması PHP yapılandırma sıkılaştırmalarının yapılması 7
8
GÜVENSİZ DOĞRUDAN KAYNAK REFERANSI Do ğ rudan Kaynak Referansı; geliştirici dosya, dizin, veritabanı kaydı gibi bir bilgiyi URL veya form parametresi olarak alıp bunu uygulamaya referans olarak tanımladığı zaman oluşur. Böylece saldırgan referansı manipüle ederek yetkisi olmayan nesnelere erişebilir. 8
9
Kaynak Referansı – Korunma Hassas nesne referanslarının gösterilmemesi Hassas nesne referanslarının doğrulanması Referans verilmiş bütün nesnelerin yetkilendirme kontrollerinin yapılması 9
10
SİTELER ÖTESI İSTEK SAHTECİLİĞİ CSRF CSRF saldırıları; sisteme giriş yapmış kurbana ait tarayıcının, aynı web uygulamasına sonradan saldırganın yararına olacak, özel olarak hazırlanmış ve önceden do ğ rulanmış bir istek göndermesine sebep olur. CSRF, saldırdı ğ ı web uygulaması kadar güçlü olabilir. 10
11
CSRF – Korunma Uygulamalarda XSS açıklıklarının yok edilmesi Her form ve URL’ye özel tokenlar konulması Hassas veri transferlerinde veya işlemlerinde yeniden kimlik doğrulaması istenmesi Hassas veri transferlerinde veya işlemlerinde GET metodunun kullanılmaması Sadece POST metoduna güvenilmemesi 11
12
BİLGİ İFŞASI VE YETERSİZ HATA YÖNETİMİ Uygulamalar istemeden de olsa yapılandırmaları, iç işleyişleri hakkında bilgi sızdırabilir veya uygulama sorunlarından dolayı güvenlik ihlallerine yol açabilirler. Saldırganlar, bu zayıflıkları sonradan daha ciddi saldırılar gerçekleştirmek veya önemli bilgileri çalmak için kullanabilir. 12
13
Bilgi İfşası – Korunma Bütün geliştirici takımının hata yönetiminde aynı yolu izlediğine emin olunması Bütün katmanlardan gelen detaylı hata mesajlarına izin verilmemesi / kısıtlandırılması Varsayılı hata mesajlarında HTTP 200 dönmesinin sağlanması 13
14
YETERSİZ KİMLİK DO Ğ RULAMA OTURUM YÖNETİMİ Hesap bilgileri ve oturum anahtarları ço ğ u zaman düzgün olarak korunmamaktadır. Saldırganlar şifreleri ve kimlik denetimi anahtarlarını kullanıcının di ğ er bilgilerini elde etmek için kullanabilirler. 14
15
Kimlik Do ğ rulama / Oturum Yönetimi Korunma Sunucunun sağladığı oturum yönetimi mekanizmalarını kullanın Önceden verilmiş, yeni veya hatalı oturum bilgilerinin kabul edilmemesi Özel cookielerin kimlik doğrulama ve oturum yönetimi işlemleri için kullanılmaması Kimlik doğrulama sonrası yeni bir cookie oluşturun 15
16
Kimlik Doğrulama / Oturum Yönetimi Korunma Zaman aşımı kontrollerinin uygulanması Şifre değişiminde eski şifrenin sorulması Sahtesi üretilebilecek bilgileri kimlik doğrulamada güvenmeyin (Referer, IP, DNS isimleri) 16
17
GÜVENSIZ KRİPTOĞRAFİK DEPOLAMA Web uygulamaları verilerin ve bilgilerin güvenli ğ ini sağlamak için nadiren kriptografik fonksiyonları kullanırlar. Saldırganlar zayıf korunan veriyi, kimlik hırsızlı ğ ı ve kredi kartı dolandırıcılığı gibi di ğ er suçları işlemek için kullanırlar. 17
18
Güvensiz Kriptoğrafi – Korunma Kişisel kripto ğ rafik algoritmalar kullanılmaması Zayıf kripto ğ rafik algoritmaların kullanılmaması Private key’lerin dikkatlice saklanması Arka uç hassas bilgilerinin dikkatlice saklanması Gerekmeyen bilginin kesinlikle saklanmaması 18
19
GÜVENSİZ İLETİŞİM Uygulamalar sıklıkla hassas bağlantıların korunması gerektiğinde a ğ trafiğini şifrelemede başarısız olurlar. Şifreleme (genellikle SSL) bütün bağlantıların kimlik doğrulaması için özellikle hem internet erişimi olan web sayfaları için hem de sunucu uygulamaları için kullanılmak zorundadır. 19
20
Güvensiz İletişim – Korunma Kimlik doğrulama ve diğer hassas bilgilerin işlendiği trafiklerde SSL kullanılması Arka uç sistemlerdeki bağlantılarda SSL kullanılması 20
21
YETERSİZ URL ERİŞİMİ KISITLAMA Uygulamalar hassas fonksiyonelliklerini korumak için ço ğ unlukla linkleri veya URL’leri yetkilendirilmemiş kullanıcılara göstermemeyi seçerler. Saldırganlar bu URL’lere do ğ rudan erişerek, yetkisi olmayan işlemleri gerçekleştirmek için bu zayıflı ğ ı kullanabilirler. 21
22
Yetkisizi URL Erişimi – Korunma Yetkilendirme matrisinin güçlü bir şekilde kullanılması Uygulamaya penetrasyon testi gerçekleştirilmesi Gizli URL’lere ve HTML parametrelere güvenilmemesi Sunucunun anlamadığı bütün dosya uzantılarına önlemesi Yamaların ve virüs korumasının yenilenmesi 22
23
webguvenligi.org owasp.org 23
Benzer bir sunumlar
© 2024 SlidePlayer.biz.tr Inc.
All rights reserved.