Web Uygulama Güvenliği TÜBİTAK BİLGEM Siber Güvenlik Enstitüsü
|
|
|
- Canan Pembe Aktaş
- 5 yıl önce
- İzleme sayısı:
Transkript
1 Web Uygulama Güvenliği TÜBİTAK BİLGEM Siber Güvenlik Enstitüsü Bu doküman, alıntı vererek kullanılabilir ya da paylaşılabilir ancak değiştirilemez ve ticari amaçla kullanılamaz. Detaylı bilgiye bağlantısından erişebilirsiniz.
2 Eğitimin Amacı HTTP tabanlı uygulamaların çalışma ilkeleri HTTP tabanlı uygulamalarda bulunabilecek açıklıklar HTTP tabanlı uygulamalarda bulunan açıklıkları giderme yöntemleri Güvenli web uygulama geliştirme esasları 2
3 Sunum İçeriği Genel Bakış Bilgi Toplama Girdi & Çıktı Denetimi Oturum Yönetimi Kimlik Doğrulama & Yetkilendirme İş Mantığı Problemleri Ayar Yönetimi 3
4 Genel Bakış
5 Genel Bakış 5
6 Genel Bakış WWW Ne: WWW Ne zaman: 1989 Yılında Nerede: CERN de Kim: Tim Berners-Lee tarafından geliştirildi Neden: Doküman paylaşımı Nasıl: Oluşturmak ve biçimlendirmek için bir dil: HTML Bulmak / erişmek için bir adresleme: URL Transfer etmek için bir protokol: HTTP 6
7 HTML Hyper Text Markup Language Web tarayıcılarının dokümanlardaki yazı ve grafik biçimlerini yorumlayabilme standardı. Web sayfalarının temelini oluşturur. Temel yapı taşı etiketlerdir. (Tag) 7
8 URL Uniform (Universal) Resource Locator Universal Document Identifier - Uniform Resource Identifier Web uygulamalarına erişim için adresleme standardı! * ( ) ;, & = + $ /? % # [ ] Karakterleri rezerve karakterlerdir. Protokol://host:port/doküman_yolu?parametre=değer#fragment Protokol (şema-schema) host:port doküman_yolu?parametre=değer #fragment http, https, ftp, /, /index.php, /home/default.aspx?haberno=3,?id=manager doc.pdf#page=23, index.html#elementid 8
9 HTTP Hyper Text Transfer Protocol Uygulama katmanı (Layer 7) protokolüdür. Taşıma Katmanında (Transport Layer Layer4) paketler TCP protokolü üzerinden taşınır. HTTP Mesajları HTTP Talebi (HTTP Request) GET, POST, HEAD, PUT, DELETE, TRACE, OPTIONS... HTTP Yanıtı (HTTP Response) 200 OK, 302 Found, 404 Not Found, 500 Internal Serve Error... 9
10 HTTP Talebi GET Bir kaynağın (web sayfası, imaj, betik) çağırılması En çok kullanılan HTTP talebi Parametreler URL de gönderilir <img src= /> <iframe src= /> GET /pages.php?pageid=4&article=3 HTTP/1.1 Host: User-Agent: Mozilla/5.0 Gecko/ Firefox/12.0 Accept: text/html Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Proxy-Connection: keep-alive Cookie:PHPSESSIONID=c466a0bfe95ddd1e25ffe31 10
11 HTTP Talebi POST Veri göndermek için Parametreler gövde (body) kısmında gönderilir. <form name=form action=login.php method=post > <input name=username type=text value=myusername /> <input name=password type= text value=mysecretpass /> </form> POST /accounts/login.php HTTP/1.1 Host: User-Agent: Mozilla/5.0 Gecko/ Firefox/12.0 Accept: text/html Proxy-Connection: keep-alive Cookie:PHPSESSIONID=c466a0bfe95ddd1e25ffe31 Username=myusername&Password=mysecretpass 11
12 HTTP Yanıtı Yanıt Kodları 1xx: Bilgi Verme Amaçlı 2xx: Başarılı İstek 3xx: Yönlendirme 4xx: İstemci Taraflı Hata 5xx: Sunucu Taraflı Hata HTTP/ OK Date: Tue, 08 Apr :18:18 GMT Server: Apache-Coyote/1.1 Pragma: No-cache Cache-Control: no-cache,no-store,max-age=0 Content-Length: Connection: close <html xmlns=" <body> <a href= 12
13 Kritik Kavramlar DOM (Domain Object Model) Programların ve betik kodlarının dokümanların İçeriğine Yapısına Biçim özelliklerine erişimini ve kullanımını sağlayan bir arabirim. Platform ve dilden bağımsızdır. DOM Document, DOM Events, DOM Elements, DOM Anchor, DOM Area, DOM Body <script>window.location= <script>alert(document.cookie)</script> 13
14 Kritik Kavramlar SOP (Same Origin Policy) Farklı kaynakların (origin), birbirlerinin metodlarına ve özelliklerine erişmelerini engeller Tarayıcı tarafında çalışacak betik (scripting) dillerinin güvenlik sınırlarını belirleyen en önemli kural Same Origin = Domain + Protokol + Port
15 Kritik Kavramlar SOP (Same Origin Policy) Örnek 15
16 Kritik Kavramlar HTML5 Yeni etiketler Audio, canvas, source, video Yeni metodlar onbeforeonload, onmousemove, onerror, onpagehide, onpageshow, onforminput, oninvalid, autofocus+onfocus Base64 kodlama desteği History.pushState 16
17 Kritik Kavramlar HTML5 İstemci tarafı veri depolama ve FileSystem API Verilerin istemci taraflı saklanması ve gizlilik Çevrimdışı e-posta ve takvim kullanımı WebSockets, WebWorkers Uygulama kodu üzerinden socket bağlantıları Veri denetimi 17
18 Kritik Kavramlar HTML5 Cross-document messaging, CORS Iframe, sekme ve pencereler arası etkileşim WebGL, WebCL JavaScript ile 3D, OpenGL, Canvas etiketi, GLSL ile GPU kullanımı 18
19 Kritik Kavramlar Bağlantı Güvenliği SSL/TLS Güvenli bir bağlantı oluşturulur Mesajlar bu güvenli bağlantı üzerinden gönderilir. SSL v3.0 ve üzeri kullanılmalıdır. 19
20 Genel Bilgiler Web Servis Güvenliği SOAP 1.1 ve 1.2 Güvenlik Fonksiyonları WS-I Basic Profile 1.1, 2.0 (WSDL), Interoperability WS-Security SAML 1.1 ve SAML 2.0 Bütünleşik Oturum (Single Sign-On) Federation SAML + SOAP + HTTP + WS-Security 20
21 Genel Bilgiler Web Servis Güvenliği WS-I Basic Profile Basit Kimlik Doğrulama (Basic Authentication) Sertifika Tabanlı Kimlik Doğrulama (Certificate-Based Authentication) Veri gizliliği ve bütünlüğü (Transport Layer Security - SSL) WS-Security X.509, Kerberos, SAML, Kullanıcı adı/parola, Kullanıcı tanımlı yöntemler WS-SecureConversation, WS-Addressing, WS-Notification 21
22 Bilgi Toplama (Information Gathering)
23 Bilgi Toplama Girdi Noktaları Bulma Form detayları (drop-down menüler, butonlar, checkbox...) Linkler Iframe kaynakları Image kaynakları Gizli girdi alanları Bağlantı Keşfi Crawling-Spidering: Uygulamadaki tüm bağlantıların çıkartılması <a href= >Site Linki</a> <img src= /> <div id= block onclick= this.form.submit ></div> <form id= search action= search.php method= get ></form> <iframe src= 23
24 Bilgi Toplama Otomatize Araçlar Amaç: Zafiyetleri minimum efor ile tespit etmek Ana Fazları: Girdi alanı ve bağlantı keşfi Zafiyet tespiti w3af, AppScan, Acunetix, Netsparker, WebInspect, BurpSuite, Nessus, Qualys GurardWAS, Skipfish, Arachni, WebSecurify... Otomatize araçlar her durumda (her açıklık için) etkin değildir. Talep Web Açıklık Tarayıcı Yanıt UYGULAMA Analiz 24
25 Bilgi Toplama Yayınlanmış Zafiyetler Uygulama yazımında kullanılan anaçatılar Kurulu oldukları uygulama sunucuları, web portalleri, anaçatılar Uygulamalarda kullanılan üçüncü parti modüller, bileşenler Tekniğin Uyglama Adımları 1. Hedef uygulama hakkında bilgi toplama 2. İlgili telknoloji ve vesiyonları için yayınlanmış zafiyetlerin aranması (exploit-db.com v.b.) 3. Bulunan açıklık istismar yöntemlerinin denenmesi 25
26 Girdi ve Çıktı Denetimi
27 Girdi Denetimi Tanım Girdi %100 güvenilir değilse güvensizdir. Kullanıcıdan alınan tüm veriler mutlaka denetlenmelidir. Negatif Girdi Denetimi Kara Liste uygulanır. İstenmeyen girdilere izin verilmez Pozitif Girdi Denetimi Beyaz Liste uygulanır. Sadece istenilen girdilere izin verilir. Girdi denetimi yetersiz ise ne olur? 27
28 Girdi Denetimi Cross Site Scripting - XSS Siteler Arası Betik Çalıştırma JavaScript in keşfi ile başlar (1995) Bir tarayıcıda izinsiz olarak kod çalıştırmak. 3 Tipi Vardır: Yansıtılan XSS (Reflected XSS) Depolanan XSS (Stored XSS) DOM Tabanlı XSS (DOM Based XSS) WhiteHat Security Rapor 12 (2012)* * 28
