SQL Enjeksiyonu ve Komut Enjeksiyonu

SQL injection (SQLi), bir saldırganın daha sonra bir veritabanı query'sine aktarılan input alanına kötü amaçlı SQL kodu eklemesi veya “enjekte etmesi” durumunda ortaya çıkar. Uygulama, User input'unu doğrudan bir SQL ifadesine birleştirdiği için veritabanı meşru verilerle saldırgan tarafından sağlanan Commands arasında ayrım yapamaz. SQLi, OWASP Top 10'da sürekli olarak en tehlikeli web Vulnerabilities'lerinden biri olarak yer alır.

Vulnerable bir giriş query'si şöyle görünebilir: SELECT * FROM users WHERE username='INPUT' AND password='INPUT'. Kullanıcı adı olarak ' OR '1'='1 sağlayan bir saldırgan, query'yi dönüştürerek WHERE koşulunun her zaman doğru olmasını ve kimlik doğrulamanın tamamen aşılmasını sağlar. Bu, klasik totoloji tabanlı injection yöntemidir.

SQL injection saldırıları çeşitli biçimlerde gerçekleşir: In-band SQLi, sonuçları doğrudan HTTP yanıtında döndürür (error tabanlı veya union tabanlı). Blind SQLi, verileri Boolean doğru/yanlış yanıtları veya kasıtlı zaman gecikmeleri (SLEEP(5)) üzerinden çıkarır. Out-of-band SQLi, yanıtların görünür olmadığı durumlarda verileri dışarı aktarmak için DNS aramaları gibi ikincil kanalları kullanır.

SQL injection'a karşı birincil savunma parametreli query'lerdir (hazırlanmış ifadeler olarak da adlandırılır). Parametreli bir query'de SQL yapısı önce derlenir ve User input'u ayrı bir parametre olarak aktarılır; input hiçbir zaman query yapısını değiştiremez. Bu yaklaşım dilden bağımsızdır ve tek başına input temizlemeden çok daha güvenilirdir.

Parametreli query'ler birincil savunma olsa da input doğrulama önemli bir ikincil katman sağlar. Allowlist doğrulaması yalnızca beklenen karakterleri kabul eder (örneğin bir kullanıcı adı alanında yalnızca alfasayısal karakterler) ve diğer her şeyi reddeder. Denylist doğrulaması bilinen kötü karakterleri engeller, ancak saldırganlar denylist'leri aşmak için Payload'ları sıklıkla kodlar veya gizler; bu nedenle allowlist'ler çok daha güçlüdür.

Command injection (OS command injection), bir uygulamanın temizlenmemiş User input'unu bir System shell'ine aktarması durumunda ortaya çıkar. Veritabanlarını hedefleyen SQL injection'ın aksine command injection doğrudan işletim System'ini hedefler; saldırganlara web sunucusu sürecinin Privileges'larıyla rastgele Commands çalıştırma olanağı verir. Critical önem derecesinde değerlendirilir ve sıklıkla System'in tamamen ele geçirilmesine yol açar.

User tarafından sağlanan bir IP adresine ping atan bir web uygulaması şunu kullanabilir: ping -c 1 INPUT. Bir saldırgan 8.8.8.8; cat /etc/passwd sağlarsa shell, ; karakterini bir command ayırıcısı olarak yorumlar ve her iki command'i çalıştırır. Yaygın injection operatörleri arasında ;, &&, ||, | ve backtick command substitution bulunur.

Command injection'a karşı en güvenli savunma, User input'undan OS Commands çağırmaktan tamamen kaçınmaktır; aynı amacı gerçekleştiren kütüphane işlevlerini kullanın. Shell çağrıları kaçınılmaz olduğunda, bağımsız değişkenleri bir liste olarak aktarın (asla birleştirilmiş bir dize olarak değil), shell yorumlamasını devre dışı bırakın, input'u katı bir allowlist'e göre doğrulayın ve süreçleri mümkün olan en az Privileges'a sahip User hesabıyla çalıştırın.

OWASP İlk 10 listesi, Injection'ı (SQL, NoSQL, OS ve LDAP injection'larını kapsar) en kritik uygulama Security risklerinden biri olarak sıralar. OWASP, çok katmanlı bir Defense yaklaşımı önerir: yorumlayıcıyı devre dışı bırakan Safe API'ler kullanın, Server tarafında olumlu (izin listesi) input doğrulaması yapın, özel karakterleri söz konusu yorumlayıcıya özgü söz dizimini kullanarak kaçışlayın ve toplu veri ifşasını önlemek için LIMIT gibi SQL denetimlerinden yararlanın.

Bir Web Application Firewall (WAF), HTTP isteklerini imza pattern'larına göre inceleyerek yaygın injection yüklerini tespit edip engelleyebilir. Ancak WAF'ler kodlamaya dayalı hilelerle atlatılabilir ve güvenli kodlamanın yerini tutmaz. Uygun uygulama kayıtları — sorgu parametrelerini, yanıt kodlarını ve error mesajlarını kaydetmek — Security ekiplerinin olay incelemesi sırasında injection girişimlerini belirlemesini sağlar.

Injection saldırıları, tarihteki en büyük veri ihlallerinden bazılarına yol açmıştır. 2017'deki Equifax ihlali, bir web uygulaması açığı aracılığıyla 147 milyon kaydı açığa çıkardı. 2011'de Sony PlayStation Network'e yönelik SQL injection saldırısı 77 milyon hesabı tehlikeye attı. Bu olaylar, injection açıklarının işletmeler üzerinde son derece ağır etkileri olduğunu gösterir: başarılı bir injection saldırısının ardından veri hırsızlığı, düzenleyici kurumların para cezaları, itibar kaybı ve hukuki sorumluluk ortaya çıkar.

Bu derste işlenen CompTIA Security+ (SY0-701) kavramlarını anlayıp anlamadığınızı test edin.

Bu derste şunları öğrendiniz: SQL injection, temizlenmemiş input'un veritabanı sorgularına birleştirilmesini istismar eder, command injection, ; ve | gibi işleçler aracılığıyla Malicious input'u OS kabuğuna aktarır ve parametreli sorgular ile shell=True kullanmaktan kaçınmak temel Defense yöntemleridir. Sırada Cross-Site Scripting (XSS) ve CSRF saldırılarını inceleyeceğiz.