11. SınıfBilişim Teknolojileri
Web Güvenliği ve SQL Enjeksiyonu — Çalışma Sayfası
Kazanımlar, önemli noktalar ve sık yapılan hatalar tek sayfada.
Bu konuda öğrenecekleriniz
- Sorguya gömülen kullanıcı girdisinin doğrulanması gerekliliğini açıklar.
- Hazırlanmış sorgu ile değer birleştirmenin güvenlik farkını karşılaştırır.
- Betik enjeksiyonu ve sahte istek saldırılarını tanıyıp önlem seçer.
- Parola saklamada karma ve tuz kullanımının rolünü hesapla değerlendirir.
- En az yetki, çerez bayrakları ve hata mesajı gizleme kurallarını uygular.
Önemli noktalar
- Değer doğrulaması tek başına yeterli değildir; sorgu yapısı ile veri ayrılmalıdır.
- Hazırlanmış sorguda veri komut parçası olarak yorumlanmaz.
- Tarayıcıya gönderilen her veri, çıktı bağlamına göre kaçış işleminden geçirilmelidir.
- Sahte istek saldırısına karşı formlara tahmin edilemeyen jeton eklenmelidir.
- Parola düz metin saklanmaz; tek yönlü karma ve hesaba özel tuz kullanılır.
- Arayüzde gizlenen düğme veya bağlantı güvenlik önlemi değildir.
- Hata ayrıntıları kullanıcıya gösterilmez, sunucu günlüğüne yazılır.
Formüller ve kurallar
- Parola uzayı = kullanılan karakter sayısı ^ parola uzunluğu
- Parola bilgi miktarı (bit) = parola uzunluğu × log2(karakter sayısı)
- Ortalama kaba kuvvet süresi = olası parola sayısı / saniyedeki deneme sayısı
- Saldırı başarı olasılığı = denenen deneme sayısı / olası parola sayısı
- Korunan alan oranı = doğrulanan alan sayısı / toplam alan sayısı
- Düzeltilecek sorgu oranı = güvensiz sorgu sayısı / toplam sorgu sayısı
- Jetonsuz tahmin süresi = jeton olasılık sayısı / saniyedeki deneme sayısı
Sık yapılan hatalar
- Yalnızca uzunluk kontrolü yapmak: Uzunluğu doğru gelen bir metin yine komut yapısını bozabilir; doğrulama yapısal ayrımın yerini tutmaz, sorgu hazırlanmalıdır.
- Girdiyi kaçırmak yerine silmek: Değerlerin tümünü reddetmek yerine tasarıma uygun hata mesajı gösterilmeli, kayıp veri önlenmelidir.
- Hata ayrıntısını kullanıcıya göstermek: Veri tabanı yapısını ya da dosya yolunu açığa çıkaran hata mesajı saldırıya yol haritası verir.
- Arayüzde gizlemeyi güvenlik saymak: Butonu gizlemek erişimi engellemez; her istek sunucu tarafında yetkiye göre yeniden değerlendirilmelidir.
- Tuzu gizli tutmaya çalışmak: Tuzun gizlenmesi gerekmez, gizliliği değil benzersizliği sağlar; yanlış saklama yöntemi güvenliği bozar.
Hızlı tekrar ipuçları
- Güvenlik önlemini kod yazmadan önce hangi saldırıyı engellediğini yazın.
- Kullanıcı girdisi içeren her sorguyu tek tek inceleyip hazırlanmış sorguya dönüştürün.
- Şifreleme ile karma işlemini karıştırmayın; parolalar geri döndürülemez biçimde saklanır.
- Giriş formlarına deneme sınırı, gecikme ve güvenlik uyarısı birlikte ekleyin.
- Güvenlik olaylarını kaydedip periyodik olarak gözden geçirin.
Kendini dene
Bu sayfayı okuduktan sonra konu anlatımını tekrar oku ve kendi cümlelerinle özetle.