29 Cross Site Scripting - XSS Reflected XSS (Yansıtılan XSS) Saldırgan, zararlı bir link hazırlar. Kurban kullanıcıyı bu linke tıklamaya ikna eder. Kurban kullanıcının tarayıcısından zararlı bir talep gönderilir. Linkteki zararlı HTML, web sayfası içerisine eklenerek kullanıcıya geri gönderilir. Kurban kullanıcının tarayıcısı zararlı HTML i çalıştırır. 29
30 Cross Site Scripting - XSS Stored XSS (Depolanan XSS) Saldırgan, zararlı kodunu veritabanı veya sunucuya enjekte eder. Sayfayı ziyaret eden tüm kullanıcıların tarayıcıları bu zararlı kodu çalıştırır. Reflected XSS e göre daha tehlikelidir. 30
31 Cross Site Scripting XSS Gerçek Hayattan Bir Örnek Samy Worm (MySpace Worm- 2005) 1. Samy profiline bir kod ekler 2. Samy nin sayasını ziyaret eden herkes; i. Samy yi arkadaş olarak ekler. ii. Bu kodu kendi profiline ekler 31
32 Cross Site Scripting XSS Gerçek Hayattan Bir Örnek Kod eklenmeden önce: 73 arkadaş 1 saat sonra: 73 arkadaş - 1 arkadaşlık isteği 7 saat sonra: 74 arkadaş arkadaşlık isteği 1 saat sonra: 74 arkadaş arkadaşlık isteği 1 saat sonra: 518 arkadaş arkadaşlık isteği 3 saat sonra: 2503 arkadaş arkadaşlık isteği 5 saaat sonra: 2503 arkadaş istek 3 saniye sonra: 2503 arkadaş istek 3 saniye sonra: 2503 arkadaş istek Birkaç dakika sonra: 2503 ark istek Birkaç saniye sonra: Your Profile is Down for Maintenance 32
33 Cross Site Scripting - XSS DOM Based XSS (DOM Tabanlı XSS) Yansıtılan XSS e benzer. Fark: Kullanıcıya gönderilen HTML zararlı bir kod içermez. Tarayıcı DOM objesini çağırır. DOM objesi zararlı kodu çalıştırır. 33
34 SQL Enjeksiyonu (SQLi) SQL Injection Tanım: Veritabanında izinsiz SQL sorgusu çalıştırmak Problem: Kullanıcıdan alınan girdinin SQL sorgusu olarak işleme alınması 34
35 SQL Enjeksiyonu Dinamik SQL Sorgusu $squery = SELECT name FROM products WHERE id= + $id + ; Normal Değişken Değeri SELECT name FROM products WHERE id= 100 ; Anormal Değişken Değeri = SQL Enjeksiyonu SELECT name FROM products WHERE id= 100 UNION SELECT password FROM users WHERE userid= 1 35
36 Kör SQL Enjeksiyonu (Blind SQLi) Blind SQL Injection Sunucu her deneme için aynı hata mesajını üretiyorsa Uygulama SQL sorgusunun sonucunda herhangi bir bilgi göstermiyorsa Kısaca, enjekte edilen sorgunun işleme alınıp alınmadığı bilinmiyorsa 36
37 Kör SQL Enjeksiyonu (Blind SQLi) Blind SQL Injection Binary Search Tree 37
38 Kör SQL Enjeksiyonu (Blind SQLi) Boolean Based Blind SQL Injection SELECT name FROM products WHERE id= 1 OR a = a -- SELECT name FROM products WHERE id= 1 AND a = a -- SELECT name FROM products WHERE id= 1 AND a = b -- SELECT name FROM products WHERE id= 1 AND substring(@@version 1,1)> 5 SELECT name FROM products WHERE id= 1 AND ascii(substring(database(),1,1))< 104 Time Based Blind SQL Injection SELECT name FROM products WHERE id= 1 AND IF ((substring(@@version,1,1))>5,sleep(3),1) = 1 SELECT name FROM products WHERE id= 1 AND IF (ASCII(lower(substring((DATABASE()),1,1)))>104,SLEEP(1),1) = 1 38
39 SQL Enjeksiyonu (SQLi) SQL Injection Gerçek hayata uyarlanan bir SQL Enjeksiyonu 39
40 Diğer Enjeksiyonlar Command Injection Girdinin işletim sisteminda çalıştırılacak komuta parametre olarak verildiği durumda Girdinin denetimsiz bir şekilde işletim sisteminde çalıştırılacak kodun içerisinde yer alması 40
41 Girdi Denetimi Girdi Denetim Stratejileri Negatif Girdi Denetimi <?php $searchparam = $_POST[ searchparam ]; $key = array( <script>, </script> ); $replace = array(, ); $searchparam = str_replace ($key, $replace, $searchparam); echo searchparam;?> 41
42 Girdi Denetimi Girdi Denetim Stratejileri Pozitif Girdi Denetimi <?php $searchparam = $_POST[searchparam]; if(!preg_match('[-_ 0-9A-Za-z] ', $searchparam)) { header( 'Location: error.php' ); } else{ echo searchparam;?> 42
43 Girdi Denetimi Girdi Denetim Stratejileri İstemci Taraflı Denetim 43
44 Girdi Denetimi Girdi Denetim Stratejileri Sunucu Taraflı Denetim 44
45 Girdi Denetimi Sunucu Taraflı İstemci Taraflı ASP.NET örneği İstemci taraflı aspx dosyasında <asp:regularexpressionvalidator runat= server ID= searchvalidator ControlToValidate= TxTSearch ErrorMessage= Special characters are not allowed ValidationExpression ^[a-za-z0-9]*$ /> using System.Text.RegularExpressions; Sunucu taraflı C# dosyasında Regex regex = new Regex( ^[a-za-z0-9]*$ ); if (regex.match(querystring).success) { //Do something! } else{ //Do something! } 45
![Girdi Denetimi Parametrik Sorgular (Parameterized Queries) SQL Enjeksiyonuna karşı en etkili önlem String Ekleme String username = Session["username"]; String password = Session[ password"]; String](/docs-images/96/129269861/images/46-2.jpg "selectcommand = \"SELECT * FROM userswhere username='\" + username + \"' AND password='\" + password + \"'\"; SqlCommand mycommand = new SqlCommand(selectCommand, DataConnection); SqlDataReader dr =")
46 Girdi Denetimi Parametrik Sorgular (Parameterized Queries) SQL Enjeksiyonuna karşı en etkili önlem String Ekleme String username = Session["username"]; String password = Session[ password"]; String selectcommand = "SELECT * FROM userswhere username='" + username + "' AND password='" + password + "'"; SqlCommand mycommand = new SqlCommand(selectCommand, DataConnection); SqlDataReader dr = mycommand.executereader(); Parametrik Sorgu String selectcommand = "SELECT * FROM users WHERE username=@username AND password=@password;"; mycommand.parameters.addwithvalue("username", Session["username"].ToString()); mycommand.parameters.addwithvalue("password", Session["password"].ToString()); SqlDataReader dr = mycommand.executereader(); 46
47 Çıktı Denetimi Özel Karakterler Kullanılması Gerekiyorsa? Kullanıcıya en yakın noktada Output Escaping / Encoding URL Encoding (URL kodlama) ASP/ASP.NET: Server.URLEncode() PHP: urlencode() HTML Encoding (HTML kodlama) ASP/ASP.NET: Server.HTMLEncode() PHP: htmlspecialchars() & --> & < --> < > --> > " --> " ' --> ' / --> / 47
48 Sunum İçeriği Genel Bakış Bilgi Toplama Girdi & Çıktı Denetimi Oturum Yönetimi Kimlik Doğrulama & Yetkilendirme İş Mantığı Problemleri Ayar Yönetimi 48
49 Neler Öğrendik? HTTP Mesajları HTTP Trafiğinde Araya Girmek ve Mesajları Manipüle Etmek SSL Nedir? Nasıl Çalışır? Siteler Arası Betik Çalıştırma (XSS) SQL Enjeksiyonu Poizitif & Negatif Girdi Denetimi İstemci Taraflı & Sunucu Taraflı Denetim Çıktı Denetimi 49
50 Oturum Yönetimi
51 Oturum Yönetimi Oturum HTTP, durum bilgisis (stateless) bir protokoldür. Durum / Oturum bilgisine ihtiyacımız var. Oturum bilgisinin her talepte gönderilmesi gerekli. En popüler oturum yönetim metodu Çerez (cookie) dir. GET /etkinlikler/index.php HTTP/1.1 Host: User-Agent: Mozilla/5.0 (Windows NT 6.1; rv:12.0) Gecko/ Firefox/12.0 Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8 Accept-Language: en-us,en;q=0.5 Accept-Encoding: gzip, deflate Proxy-Connection: keep-alive Cookie: e23ea89e9ae24e569be891f1e6d862c2=- 51
52 Oturum Yönetimi Yetkisiz İşlem Yapılması Hak Yükseltme Saldırıları Siteler Arası Talep Sahteciliği (CSRF) Yetersiz Oturum Yönetimi Oturum Sabitleme (Session Fixation) Oturum Çalma (Session Hijacking) Oturum Bilgisinin Tahmin Edilmesi 52
