sql injection | bildirgec.org

web sitelerinizin güvenliğinde, güvenlik taraması imkanı verecek ücretsiz web uygulama güvenliği test araçları bu makalede listelendi.

1- netsparker community edition (windows)

netsparker, sql injection + cross-site scripting sorunları tespit edebilir. tarama işlemi tamamlandıktan sonra bu konular için çözümler görüntüler.

2- websecurify (windows, linux, mac os x)

websecurify kolay kullanımlı ve otomatik olarak yazılımdaki zayıflıkları test eder, fuzzing teknolojilerini kullanarak web uygulama açıkları tespiteden açık kaynak kodlu bir araçtır. bu araç aynı zamanda çok dil desteği ve genişletilebilir eklenti desteği sunar.

Günümüz Web sitelerinin vazgeçilmez elemenlarından olan Web formları, web sitesi ile kullanıcı arasında cereyan eden interaktif etkileşim için, olmazsa olmaz bir web elemanı konumundalar.

En fazla kullanıldığı yerler olan, üyelik işlemleri gibi bilgi girişlerinin yoğun bir şekilde yapıldığı yerlerde kullanılan web formlarında bulunması gereken en önemli işlevsel özellik ise; kullanıcılar tarafından girilen bilgilerin, web geliştiriciler tarafından belirlenmiş geçerlilik kıstaslarına uyup uymadığının kontrol edilmesi.

Oldukça önemli olan bu işlevin tam olarak yerine getirilesini sağlamak amacı ile geliştirilmiş bir kütüphane olan ValidForm Builder, PHP ve JavaScript (JQuery) ile geliştirilmiş ve hem istemci taraflı hem de sunucu taraflı olarak, geçerlilik denetlemesini yapabilmekte.

computerworld.com.au sitesinde 8 Ocak'ta yayınlanan bu habere göre onbinlerce web sitesi programlanmış bir betik aracılığıyla sql injection saldırısına maruz kalmış.

Böylece onbinlerce sitelere kullanıcının sistemini etkileyebilecek zararlı kodları çalıştıracak betikler eklenmiş. Bazı sitelerin zararlı kodlardan arındırıldığı söylensede diğer sitelerin kullanıcının sistemini zararlı kodları çalıştırabilmek için zorlama ihtimali tehdit oluşturmakta.

Şu sayfada, ruby on rails (ror) ile yazılımış web uygulamalarında bulunması muhtemel güvenlik açıklarından bahsedilmiş. Bu klavuzda SQL Injection, XSS, CSRF... gibi popüler güvenlik açıklarına da değinilmiş.

Bu sayfada, php ile kod yazanların yapmış olduğu en sık 10 hatadan bahsedilmiş. Yazıda, bu hataları nasıl bertaraf edeceğiniz de anlatılmış. Yazdığınız kodlarda güvenlik açığı oluşturmamanız için okumanızı öneririm. Özetle yazıdaki başlıklar şöyle:

1. html etiketlerindeki < ve > karakterlerinin dönüştürülmemesi
2. SQL injection için önlem alınmaması
3. HTTP başlıkları ile ilgili fonksiyonların yanlış kullanılması
4. Güvensiz veri kullanılarak dosyaların include veya require edilmesi
5. Yazım hataları
6. OOP'nin çok az kullanılması veya hiç kullanılmaması
7. Bir framework kullanılmaması
8. Mevcut fonksiyonlardan haberdar olmama
9. Eskimiş php sürümlerinin kullanılması
10. Tek ve çift tırnak sorunu