Web Güvenliği ve SQL Enjeksiyonu nedir?
Bilişim Teknolojileri · 11. Sınıf · Konu 9
Tahmini okuma süresi: 6 dk
Kısa cevap
Bu konuda neler öğreneceksin?
- Sorguya gömülen kullanıcı girdisinin doğrulanması gerekliliğini açıklar.
- Hazırlanmış sorgu ile değer birleştirmenin güvenlik farkını karşılaştırır.
- Betik enjeksiyonu ve sahte istek saldırılarını tanıyıp önlem seçer.
- Parola saklamada karma ve tuz kullanımının rolünü hesapla değerlendirir.
- En az yetki, çerez bayrakları ve hata mesajı gizleme kurallarını uygular.
Anahtar fikirler
- Değer doğrulaması tek başına yeterli değildir; sorgu yapısı ile veri ayrılmalıdır.
- Hazırlanmış sorguda veri komut parçası olarak yorumlanmaz.
- Tarayıcıya gönderilen her veri, çıktı bağlamına göre kaçış işleminden geçirilmelidir.
- Sahte istek saldırısına karşı formlara tahmin edilemeyen jeton eklenmelidir.
- Parola düz metin saklanmaz; tek yönlü karma ve hesaba özel tuz kullanılır.
- Arayüzde gizlenen düğme veya bağlantı güvenlik önlemi değildir.
Konunun özeti
Sorguya gömülen kullanıcı girdisi komut yapısını değiştirip tüm veriyi ele geçirebileceğinden hazırlanmış sorgu kullanılmalı, veri yapıdan ayrılmalıdır. Betik enjeksiyonunda çıktı bağlamına göre kaçış işlemi uygulanır, sahte istek saldırısında formlara tahmin edilemeyen jeton eklenir ve çerez bayrakları kullanılır. Parolalar düz metin saklanmaz, tek yönlü karma ile hesaba özel tuz kullanılarak saklanır. Sayısal değerlerle ölçüm yapılabilir: 8 karakterlik ve 62 karakterlik kümede bilgi miktarı 8 × log2(62) = 47,6 bit bulunur, 6,4 milyar parolalık uzayda saniyede 500 denemeyle ortalama süre 6400000000 / 500 = 12800000 saniye, yani 3555,6 saattir. 12 denemelik sınır 10000 olası parolada…
Çözümlü mini örnek 1
Ad ve soyad alanları sorguya değer birleştirme ile ekleniyor. Kullanıcı arama kutusuna tırnak işareti yazarak sorgu yapısını bozabiliyor.
Hatalı girdi kaydını güvenlik günlüğüne yaz.
Çözümlü mini örnek 2
8 karakterden oluşan bir parola, büyük küçük harf, rakam ve simge karakterlerinden oluşan 62 karakterlik bir setten seçilmektedir.
Sonucu bit cinsinden yaz.
Sık yapılan hatalar
- Yalnızca uzunluk kontrolü yapmak: Uzunluğu doğru gelen bir metin yine komut yapısını bozabilir; doğrulama yapısal ayrımın yerini tutmaz, sorgu hazırlanmalıdır.
- Girdiyi kaçırmak yerine silmek: Değerlerin tümünü reddetmek yerine tasarıma uygun hata mesajı gösterilmeli, kayıp veri önlenmelidir.
- Hata ayrıntısını kullanıcıya göstermek: Veri tabanı yapısını ya da dosya yolunu açığa çıkaran hata mesajı saldırıya yol haritası verir.
İlgili konular
Sıradaki adım
Tam anlatımKonuyu tam anlatımıyla okuKonu anlatımı, kazanımlar ve örnekler tek sayfada.Konu anlatımları hesapsız okunur. Quiz, slayt ve deneme için hesap gerekir.
DersTeders ile devam et
Bilişim Teknolojileri · 11. Sınıf için çalışma yolu
- OkuKonu anlatımını bu sayfada bitir.
- Soru çözÖrnekleri çöz, cevabı açıklamayla karşılaştır.
- Quiz ile pekiştirHesapla kendini ölç.
Konu anlatımları hesapsız okunur; quiz, slayt ve deneme için hesap gerekir.