53 Oturum Sabitleme Session Fixation Problem: Kullanıcı girişi sonrası oturum bilgisinin değiştirilmemesi 1.Saldırgan uygulamaya girer 2. Saldırgan bir oturum bilgisi alır 3.Oturum bilgisini dayatır Uygulama Sunucu 4. Kurban, dayatılan oturum bilgisi ile uygulamaya giriş yapar Kurban 53
54 Siteler Arası Talep Sahteciliği Cross Site Request Forgery Kullanıcıyı, giriş yapmış olduğu bir uygulamada, istenmeyen işlemleri gerçekleştirmeye zorlayan saldırı. Otomatik açıklık tarayıcılar (vulnerability scanner) ile tespiti zordur. 54
55 Siteler Arası Talep Sahteciliği Cross Site Request Forgery Şaşkın Vekil (Confused Deputy) Problemi: Tarayıcı, talebin yetkili olup olmadığını bilemez. 55
56 Siteler Arası Talep Sahteciliği Cross Site Request Forgery Önlemler HTTP Referer Başlığı Tekil Değerli Gizli Form Alanı URL İçinde Tekil Tanımlayıcı CSRF Gurad Framework leri ASP.NET Viewstate 56
57 Siteler Arası Talep Sahteciliği Cross Site Request Forgery URL içinde tekil rastgele tanımlayıcılar /servlet/f81d4fae-7dec/manageuser URL parametreleri içinde saklanan tekil tanımlayıcılar /servlet/manageuser?csrfid= f81d4fae-7dec 57
58 Siteler Arası Talep Sahteciliği Cross Site Request Forgery Gizli Rastgele Parametre <form method=post action= /changeinfo.php > <input type=text name=username value=""></td> <input type=text name=location value=""></td> <input type=text name=newpassword value=""></td> <input type=text name=re-password value=""></td> </form> <form method=post action= /changeinfo.php > <input type=text name=username value=""></td> <input type=text name=location value=""></td> <input type=text name=newpassword value=""></td> <input type=text name=re-password value=""></td> <input type="hidden" name= sharedsecret"value="8dcb5e56904d9b7d4bbf333afdd154ca"> </form> 58
59 Oturum Yönetim Stratejileri Kimlik doğrulama sonrası oturum bilgisinin yenilenmesi Çıkış (logout) sonrası oturum bilgisinin sonlandırılması Çıkış (logout) sonrası oturum bilgisinin geçersiz hale getirilmesi Belirli bir süre aktif olunmaması durumunda oturumun otomatik sonlandırılması Çerez içeriğinde HttpOnly ve Secure parametrelerinin kullanılması 59
60 Kimlik Doğrulama
61 Kimlik Doğrulama Authentication Tanım: Kullanıcının kimliğini saptamak Yetersiz kimlik doğrulama sonuçları: Yetki artırımı ve yetkisiz işlem Kullanıcı sahteciliği Servis dışı bırakma 61
62 Kimlik Doğrulama: 3 Faktör-3 Metod 3 Faktör Kullanıcının Bildiği Kullanıcının Sahip Olduğu Kullanıcının Kendisi 3 Metod Tek Etmenli İki Etmenli Birçok Etmenli 62
63 Kimlik Doğrulama Çeşitleri En fazla desteklenen metoddur (RFC 2617) Base64 kodlama kullanılır Esnek değildir Logout fonksiyonu yoktur Sadece Windows sunucu ve istemcileri Parola sunucu tarafında açık tutulmaz NTLM veya Kerberos Proxy ve güvenlik duvarları ile uyumlu değildir Özel yapım çözüm Esnek yapılıdır Proxy ve güvenlik duvarları ile uyumludur Çok kullanıcılı uygulamalarda tercih edilir Basit (Basic) Özet (Digest) Bütünleşik (Integrated) Windows Sertifika Tabanlı (Certificate Based) Form Tabanlı (Form Based) Tuzlanmış (salted) MD5 kriptografik özet (hash) kullanılır Parola sunucu tarafında (Apachehtpasswd) açık (clear-text) tutulur İki taraflı kimlik doğrulama mümkündür Geçerli sertifikaya ihtiyaç vardır. Proxy ve güvenlik duvarları ile uyumludur. Sertifikanın korunması gerekmektedir. 63
64 Kimlik Doğrulama Stratejileri İstemci Sunucu taraflı kimlik doğrulama Varsayılan kullanıcı değerleri Kullanıcı adı parola politikaları SSL ile koruma Şifre kurtarma operasyonları Kimlik doğrulamada kayıt tutma İstemcinin sertifika ile doğrulanması 64
65 Kimlik Doğrulama Form Tabanlı Kimlik Doğrulama Kimlik doğrulama sonrası yanıt 200 OK 302 Found Hassas bilgiler ve istemci depoları (cache) Expires: -1 Cache-Control: no-cache, no-store Pragma: no-cache <META HTTP-EQUIV= Cache-Control CONTENT= no-cache,no-store > <META HTTP-EQUIV= Pragma CONTENT= no-cache > <META HTTP-EQUIV= Expires CONTENT= -1 > 65
66 Kimlik Doğrulama Kaba Kuvvet (Brute Force) Saldırıları Tanım: Mümkün olan tüm ihtimallerin denenmesi. admin a b c d e aa bb cc dd ee Username Password : admin abcd 66
67 Kimlik Doğrulama Sözlük (Dictionary) Saldırıları Tanım: Daha önce hazırlanmış sözlükteki anahtar kelimelerin denenmesi admin qwerty 123qwe password Username Password : admin qwerty 123qwe
68 Kimlik Doğrulama CAPTCHA Completely Automated Public Turing test to tell Computers and Humans Apart Bilgisayar ve insanın ayırt edilmesi Kaba Kuvvet ve Sözlük saldırılarına karşı etkili 68
69 Kimlik Doğrulama OTP (One Time Password) Tek kullanımlık şifre üretimi Kimlik doğrulamayı bir faktör artırır. Kazıma kartları, SMS mesajları, Token lar 69
70 Kimlik Doğrulama Tümleşik Oturum (Single Sign-On) Alt etki alanları (subdomains) sunucu1.sirket.com.tr, sunucu2.sirket.com.tr Farklı etki alanları sirket-bir.com.tr, sirket-iki.com.tr Federation SAML, OpenID, WS-Trust, WS-Federation, OAuth Merkezi yetkilendirme Dizin sunucusu, Veritabanı CAS, OpenSSO, Oracle IDM, CA Farklı protokoller ve bileşenler de dahil olabilir Genelde Kerberos üzerinden Bütünleşik Windows -> İşletim sistemi + uygulama Radius + Kerberos + IEEE 802.1x + işletim sistemi + uygulama 70
71 Kimlik Doğrulama Bileşenler Arası Kimlik Doğrulama Uygulama sunucular arası etkileşim Yük dengeli çalışan sunucular arası kimlik doğrulama HTTP sunucular (IIS, Apache v.s) ile uygulama sunucuları (BizTalk, WebLogic, Managed Services Engine (MSE), Reports Server) arası kimlik doğrulama Uygulama sunucu ve HTTP sunucu ile üçüncü katman sunucular (Dizin servisleri, Veritabanı) arası kimlik doğrulama Kullanıcı kimlik bilgilerinin bileşenler arası aktarılması Delegation, Impersonation, Protocol Transition 71
72 Yetkilendirme
73 Yetkilendirme Authorization Kimlik doğrulamış kullanıcıların erişim ve haklarının belirlenmesi Yetkilendirme çeşitleri: IP veya sunucu adı tabanlı URL tabanlı Uygulama tabanlı Kontrollü gezinim. (Forced Browsing) HTTP Referer başlığı Tuzlanmış URL kriptografik özeti Yetkilendirme sunucu tarafında yapılmalıdır. ActiveX, Flash, Silverlight, Java Applet 73
74 Yetkilendirme Stratejiler (1) Platform tarafından sunulan hazır yetkilendirme yöntemlerinin kullanımı JAAS, Apache Shiro.NET Framework: role-based security Uygulama sunucularının güvenli kurulum değerlerine sahip olması Kurulumda güvenli varsayılan değerler ve koruma Minimum hak prensibi İşletim Sistemi Uygulama Sunucusu Koşan İş Koşan Kullanıcı Windows IIS/6/7 ve ASP.NET W3wp.exe NETWORK SERVICE / Service Principal Unix Apache ve PHP Httpd /apache apache Windows IBM Websphere java.exe Local System / Service Principal 74
75 Yetkilendirme Stratejiler (2) Üçüncü katman sunucu bağlantıları Veritabanına tek kullanıcı ya da çok kullanıcı ile bağlantı Tüm katmanlardaki kullanıcıların merkezileştirilmesi Oracle Proxy Authentication Minimum hak prensibi sa, system, root vb. kullanılmamalı LDAP: anonim kullanıcılar Veritabanı: sql depo prosedürleri Stratejiler (3) Geliştirme Ortamları Geliştirme ve üretimde minimum hak prensibi Otomatik web tarayıcıları Dosya temizliği robot.txt Kaba kuvvet saldırıları Kaynak kontrolü metotları (anti-resource metering) Cevaplama zamanı ayarlama, CAPTCHA 75
