Netsparker Web Güvenliği Blog'u

İleri Seviye Sqlmap Kullanımı

Kategori: Web Güvenliği - Güncelleme: 02 Mart 2017 - Emre Iyidogan
İleri Seviye Sqlmap Kullanımı

Sqlmap, web uygulamalarında SQL Injection tespitini ve bulunan açıkların exploit edilmesini otomatik hale getiren açık kaynak kodlu bir araçtır. Sqlmap'te kullanılan parametrelerin neredeyse tamamı önemli işlevlere sahip parametrelerdir. Bu yazıda söz konusu parametrelerden bazıları hakkında bilgiler verilmiş ve örnekler gösterilmiştir. Ayrıca Netsparker Desktop'ın sunduğu sqlmap komutlarını kopyalayabilme desteği hakkında da bilgilendirme yapılmıştır. Devamı

Server Side Template Injection Zafiyeti

Kategori: Web Güvenliği - Güncelleme: 27 Şubat 2017 - Omer Citak
Server Side Template Injection Zafiyeti

Web uygulamarı geliştirmek artık eskisi kadar kolay değil. Artık projelerimizi modern mimariler ile tasarlamamız gerekiyor. Bu modern mimarinin birçoğunda olan View katmanında bize yardımcı olması için template engineler kullanırız. Template engineler birçok kolaylığın yanında bir takım güvenlik zafiyetlerini de yanında getiriyor. Bu yazıda bu zafiyetlerden bahsettik. Devamı

Web Güvenlik Taramalarındaki Uyumsuzluğu Çözme

Kategori: Web Güvenliği - Güncelleme: 23 Şubat 2017 - Robert Abela
Web Güvenlik Taramalarındaki Uyumsuzluğu Çözme

Sunucu sorunları, bağlantı problemleri gibi sebeplerden dolayı yaptığınız iki farklı tarama, birbirinden farklı neticeler verebilir. Hatalı tarama sonuçlarının neden oluştuğunu ve bu sorunların nasıl tespit edilip çözüme kavuşturulacağını bu yazımızla öğrenebilirsiniz. Devamı

BeEF Framework Nedir? Nasıl Kullanılır?

Kategori: Web Güvenliği - Güncelleme: 17 Şubat 2017 - Omer Citak
BeEF Framework Nedir? Nasıl Kullanılır?

Mobil istemciler de dahil olmak üzere müşterilere yönelik web tabanlı saldırılarla ilgili endişeler arttıkça, BeEF, profesyonel penetrasyon test cihazının istemci taraflı saldırı vektörlerini kullanarak gerçek bir hedef güvenlik ortamını değerlendirebilmesini sağlar. BeEF, bir veya daha fazla web tarayıcısını kendine bağlayarak ve bunları yönlendirilmiş komut modüllerini başlatmak ve ... Devamı

Jenkins ile Netsparker Entegrasyonu

Kategori: Web Güvenliği - Güncelleme: 06 Şubat 2017 - Omer Citak
Jenkins ile Netsparker Entegrasyonu

Continuous Integration mimarisi günümüzdeki yazılım projelerinde olmazsa olmaz haline geldi. Deployment sürecinin otomatize olarak yapılmasının artılarından dolayı güvenlik testlerinin de bu mimari dahilinde otomatize edilmesi gereksinimi ortaya çıktı. Jenkins popüler Continuous Integration araçlarından biridir. Bu yazımızda Jenkins ile Netsparker tarafından yapılacak testlerin nasıl otomatize edilip Continuous Integration sürecine dahil edilebileceğini anlattık. Devamı

Meraklısı için Wordpress Content Injection Zafiyeti (4.7.0 & 4.7.1)

Kategori: Web Güvenliği - Güncelleme: 03 Şubat 2017 - Ziyahan Albeniz
Meraklısı için Wordpress Content Injection Zafiyeti (4.7.0 & 4.7.1)

Wordpress 4.4 sürümü ile birlikte REST API desteğini eklemişti. 4.7.0 ve 4.7.1 sürümlerinde ise varsayılan olarak aktif hale getirdi. Getirilen bu imkan, söz konusu versiyonlarda bugünlerde herkesin konuştuğu Content Injection zafiyetini ortaya çıkardı. Zafiyetin ayrıntılarını ve etkilerini, hakkında yazılan ilk Türkçe kaynaktan öğrenmek için yazımızı okuyabilirsiniz. Devamı

Sunucu Üzerinde Dizin Listeleme Özelliği ve Getirdiği Riskler

Kategori: Web Güvenliği - Güncelleme: 02 Şubat 2017 - Onur Yilmaz
Sunucu Üzerinde Dizin Listeleme Özelliği ve Getirdiği Riskler

Web sunucusu üzerinde yanlış olarak yapılan ya da ön tanımlı olarak gelen konfigürasyonlar neticesinde dizin listeleme açık hale gelebilmekte ve çeşitli riskler doğurabilmektedir. Söz konusu riskler hakkında bilgi edinmek ve sunucu türüne göre dizin listelemenin nasıl kapatıldığını öğrenmek için detayları blog girdisinden okuyabilirsiniz. Devamı

Unexpected Redirect Response Body (Too Large)

Kategori: Web Güvenliği - Güncelleme: 27 Ocak 2017 - Emre Iyidogan
Unexpected Redirect Response Body (Too Large)

Netsparker, bir tarama esnasında veya sonrasında Information olarak geçen bazı uyarılar verebilir. Bu uyarıları hafife almak bazen kötü sonuçlar doğurabilmektedir. Bunlardan biri olan ve authentication bypass ya da çeşitli script hataları gibi olumsuzluklara neden olabilen Unexpected Redirect Response Body (Too Large) uyarısı hakkında bilgi edinmek için yazımızı okuyabilirsiniz. Devamı

CRLF Injection ve HTTP Response Splitting Zafiyeti

Kategori: Web Güvenliği - Güncelleme: 23 Ocak 2017 - Sven Morgenroth
CRLF Injection ve HTTP Response Splitting Zafiyeti

Bu yazımızda CRLF Injection zafiyetinin ne olduğu ve bu zafiyetin kurbanın web tarayıcısını kandırmaya yönelik yapılan HTTP response splitting veya HTTP header injection saldırılarına nasıl zemin hazırladığını anlattık. Devamı

Meraklısı İçin PwnScriptum (PHP Mailer Remote Code Execution) Zafiyeti

Kategori: Web Güvenliği - Güncelleme: 03 Ocak 2017 - Ziyahan Albeniz
Meraklısı İçin PwnScriptum (PHP Mailer Remote Code Execution) Zafiyeti

"2016 yılının son günlerinde birbiri ardına yayınlanan dört zafiyet tüm dikkatleri üzerine çekti. Dört farklı kütüphanedeki (PHPMailer < 5.2.18, SwiftMailer <= 5.4.5-DEV, RoundCube 1.2.2, Zend Framework<2.4.11(ZendMail < 2.7.2 )) bu zafiyetler esasen PHP mail() fonksiyonunun ekstra parametre göndermek için kullanılan bir özelliğinden kaynaklanmakta. Daha doğrusu, kullanıcıdan alınan datanın doğru bir biçimde denetlenmeyip, bu parametreye aktarılması ve sonrasında açığa çıkan komut enjeksiyonu hakkında. Devamı