76 Yetkilendirme Hak Yükseltme Saldırıları Kullanıcının yetkisi dışındaki haklara erişimi Türleri Yatay hak yükseltme Dikey hak yükseltme Veli (yönetici) Ahmet (müşteri) Mehmet (müşteri) Yatay Hak Yükseltme 76
77 Yetkilendirme Yatay Hak Yükseltme & Dikey Hak Yükseltme Örnekler <form method= POST > action= >... <input type= hidden name= login_name value= auser > <input type= hidden name= list value= FREQUENT_FLYER >... <input type= hidden name= list_admin value= F >... </form> 77
78 Sunum İçeriği Genel Bakış Bilgi Toplama Girdi & Çıktı Denetimi Oturum Yönetimi Kimlik Doğrulama & Yetkilendirme İş Mantığı Problemleri Ayar Yönetimi 78
79 Neler Öğrendik? Neden Oturum Yönetimi? Oturum Sabitleme (Session Fixation) Siteler Arası Talep Sahteciliği (CSRF) Kimlik Doğrulama Metodları Kimlik Doğrulama Çeşitleri Kimlik Doğrulama Stratejileri Yetkilendirme Stratejileri Hak Yükseltme Saldırıları 79
80 İş Mantığı Problemleri
81 İş Mantığı Problemleri Business Logic Web Application Vulnerability Scanner (Web Uygulama Açıklık Tarayıcıları) tespit edemez. IDS / IPS cihazları yakalayamaz. Web Application Firewalls (Uygulama Güvenlik Duvarları) tespit edemez. 81
82 İş Mantığı Problemleri Gerçek Hayattan Bir Örnek Bir web uygulaması Sadece Kullanıcı Bilgisi Gör var; Kullanıcı Bilgisi Güncelle yok. Kullanıcılar kendi kişisel bilgilerini değiştiremiyor! Kullanıcı bilgisi güncelleme yetkisi sadece admin kullanıcılarda <form name ="UpdateCustomerInfo" border="0" width="600" method="post" action="customerinfoend.aspx > <script> function init(){ /* if (document.forms[0].txtcellphone1){ document.forms[0].txtcellphone1.integer=true; document.forms[0].txtcellphone2.integer=true; document.forms[0].txtcellphone3.integer=true; 82
83 İş Mantığı Problemleri Gerçek Hayattan Bir Örnek Sahte Form alanlarının oluşturulması <html> <form name ="UpdateCustomerInfo" border="0" width="600" method="post" action="customerinfoend.apsx"> <input type=text name="txtcellphone1" value="90"> <input type=text name="txtcellphone2" value="444"> <input type=text name="txtcellphone3" value=" "> </form> <script type="text/javascript"> document.updatecustomerinfo.submit(); </script> </html> 83
84 Ayar Yönetimi
85 Ayar Yönetimi İçerik Minimum Bilgi Prensibi Bağlantı Güvenliği: SSL / TLS HTTP Metodları Denetimi Test Ortamları 85
86 Minimum Bilgi Prensibi Need To Know Principle Mesajlar, Hatalar, Dokümanlar, Sayfalar Geçersiz parola, lütfen tekrar deneyiniz! Kullanıcı adınızı kontrol ediniz! Parolanız 6 karakter uzunluğunda olmalıdır Geçersiz kullanıcı adı veya parola! 86
87 Bağlantı Güvenliği SSL/TLS SSL Parametreleri Protokol Versiyonları: SSL 1.0, 2.0 ve 3.0, TLS 1.0, 1.1 ve TLS 1.2 Şifre Demetleri (Cipher Suites) Anahtar değişim (Key exchange) Kimlik doğrulama (Authentication) Simetrik şifreleme (Symmetric encryption) Bütünlük koruma (integrity protection) SSL_RSA_WITH_RC4_128_MD5 87
88 Bağlantı Güvenliği SSL/TLS Zayıf Kabul Edilen SSL Parametreleri Kullanılan Protokol SSL v2 ve öncesi Anahtar Değişim Fazı Anonymous Diffie-Hellman, EXPORT RSA Simetrik Şifreleme NULL şifreleme, 56 bitten küçük şifreleme algoritmaları Bütünlük Koruma MD2, MD4, MD5 (?) 88
89 Bağlantı Güvenliği SSL/TLS Apache SSL Yapılandırması SSLCipherSuite direktifi kullanılarak yapılır. Zayıf Yapılandırma: SSLCipherSuite RC4-MD5:DES-CBC3-SHA:EXP-RC4-MD5 Kuvvetli Yapılandırma:!ADH:HIGH:MEDIUM:!SSLv2 En Kuvvetli Yapılandırma: HIGH:!aNULL:!MD5 IIS SSL Yapılandırması Şifre demeti sıkılaştırmaları için: HKLM\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Ciphers Protokol versiyonu sıkılaştırmaları için: HKLM\System\CurrentControlSet\Control\SecurityProviders\SCHANNEL\Protocols 89
90 Bağlantı Güvenliği SSL/TLS İstemci Yapılandırmaları Internet Explorer Registry ayarları (regedit) Firefox About:config Opera Preferences-Advanced-Security- Security Protocols Chrome Options-Under the Hood- Security 90
91 Bağlantı Güvenliği SSL/TLS SSL Güvenlik Kontrol Listesi 1 Sunucu İsmi Sertifikadaki Issued to alanında yazan alan adı ile sitenin alan adının aynı olması gereklidir 2 Sertifika Makamı Sertifikadaki Issued by alanında yazan makamın güvenilir olması gereklidir. 3 Geçerlilik Süresi Sertifikaların geçerlilik sürelerinin dolmadığını kontrol edilmelidir. 4 SSL/TLS Versiyon SSL/TLS protokollerinin en yeni sürümü kullanılmalıdır. 5 Şifre Demetleri Kuvvetli şifre demetleri kullanılmalıdır (kimlik doğrulama, anahtar değişimi, şifreleme, bütünlük) 91
92 Bağlantı Güvenliği Giriş Sayfalarının Güvenliği Kullanıcı girişi sayfalarında mutlaka SSL/TLS kullanılmalı. SSL li hizmet verilen uygulamalarda aynı zamanda SSL siz hizmet verilmemeli. 92
93 HTTP Metodları Denetimi Diğer HTTP Metodları HEAD: GET gibi çalışır fakat istek karşılığında gövde kısmını (body) döndürmez. Genelde cevap içinde bulunan meta bilgilerini okumaya yarar. PUT: Belirtilen kaynağı yükler. DELETE: Belirtilen kaynağı siler. OPTIONS: İzin verilen HTTP metotlarını listeler. CONNECT: Web sunucusunu bir proxy gibi kullanmaya yarar. TRACE: Hata ayıklamada kullanılır. 93
94 Test Ortamları Test Ortamı Güvenliği Veri gizliliğinin korunması Data Masking Ayar dosyalarında bulunan bağlantı bilgileri Şifrelemede kullanılan anahtarların taşınması Test ve canlı ortam güvenlik ayarları senkronizasyonu işletim sistemi, uygulama sunucusu, dizin sunucusu ve uygulama Güvenli Clone alma sürecinin dokümantasyonu 94
95 Web Güvenliği Sunucu Taraflı Denetimler Kademeli Savunma Web Güvenliği Beyaz Liste Denetimi Minimum Yetki Prensibi Bilmesi Gereken Prensibi 95
96 Teşekkürler
Tanımı 46 2-4-6 Problemi 46 Şüpheci Yaklaşım 47 Tamsayı Taşması (Integer Overflow) 47 Tamsayı Taşması Java Uygulaması 48
1 Yazılım Güvenliği 2 Yazılım Güvenliği Olgunluk Modelleri 4 OpenSAMM 6 Tehdit Modelleme 7 Güvenli Kod Denetimi 8 Statik Kod Analizi 9 Sızma Testleri-Pentest 10 13 Ne Kadar Karmaşık Olabilir ki? 14 HTML
Web Uygulama Güvenliği Kontrol Listesi 2010
Web Uygulama Güvenliği Kontrol Listesi 2010 1 www.webguvenligi.org Web uygulama güvenliği kontrol listesi 2010, OWASP-Türkiye ve Web Güvenliği Topluluğu tarafından güvenli web uygulamalarında aktif olması
ÖRÜN (WEB) GÜVENLİĞİ. Hazırlayan: Arda Balkanay 704041003
ÖRÜN (WEB) GÜVENLİĞİ Hazırlayan: Arda Balkanay 704041003 Taslak Giriş WEB Nasıl Çalışır Hedef WEB Güvenlik Açıkları / Uygulama Problemleri Tehditler Sonuç Giriş WWW World Wide Web İnternet servislerini
CSRF (XSRF, Cross Site Request Forgery Cross Site Reference Forgery ) Nedir? Nasıl Kullanılır? ve Nasıl Korunulur?
CSRF (XSRF, Cross Site Request Forgery Cross Site Reference Forgery ) Nedir? Nasıl Kullanılır? ve Nasıl Korunulur? CSRF (XSRF, Cross Site Request Forgery Cross Site Reference Forgery ) Nedir? Başlamadan
VERİ GÜVENLİĞİ. Web Uygulamaları Güvenliği. Özer Çelik Matematik-Bilgisayar Bölümü
VERİ GÜVENLİĞİ Web Uygulamaları Güvenliği Özer Çelik Matematik-Bilgisayar Bölümü Http nedir? HTTP (İngilizce Hypertext Transfer Protocol, Türkçe Hiper Metin Transfer Protokolü) bir kaynaktan dağıtılan
HTTP. (Hyper Text Transfer Protocol)
HTTP (Hyper Text Transfer Protocol) Http, bir kaynaktan dağıtılan ve ortak kullanıma açık olan hiperortam bilgi sistemleri için uygulama seviyesinde bir iletişim kuralıdır (http://tr.wikipedia.org/wiki/http).
Medula Eczane Stok Bilgileri Web Servisleri Kullanım Kılavuzu
T.C. SOSYAL GÜVENLİK KURUMU Medula Eczane Stok Bilgileri Web Servisleri Kullanım Kılavuzu 29 ARALIK 2016 Amaç Eczanelerin sorgulanan güne ait olan reçete ilaç bilgilerinin istemci tarafına gönderilmesi.
Web Uygulamaları Sızma Testi Türk Standardları Enstitüsü Yazılım Test ve Belgelendirme Dairesi Başkanlığı
Web Uygulamaları Sızma Testi Türk Standardları Enstitüsü Yazılım Test ve Belgelendirme Dairesi Başkanlığı Tarih 1 Sunum İçeriği Giriş Web Teknolojileri Standartları Bilgi Toplama ve Ayar Yönetimi Girdi-Çıktı
Oturum Öncesi Tanımlı Oturum Kimliği Çerezi Açığı Gökhan
Oturum Öncesi Tanımlı Oturum Kimliği Çerezi Açığı Gökhan Muharremoğlu Oturum Öncesi Tanımlı Oturum Kimliği Çerezi Açığı Oturum öncesi tanımlı oturum kimliği çerezi açığı, az bilinen ve dünya genelinde
Web 2.0 Güvenliği @2014 Örnek Eğitim Notu bilgi@bga.com.tr
Web 2.0 Güvenliği @2014 Örnek Eğitim Notu bilgi@bga.com.tr Javascript 1995 Netscape, Brendan Eich tarafından geliştirildi. Dinamik olmasının yanında en önemli iki özelliği; Lambda Closure Javascript -
Web Uygulama Pentest Eğitimi
Web Uygulama Pentest Eğitimi Konu: Girdi Denetimi @2014 Örnek Eğitim Notu bilgi@bga.com.tr Girdi Denetimi Uygulama kullanmadan önce bütün güvensiz verilerin doğru bir şekilde denetlenmesidir. Bir çok saldırı
Güvenlik Java ve Web Uygulama Güvenliği
Güvenlik Java ve Web Uygulama Güvenliği Melih Sakarya www.melihsakarya.com melih.sakarya@gmail.com www.mergecons.com Olası Açıklar Donanımsal açıklar Sistemsel Açıklar Yazılımsal Açıklar Sosyal Mühendislik
Web Uygulama Güvenliğinde Doğru Bilinen Yanlışlar!
Web Uygulama Güvenliğinde Doğru Bilinen Yanlışlar! Deniz Çevik Güvenlik Testleri Yöneticisi deniz.cevik@biznet.com.tr Gündem Kısaca Biznet Web Uygulama Mimarisine Kısa Bir Bakış Uygulama Güvenliği Sağlamada
WEB UYGULAMA GÜVENLİĞİ HAKKINDA. Mesut Güngör İzmir Yüksek Teknoloji Enstitüsü Bilgi İşlem Daire Başkanlığı
WEB UYGULAMA GÜVENLİĞİ HAKKINDA Mesut Güngör İzmir Yüksek Teknoloji Enstitüsü Bilgi İşlem Daire Başkanlığı İçindekiler Bilinen en popüler web uygulama atakları Güvenli yazılım geliştirme Prosedürler Bilinen
Yeni Nesil Ağ Güvenliği
Yeni Nesil Ağ Güvenliği Ders 6 Mehmet Demirci 1 Bugün Taşıma katmanı güvenliği (TLS, SSL) İnternet katmanı güvenliği (IPSec) Kablosuz bağlantı güvenliği Güvenlik duvarları 2 SSL/TLS SSL ilk olarak Netscape
Web Application Penetration Test Report
Web Application Penetration Test Report Sızma testleri (Pentest) ve zayıflık tarama (Vulnerability Assessment) birbirine benzeyen iki aşamadan oluşur. Zayıflık tarama hedef sistemdeki güvenlik açıklıklarının
PHP ile Web Uygulama Güvenliği
PHP ile Web Uygulama Güvenliği Burak DAYIOĞLU - Burç YILDIRIM bd@dikey8.com by@dikey8.com http://www.dikey8.com Web de Güvenlik İhtiyacı Web e bağımlılığımız giderek artıyor Uygulamalar artan biçimde görev-kritik
Bilgisayar Ağları ve Ağ Güvenliği DR. ÖĞR. ÜYESİ KENAN GENÇOL HİTİT ÜNİVERSİTESİ ELEKTRİK-ELEKTRONİK MÜH.
Bilgisayar Ağları ve Ağ Güvenliği DR. ÖĞR. ÜYESİ KENAN GENÇOL HİTİT ÜNİVERSİTESİ ELEKTRİK-ELEKTRONİK MÜH. TCP/IP (Transmission Control Protocol/Internet Protocol) Bilgisayarlar arasında veri haberleşmesini
YAZILIM GÜVENLİĞİ POLİTİKASI 1/6. Doküman No : Yayınlandığı Tarih: Revizyon No: 00
1/6 1. AMAÇ: Bu doküman İstanbul Üniversitesinde geliştirilmiş ve geliştirilmekte olan tüm uygulamalarında yazılımın her türlü güvenliğinin sağlanması amacıyla tüm yazılım geliştiriciler, veri tabanı ve
State Yönetimi. Bir web sayfası ile sunucu arasındaki etkileşim ;
State Yönetimi State Yönetimi Web Page sınıflarının nesneleri, sayfa sunucu tarafına her defasında gönderildiğinde oluşturulur. Böyle bir durum sayfada kullanıcının girmiş olduğu ve sayfa ile ilişkili
Dünyanın bilgisine açılan pencere... Ya da sadece yeni çağın eğlencesi...
Dünyanın bilgisine açılan pencere... Ya da sadece yeni çağın eğlencesi... Bilgisayar Ağı (Network) Nedir? Bir ana bilgisayarın denetiminde birbirlerine bağlı olarak çalışan bilgisayarların oluşturduğu
CELAL BAYAR ÜNİVERSİTESİ KÜTÜPHANE VERİTABANLARINA ÜNİVERSİTE DIŞINDAN ERİŞİM
Celal Bayar Üniversitesi kütüphane veritabanlarına üniversite dışından erişebilmek için kullandığınız internet tarayıcısına uygun olarak bazı ayarlar yapmanız gerekmektedir. Aşağıda tanımlanan ayarlar
ĐSTEMCĐ SUNUCU SĐSTEMLER DERSĐ FĐNAL ÇALIŞMASI SORULAR YANITLAR
ĐSTEMCĐ SUNUCU SĐSTEMLER DERSĐ FĐNAL ÇALIŞMASI SORULAR YANITLAR 4.ÜNĐTE Đyi bir DNS in içermesi gereken özellikler nelerdir? ( 5 ) Đsimlendirme imlası açık ve süphesiz olmalıdır; Bir kullanıcı bir isme
Web Güvenliği Topluluğu webguvenligi.org Web Uygulama Güvenliği Kontrol Listesi 2012
Web Güvenliği Topluluğu webguvenligi.org Web Uygulama Güvenliği Kontrol Listesi 2012 Web Uygulama Güvenliği Kontrol Listesi, web uygulamalarında bilgi güvenliği açısından gerçekleştirilmesi, aktif olması
YAZILIM GÜVENLİK TESTLERİ. H A L D U N T E R A M A N h a l d u n t e r a m a g m a i l. c o m
YAZILIM GÜVENLİK TESTLERİ H A L D U N T E R A M A N h a l d u n t e r a m a n @ g m a i l. c o m TEST NEDİR? Test, bir sistemi manuel veya otomatik yollarla deneyerek veya değerlendirerek, belirlenmiş
PHP ile İnternet Programlama
PHP ile İnternet Programlama Doç.Dr. Gazi Üniversitesi Gazi Eğitim Fakültesi Bilgisayar ve Öğretim Teknolojileri Eğitimi Bölümü 5. BÖLÜM: Oturum Yönetimi ve Güvenlik Sayfaya Yönlendirme PHP sayfamızdan
İSMET AKTAR ANADOLU TEKNİK LİSESİ BİLİŞİM TEKNOLOJİLERİ ALANI WEB PROGRAMCILIĞI DALI
İSMET AKTAR ANADOLU TEKNİK LİSESİ BİLİŞİM TEKNOLOJİLERİ ALANI WEB PROGRAMCILIĞI DALI WEB TASARIMI VE PROGRAMLAMA DERSİ TEMEL KAVRAMLAR Bilişim Teknolojileri Web Tasarımı ve Programlama Dersi Durhan GABRALI
Web Formlar ve Sayfalar Arasında Bilgi Gönderme. BATML İnternet Programcılığı 1
Web Formlar ve Sayfalar Arasında Bilgi Gönderme BATML İnternet Programcılığı 1 Bazı web sitelerinde sayfalar arasında bilgi veya değişken göndermek gerekebilir. Gönderilen bu bilgi kullanıcı adı ve şifre
Basit bir web uygulaması
AJAX Ahmet Demirelli ahmetdemirelli@sabanciuniv.edu SCJP 5.0, SCWCD 1.4 Sabancı Üniversitesi Bilişim Teknolojileri Yüksek Lisans Programı 3/20/2007 Sabanci University 1 Ajanda Neden AJAX ihtiyacı AJAX
Selective Framebusting
Selective Framebusting Seçiçi Çerçeveleme Engelleme Sema Arık, TurkcellTeknoloji, sema.arik@turkcellteknoloji.com.tr Bedirhan Urgun, Web Güvenlik Topluluğu, urgunb@hotmail.com Giriş PCI DSS Requirements
Öğr. Gör. Serkan AKSU http://www.serkanaksu.net. http://www.serkanaksu.net/ 1
Öğr. Gör. Serkan AKSU http://www.serkanaksu.net http://www.serkanaksu.net/ 1 JavaScript JavaScript Nedir? Nestcape firması tarafından C dilinden esinlenerek yazılmış, Netscape Navigator 2.0 ile birlikte
Dünyanın bilgisine açılan pencere... Ya da sadece yeni çağın eğlencesi...
Dünyanın bilgisine açılan pencere... Ya da sadece yeni çağın eğlencesi... Bilgisayar Ağı (Network) Nedir? Bir ana bilgisayarın denetiminde birbirlerine bağlı olarak çalışan bilgisayarların oluşturduğu
Ufuk Üniversitesi Kütüphanesi Kütüphane Kaynaklarına Erişim Bilgileri
İçindekiler Proxy... 3 Windows Proxy Ayarlama... 4 İnternet Explorer Web Tarayıcıda Proxy Ayarlama - Windows... 4 Chrome Web Tarayıcıda Proxy Ayarlama - Windows... 8 Mozilla Firefox Web Tarayıcıda Proxy
Her Yönüyle SQL Enjeksiyonu. OWASP-Türkiye Bünyamin Demir
Her Yönüyle SQL Enjeksiyonu OWASP-Türkiye Bünyamin Demir Bünyamin Demir ( @bunyamindemir ) OWASP Türkiye Bölüm Lideri Founder & CTO @ Enforsec Ltd. Sızma Testleri Uzmanı Web, Mobil, Network, SCADA, Wireless,
Spring Security Framework Harezmi Bilişim Çözümleri
Spring Security Framework Harezmi Bilişim Çözümleri www.java-egitimleri.com 1 Ajanda Güvenlik İhtiyaçlarına Genel Bakış Spring Security Nedir? & Özellikleri Neden Spring Security? Spring Security Yapıtaşları
BTP 207 İNTERNET PROGRAMCILIĞI I. Ders 1
BTP 207 İNTERNET PROGRAMCILIĞI I Ders 1 2 Dersi Veren: Doç.Dr. Nuray At Mühendislik Fakültesi, Elektrik-Elektronik Müh. Bölümü, EEM213 e-mail: nat@anadolu.edu.tr Kaynaklar: 1. E. Yaşar, T. Özseven, İnternet
ProFTPD FTP Sunucusu. Devrim GÜNDÜZ. TR.NET Sistem Destek Uzmanı. devrim@gunduz.org
Devrim GÜNDÜZ TR.NET Sistem Destek Uzmanı devrim@gunduz.org http://seminer.linux.org.tr http://belgeler.linux.org.tr http://lkd.belgeler.org http://www.linux.org.tr/belgeler.php http://www.gunduz.org/belgeler.php
Ağ Yönetiminin Fonksiyonel Mimarisi
Bölüm 7 Ağ Yönetimi Ağ Yönetiminin Fonksiyonel Mimarisi a) Performans (Performance) Yönetimi b) Sistem Ayarları (Configuration) Yönetimi c) Hesap (Account) t)yönetimi i d) Hata (Fault) Yönetimi e) Güvenlik
Ülkemizdeki Üniversite Web Sayfalarının Siber Güvenlik Açısından Hızlı Bir Değerlendirmesi
Ülkemizdeki Üniversite Web Sayfalarının Siber Güvenlik Açısından Hızlı Bir Değerlendirmesi Kadriye HUYSAL ÖZGÖÇMEN kkhuysal[at]gmail.com Baran ÇELİK baran.celik[at]gmail.com Halil Özgür BAKTIR ozgur.baktir[at]gmail.com
Linux Temelli Zararlı Yazılımların Bulaşma Teknikleri, Engellenmesi ve Temizlenmesi
Linux Temelli Zararlı Yazılımların Bulaşma Teknikleri, Engellenmesi ve Temizlenmesi Zararlı Yazılım Analiz ve Mücadele Merkezi TÜBİTAK BİLGEM Siber Güvenlik Enstitüsü Sunum İçeriği Zararlı Yazılım Bulaşma
1 WINDOWS SERVER 2012 GENEL BAKIŞ 1 Giriş 1 Bu Kitapta 5 Çıkış Hikâyesi 6 Sürümler 7
İÇİNDEKİLER VII İÇİNDEKİLER 1 WINDOWS SERVER 2012 GENEL BAKIŞ 1 Giriş 1 Bu Kitapta 5 Çıkış Hikâyesi 6 Sürümler 7 2 ACTIVE DIRECTORY YENİLİKLERİ 11 DCPROMO suz Bir Hayat 11 Offline Domain Join 21 PowerShell
CODEIGNITER SEMINERI KÜTÜPHANE YAZMA GÜVENLIK ÖNLEMLERI CODEIGNITER 2.0
CODEIGNITER SEMINERI KÜTÜPHANE YAZMA GÜVENLIK ÖNLEMLERI CODEIGNITER 2.0 Özgür Web Teknolojileri Günleri 2010 Yeditepe Üniversitesi, Airties Salonu 16 Ekim 2010 (14:00 14:45) Fatih BAZMAN (http://codeigniter.gen.tr)
HP PROCURVE SWITCHLERDE 802.1X KİMLİK DOĞRULAMA KONFİGÜRASYONU. Levent Gönenç GÜLSOY 27.01.2014
HP PROCURVE SWITCHLERDE 802.1X KİMLİK DOĞRULAMA KONFİGÜRASYONU Levent Gönenç GÜLSOY 27.01.2014 1. GİRİŞ 1.1 Network Access Control (NAC) Metodları MAC Doğrulaması: 802.1x ve Web Kimlik doğrulaması desteklemeyen
Veritabanı. Ders 2 VERİTABANI
Veritabanı Veritabanı Nedir? Birbiri ile ilişkili verilerin bir arada uzun süreli bulundurulmasıdır. Veritabanı bazen Veritabanı Yönetim sistemi veya Veritabanı Sistemi yerine de kullanılır. Gerçek dünyanın
MOBILEPAX SOAP PRODUCT API KULLANIM ŞEKLİ
MOBILEPAX SOAP PRODUCT API KULLANIM ŞEKLİ Versiyon: 1.0.4 URL http://merchant.mobilepax.com/services/product.asmx Metot MobilePaxProduct fonksiyonu buton bilgisi oluşturulacak ürünün bilgilerinin Mobilepax
9. HAFTA KBT204 İNTERNET PROGRAMCILIĞI II. Öğr.Gör. Hakan YILMAZ. hakanyilmaz@karabuk.edu.tr
9. HAFTA KBT204 İNTERNET PROGRAMCILIĞI II Öğr.Gör. Hakan YILMAZ hakanyilmaz@karabuk.edu.tr Karabük Üniversitesi Uzaktan Eğitim Uygulama ve Araştırma Merkezi 2 İçindekiler Request Nesnesinin Özellikleri
AĞ KULLANIM KILAVUZU. Yazdırma Günlüğünü Ağa Kaydetme. Sürüm 0 TUR
AĞ KULLANIM KILAVUZU Yazdırma Günlüğünü Ağa Kaydetme Sürüm 0 TUR Notlara ilişkin açıklama Bu Kullanım Kılavuzu boyunca aşağıda belirtilen simgeler kullanılmıştır: Notlar, ortaya çıkabilecek bir duruma
TODAİE edevlet MERKEZİ UYGULAMALI E-İMZA SEMİNERİ 16-17 KASIM 2011. E-imza Teknolojisi. TODAİE Sunumu
TODAİE edevlet MERKEZİ UYGULAMALI E-İMZA SEMİNERİ 16-17 KASIM 2011 E-imza Teknolojisi TODAİE Sunumu Ferda Topcan Başuzman Araştırmacı ferdat@uekae.tubitak.gov.tr (312) 4688486-19 İçerik Açık Anahtarlı
ELEKTRONİK SAĞLIK KAYITLARI GÜVENLİĞİNDE IEEE 802.1x STANDARDININ KULLANILMASI
ELEKTRONİK SAĞLIK KAYITLARI GÜVENLİĞİNDE IEEE 802.1x STANDARDININ KULLANILMASI *Meriç ÇETİN **Murat AYDOS *Pamukkale Üniversitesi Bilgisayar Mühendisliği Bölümü **TÜBİTAK Ulusal E-imza Sempozyumu 7-8 Aralık
BLIND SQL INJECTION SALDIRILARI
SALDIRILARI Emre Karadeniz OSCP İçindekiler BTRisk Bilgi Güvenliği ve BT Yönetişim Hizmetleri I. Blind SQL Injection (Content Based)... 2 II. Blind SQL Injection (Content-Based) Örneği... 3 III. Blind
Pac Dosyası İle Proxy Kullanmak
Pac Dosyası İle Proxy Kullanmak Websense Web Security Gateway V7.X Sürüm Yükseltme Pac Dosyası İle Proxy Kullanmak Amaç Bu dökümanda, Pac dosyası ile istemcilerin nasıl proxy kullanabileceği anlatılacaktır.
Web Tasarımının Temelleri
1. Hafta Web Tasarımının Temelleri Öğr. Gör. Murat YAZICI www.muratyazici.com Artvin Çoruh Üniversitesi, Artvin Meslek Yüksekokulu www.artvin.edu.tr Temel Kavramlar İnternet HTML WWW HTTP, HTTPS FTP Web
MaestroPanel Kurulum
MaestroPanel Kurulum 28.09.2011 Oğuzhan YILMAZ oguzhan@maestropanel.com Gereksinimler Windows Server 2008 R2 x64 Any Edition Web Platform Installer 3.0+ Desteklenen Yazılımlar MailEnable 5.x SQL Server
T.C.SOSYAL GÜVENLİK KURUMU. Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu
T.C.SOSYAL GÜVENLİK KURUMU Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu 15.06.2015 Sayfa 1 İÇİNDEKİLER GİRİŞ...3 1 GENEL BİLGİLER...3 1.1SÜREÇ AÇIKLAMALARI....3 1.2AMAÇ....4
İZMİR EKONOMİ ÜNİVERSİTESİ KÜTÜPHANE VERİTABANINA KAMPÜS DIŞINDA ERİŞİM
İZMİR EKONOMİ ÜNİVERSİTESİ KÜTÜPHANE VERİTABANINA KAMPÜS DIŞINDA ERİŞİM İzmir Ekonomi Üniversitesi Kütüphane veritabanlarına kampüs dışından erişebilmek için kullandığınız tarayıcıya uygun olarak bazı
WEB SUNUCU GÜVENLİĞİ: Web Siteleri Neden Hacklenir?
WEB SUNUCU GÜVENLİĞİ: Web Siteleri Neden Hacklenir? Gereksiz yedek dosyaları Default ayarlarla gelen konfigürasyon dosyaları Yetkisi tam olarak verilmiş dosyalar ya da dosya izni kontrolü yapılmadan sunucuda
Web Uygulama Saldırıları ve Klasik Çözümlerin Yetersizliği
Web Uygulama Saldırıları ve Klasik Çözümlerin Yetersizliği Huzeyfe ÖNAL Bilgi Güvenliği AKADEMİSİ Huzeyfe.onal@bga.com.tr Web Uygulama Güvenliği Etkinliği / Ankara Huzeyfe ÖNAL Bilgi Güvenliği Danışmanı
Internet Programming II. Elbistan Meslek Yüksek Okulu 2014 2015 Bahar Yarıyılı
Internet Programming II Elbistan Meslek Yüksek Okulu 2014 2015 Bahar Yarıyılı Öğr. Gör. Murat KEÇECĠOĞLU 11-14 May. 2014 Form Form İşlemleri Tarayıcıdan bilgi alarak işlem gerçekleştirme FORM elemanları
WEB TASARIMININ TEMELLERİ
WEB TASARIMININ TEMELLERİ Öğr. Gör. M. Mutlu YAPICI Ankara Üniversitesi Elmadağ Meslek Yüksekokulu Ders İzlencesi Hafta Modüller/İçerik/Konular 1. Hafta İnternet ve WEB Tanımları Html Temel Etiketleri
Bilgi Güvenliği Eğitim/Öğretimi
Bilgi Güvenliği Eğitim/Öğretimi İbrahim SOĞUKPINAR Gebze Yüksek Teknoloji Enstitüsü İçerik Bilgi Güvenliği Eğitim/Öğretimi Dünyadaki Örnekler Türkiye deki Örnekler GYTE de Bilgi Güvenliği Dersi Sonuç ve
TCP/IP. TCP (Transmission Control Protocol) Paketlerin iletimi. IP (Internet Protocol) Paketlerin yönlendirmesi TCP / IP
TCP/IP Protokolü TCP/IP TCP/IP nin tarihi ARPANET ile başlayan Internetin tarihidir. Adreslerin dağıtımı NIC (Network Information Center) tarafından yapılır. Türkiye de ise bunu ODTÜ-TUBİTAK yapmaktadır.
KURUM AĞLARINI ÖNEMLĠ ZARARLI YAZILIM SALDIRILARINDAN KORUMA. Osman PAMUK
KURUM AĞLARINI ÖNEMLĠ ZARARLI YAZILIM SALDIRILARINDAN KORUMA Osman PAMUK Ġçerik Giriş Örnek Zararlı Yazılımlar Conficker Stuxnet Önemli zararlı yazılım sızma noktaları ve korunma yöntemleri Taşınabilir
VERİ MADENCİLİĞİ (Web Madenciliği)
VERİ MADENCİLİĞİ (Web Madenciliği) Yrd.Doç.Dr. Kadriye ERGÜN kergun@balikesir.edu.tr Kaynak: M. Ali Akcayol, Gazi Üniversitesi, Bilgisayar Mühendisliği Bölümü Ders Notları İçerik İnternet World Wide Web
MOBILEPAX XML PRODUCT API KULLANIM ŞEKLİ
MOBILEPAX XML PRODUCT API KULLANIM ŞEKLİ Versiyon: 1.0.4 URL Adresi http://merchant.mobilepax.com/services/product.aspx Gönderilen XML Yapısı MobilePaxProduct fonksiyonu buton bilgisi oluşturulacak ürünün
T.C.SOSYAL GÜVENLİK KURUMU. Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu
T.C.SOSYAL GÜVENLİK KURUMU Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu 20.05.2015 Sayfa 1 İÇİNDEKİLER GİRİŞ...3 1 GENEL BİLGİLER...3 1.1SÜREÇ AÇIKLAMALARI....3 1.2AMAÇ....4
(W)eb (A)pplication (F)irewall Bypass http://www.bga.com.tr bilgi@bga.com.tr
(W)eb (A)pplication (F)irewall Bypass http://www.bga.com.tr bilgi@bga.com.tr Hakkımda Mehmet Dursun İnce ( @mmetince ) Penetration Tester @BGA Vuln. Researcher @BGA mehmet.ince@bga.com.tr WAF Nedir? WAF
W3af ile Web Uygulama Güvenlik Testleri
W3af ile Web Uygulama Güvenlik Testleri Birkaç tıkla web sayfalarının, veritabanlarının hacklenebildiği, bir komutla kablosuz ağ şifrelerin kırıldığı günleri yaşıyoruz. Çok değil birkaç yıl öncesi sadece
BBL 601 AĞ GÜVENLİĞİ Prof. Dr. Bülent ÖRENCİK. Örün (WEB) Güvenliği. Arda BALKANAY 704041003
T. C. İSTANBUL TEKNİK ÜNİVERSİTESİ Bilişim Enstitüsü Bilgisayar Bilimleri Yüksek Lisans Programı BBL 601 AĞ GÜVENLİĞİ Prof. Dr. Bülent ÖRENCİK Örün (WEB) Güvenliği Arda BALKANAY 704041003 İçindekiler 1
İNTERNET HAFTA 02 TEMEL BİLGİ TEKNOLOJİSİ KULLANIMI. Öğr. Gör. GÜLTEKİN BÜYÜKŞENGÜR. SAPANCA Meslek Yüksekokulu
İNTERNET HAFTA 02 TEMEL BİLGİ TEKNOLOJİSİ KULLANIMI Öğr. Gör. GÜLTEKİN BÜYÜKŞENGÜR SAPANCA Meslek Yüksekokulu İnternet, bilgisayarların ve bilgisayar sistemlerinin birbirine bağlı olduğu, sürekli büyüyen
FTP ve Güvenlik Duvarları
FTP ve Güvenlik Duvarları FTP Protokolü FTP, sık kullanılan protokoller(http, SMTP, DNS vs) arasında en sorunlu protokoldür. Diğer protokoller tek bir TCP/UDP portu üzerinden çalışırken FTP birden fazla
YZM 3215 İleri Web Programlama
YZM 3215 İleri Web Programlama Yrd. Doç. Dr. Deniz KILINÇ Celal Bayar Üniversitesi Hasan Ferdi Turgutlu Teknoloji Fakültesi Yazılım Mühendisliği 1 BÖLÜM - 1 İleri Web Programlamaya Giriş Bu bölümde; Temel
İNTERNET VE BİLGİ AĞLARININ KULLANIMI
İNTERNET VE BİLGİ AĞLARININ KULLANIMI İnternet, birçok bilgisayar sisteminin birbirine bağlı olduğu, dünya çapında yaygın olan ve sürekli büyüyen bir iletişim ağıdır. TCP/IP (Transmission Control Protocol/Internet
T.C.SOSYAL GÜVENLİK KURUMU. Genel Sağlık Sigortası Medula Optik E-reçete Web Servisleri Kullanım Kılavuzu
T.C.SOSYAL GÜVENLİK KURUMU Genel Sağlık Sigortası Medula Optik E-reçete Web Servisleri Kullanım Kılavuzu 15.06.2015 Sayfa 1 İÇİNDEKİLER GİRİŞ...3 1 GENEL BİLGİLER...3 1.1SÜREÇ AÇIKLAMALARI....3 1.2AMAÇ....4
Programlama Yazılımı ile Web Sitesi Oluşturma
Hafta- 2 Programlama Yazılımı ile Web Sitesi Oluşturma Programlama yazılımı, bir web projesi oluşturmak için alternatif birkaç yol sunar. Buyollardan bir tanesi ihtiyaca uygun olarak seçilebilir. Programlama
TÜBİTAK UEKAE ULUSAL ELEKTRONİK ve KRİPTOLOJİ ARAŞTIRMA ENSTİTÜSÜ
TÜBİTAK UEKAE ULUSAL ELEKTRONİK ve KRİPTOLOJİ ARAŞTIRMA ENSTİTÜSÜ GÜVENLİ KURUMSAL MESAJLAŞMA UYGULAMASI Ulusal Elektronik İmza Sempozyumu, 7-8 Aralık 2006 İsmail GÜNEŞ E-posta:ismail@uekae.tubitak.gov.tr
PAPERWORK TEKNİK MİMARİ
PAPERWORK ECM TEKNİK MİMARİ 1. Şekilde (1) numara ile gösterilen Content Server adı verilen Uygulama Sunucusudur. Content Server tüm iş mantığını içerir. Veri Tabanına ve arşivlenen belgelere erişim yetkisi
Internet Programming II. Elbistan Meslek Yüksek Okulu Bahar Yarıyılı
Internet Programming II Elbistan Meslek Yüksek Okulu 2015 2016 Bahar Yarıyılı Öğr. Gör. Murat KEÇECĠOĞLU 23 May. 2016 Form Form İşlemleri Tarayıcıdan bilgi alarak işlem gerçekleştirme FORM elemanları yardımıyla
8. HAFTA KBT204 İNTERNET PROGRAMCILIĞI II. Öğr.Gör. Hakan YILMAZ. hakanyilmaz@karabuk.edu.tr
8. HAFTA KBT204 İNTERNET PROGRAMCILIĞI II Öğr.Gör. Hakan YILMAZ hakanyilmaz@karabuk.edu.tr Karabük Üniversitesi Uzaktan Eğitim Uygulama ve Araştırma Merkezi 2 İçindekiler QUERYSTRING KOLEKSIYONU... 3 FORM
PHP 1. Hafta 1. Sunum
PHP 1. Hafta 1. Sunum PHP101: PHP nedir? Bu dersten sonra bilecekleriniz PHP nedir? PHP ye neden ihtiyaç vardır? PHP nin gelişimi HTML, HTTP ve JS nedir? PHP yle alakası nedir? PHP nin uygulama alanları
BİH 605 Bilgi Teknolojisi Bahar Dönemi 2015
BİH 605 Bilgi Teknolojisi Bahar Dönemi 2015 Ders- 13 World Wide Web (WWW) Yrd. Doç. Dr. Burcu Can Buğlalılar Bilgisayar Mühendisliği Bölümü Bilgisayar Katmanları İçerik World Wide Web (WWW) Anlık Mesajlaşma
Web Uygulamaları Mimarileri ve Güvenliği
Web Uygulamaları Mimarileri ve Güvenliği METU CCLUB erbil Karaman başlıklar... Web uygulama mimarileri Uygulama geliştirme ve framework kullanımı Güvenli web uygulamaları için öneriler baslamadan önce...
Türkiye Barolar Birliği internet sitesi
Türkiye Barolar Birliği internet sitesi Türkiye Barolar Birliği internet sitesi, güncel teknolojinin sunduğu son imkânlarla, tamamen merkezi yönetim sistemine sahip dinamik ve geliştirilebilir bir sistem
Internet: Tarihçe ve Kavramlar
Internet: Tarihçe ve Kavramlar Umut Al umutal@hacettepe.edu.tr Internet in Tarihçesi 1945 Vannevar Bush memex 1962 Licklider (MIT) Galaktik Ağ 1969 DARPA ARPANET 1972 İlk e-posta 1983 TCP-IP 1991 Gopher,
Html temelleri. Ders 4
Html temelleri Ders 4 1 Giriş World Wide Web (Kısaca web) uygun protokoller kullanarak haberleşen yazılımların çalıştırıldığı internet üzerindeki sistemlerin bir koleksiyonudur. Çoğu sistem gününüzde en
T.C.SOSYAL GÜVENLİK KURUMU. Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu
T.C.SOSYAL GÜVENLİK KURUMU Genel Sağlık Sigortası Medula Optik E-rapor Web Servisleri Kullanım Kılavuzu 20.05.2015 Sayfa 1 İÇİNDEKİLER GİRİŞ...3 1 GENEL BİLGİLER...3 1.1SÜREÇ AÇIKLAMALARI....3 1.2AMAÇ....4
Yazılım Geliştirme Sürecinde OWASP Projeleri
Yazılım Geliştirme Sürecinde OWASP Projeleri Dr. Eminİslam Tatlı OWASP-Türkiye Web Güvenliği Günü 9 Haziran 2012 Hakkımda Senior Security Consultant @ Daimler TSS Bilgi Güvenliği Mimarı & Penetration-Tester
Simetrik (Gizli) Kriptografik Sistemler Blok Şifreler Standartlaştırma. DES-Data Encryption Standard (Bilgi Şifreleme Standardı)
Bilgi Güvenliği Simetrik (Gizli) Kriptografik Sistemler Blok Şifreler Standartlaştırma DES-Data Encryption Standard (Bilgi Şifreleme Standardı) Düzmetin (64 bit) Başlangıç Permütasyonu 58 50 42 34 26 18
Bilgisayar Programcılığı Uzaktan Eğitim Programı. e-bilg 121 AĞ TEKNOLOJİLERİNİN TEMELLERİ Öğr. Gör. Bekir Güler E-mail: bguler@fatih.edu.
Bilgisayar Programcılığı Uzaktan Eğitim Programı e-bilg 121 AĞ TEKNOLOJİLERİNİN TEMELLERİ Öğr. Gör. Bekir Güler E-mail: bguler@fatih.edu.tr Hafta 2. Uygulama (Application) katmanı 2.1 Ağ uygulamalarının
Bölüm 10: PHP ile Veritabanı Uygulamaları
Bölüm 10: PHP ile Veritabanı Uygulamaları -231- Öğr.Gör. Serkan DİŞLİTAŞ 10.1. PHP PHP, platformdan bağımsız sunucu taraflı çalışan betik bir web programlama dilidir. PHP programlama dili ile MySQL, MSSQL,
Öğrencilerin Canlı derslere katılması, * Sisteme giriş
Öğrencilerin Canlı derslere katılması, * Sisteme giriş Öncelikle bilgisayarlarınızda bulunan internete girmenizi sağlayacak olan tarayıcıyı açmanız gerekmektedir. Hangi tarayıcıyı kullanırsanız kullanın,
MOBILEPAX ENTERPRISE API (WEB SERVİS)
MOBILEPAX ENTERPRISE API (WEB SERVİS) Versiyon: 1.0.5 İçindekiler İçindekiler... 2 1. Belgenin Amacı... 3 2. Sistem Gereksinimleri... 3 3. Belge Sürümleri... 3 4. Kullanım Şekli... 3 4.1 Web den Başlatma...
Veritabanı Sızma Testleri Türk Standardları Enstitüsü Yazılım Test ve Belgelendirme Dairesi Başkanlığı
Veritabanı Sızma Testleri Türk Standardları Enstitüsü Yazılım Test ve Belgelendirme Dairesi Başkanlığı Tarih 1 Veritabanı Sızma Testleri Veritabanı sistemleri kritik sistemlerdir. Testler sonucunda elde
OKIRU/SATORI BOTU İNCELEMESİ
OKIRU/SATORI BOTU İNCELEMESİ Bilge SGT Bilge SGT, teknoloji entegrasyonu ve siber güvenlik alanında faaliyet göstermektedir. Özellikle kamu kurumları, finans kuruluşları ve kritik altyapılara yönelik hizmetler
0x01 : Zafiyetin İncelenmesi
CSRF Mesut Timur, , webguvenligi.org, 19/02/2009 CSRF, Cross-Site Request Forgery, web uygulamalarındaki çeşitli fonksiyonalitelerin mağdur kullanıcının bilgisi dahilinde olmadan
Bilgi Servisleri (IS)
Bilgi Servisleri (IS) GRID Kullanıcı Eğitimi Boğaziçi Üniversitesi 2007, İstanbul Emrah AKKOYUN Konu Başlığı Neden ihtiyaç duyulur? Kullanıcılar kimlerdir? Bilgi Servisi türleri MDS ve BDII LDAP Bilgi
Yandex mail ve disk kullanım rehberi
Yandex mail ve disk kullanım rehberi Tüm personelin ortak bir platformda uyumlu çalışmasını destekleyecek bilgi teknolojisi ücretsiz bir şekilde kurumunuz için hayata geçirildi. Sistem ve sunucu yatırımı
ORTA DOĞU TEKNİK ÜNİVERSİTESİ BİLGİ İŞLEM DAİRE BAŞKANLIĞI. Güvenlik ve Virüsler. ODTÜ BİDB İbrahim Çalışır, Ozan Tuğluk, Cengiz Acartürk 04.04.
Güvenlik ve Virüsler ODTÜ BİDB İbrahim Çalışır, Ozan Tuğluk, Cengiz Acartürk 04.04.2005 Bilgi güvenliği neden gerekli? Kişisel bilgi kaybı Üniversiteye ait bilgilerin kaybı Bilgiye izinsiz erişim ve kötüye