Mobil Uygulama Güvenliğinin Temelleri: Statik ve Dinamik Analiz Dünyası Mobil uygulamalar hayatımızın merkezinde. Bankacılık işlemlerimizden sosyal medya hesaplarımıza, sağlık verilerimizden kişisel mesajlarımıza kadar her şey akıllı telefonlarımızdaki uygulamalarda barındırılıyor. Peki bu uygulamalar ne kadar güvenli? Web uygulamalarının aksine, mobil uygulamalarda kaynak kodun ve uygulama paketinin (Android için .apk, iOS için .ipa) kendisi doğrudan kullanıcının (ve…
11. XML External Entity (XXE) Injection Seri No: #11 | Türkçe Karşılığı: XML Dış Varlık Enjeksiyonu Giriş & Çalışma Sebebi XXE, web uygulamalarının kullanıcıdan veya dış sistemlerden aldığı XML verilerini işlerken (parse ederken) meydana gelen mimari bir zafiyettir. XML yapısı, veri taşırken dinamik olarak dış kaynakları (external entities) çağırmaya ve bir değişken gibi kullanmaya izin…
6. Server-Side Request Forgery (SSRF) Seri No: #6 | Türkçe Karşılığı: Sunucu Taraflı İstek Sahteciliği Giriş & Çalışma Sebebi SSRF, saldırganın hedef web sunucusunu bir “vekil” (proxy) gibi kullanarak, sunucunun erişebildiği iç (yerel) veya dış ağlara istek atmasını sağlamasıdır. Zafiyetin asıl sebebi, uygulamanın kullanıcıdan bir URL alıp (Örn: Profil resmi yüklemek için dışarıdan URL verme)…
1. IDOR (Insecure Direct Object Reference) Türkçe Karşılığı: Güvensiz Doğrudan Nesne Referansı Giriş & Çalışma Sebebi Uygulama geliştiricileri, kullanıcıların kendi verilerine erişmesi için genellikle URL veya istek parametrelerinde benzersiz numaralar (ID) kullanırlar. Zafiyetin asıl sebebi, sunucunun gelen isteği işlerken “Bu ID’ye sahip veri var mı?” diye kontrol etmesi ama “Bu ID’ye erişmeye çalışan kullanıcı, gerçekten…
Gün geçtikçe gelişen ve yaygınlaşan teknoloji dünyası, beraberinde ne yazık ki bir dizi karmaşık siber sorunu da getirmektedir. İnternet kullanımlarında IP adresi dağıtımının yetersizliğinden tutun, geleneksel güvenlik teknolojilerinin yetersiz kalmasına varıncaya kadar pek çok konunun dijital dönüşüm hızına yetişemediği gözlemlenmektedir. Kurumların siber güvenlik altyapılarını ve tedbirlerini sağlamlaştırabilmek adına bir dizi proaktif önlem alması gerekmektedir. Özellikle…
Siber güvenlik dünyasında ve sızma testlerinde (Pentest), hız ve pratiklik her şeydir. Web uygulamalarındaki zafiyetleri tespit etmek isteyen uzmanlar ve bilgisayar korsanları, her defasında devasa ve hantal yazılımları çalıştırmak yerine gündelik tarayıcılarını (Chrome, Firefox vb.) güçlü birer analiz aracına dönüştürürler. Tarayıcı eklentileri (extensions), hedef sistem hakkında hızlıca bilgi toplamak ve basit düzeyde saldırı senaryolarını test…
Tor Tarayıcısı (Tor Browser), internet kullanıcılarının dijital dünyada gizliliklerini korumalarını, anonim olarak gezinmelerini ve sansürlü web sitelerine erişmelerini sağlayan, açık kaynak kodlu ve tamamen ücretsiz bir web tarayıcısıdır. İsmini, arkasındaki şifreleme teknolojisi olan “The Onion Router” (Soğan Yönlendirici) kavramından alır. İlk olarak ABD Deniz Araştırma Laboratuvarı tarafından askeri istihbarat iletişimini korumak amacıyla geliştirilen bu teknoloji,…
Zararlı yazılım analizi (Malware Analysis), şüpheli bir dosyanın veya kod bloğunun ne amaçla yazıldığını, sisteme nasıl bulaştığını, hangi bileşenlerle iletişime geçtiğini ve ne tür zararlar verdiğini anlama sürecidir. Siber güvenlik dünyasının bu elit ve derin alanında uzmanlaşmak, sistem mimarilerinden tersine mühendisliğe kadar geniş bir bilgi birikimi gerektirir. Bu alanda kendinizi geliştirmek ve adım adım ilerleme…
Web uygulaması sızma testlerinde (Web Pentest) teorik bilgiyi pratiğe dökmeden gerçek anlamda uzmanlaşmak mümkün değildir. Ancak, yasal izin almadan gerçek web siteleri üzerinde testler gerçekleştirmek siber suç teşkil eder. İşte tam bu noktada, siber güvenlik meraklılarının ve uzmanlarının kendilerini yasal ve güvenli bir şekilde geliştirebilmeleri için özel olarak tasarlanmış zafiyetli laboratuvar ortamları (Vulnerable Labs) devreye…
Popüler kültürde ve medyadaki yaygın algının aksine, her bilgisayar korsanı (hacker) kötü niyetli değildir. Siber dünya, sistemleri çökertmeye çalışanlar ile o sistemleri korumak için hayatını adayanların amansız mücadelesine sahne olur. Bu mücadelede korsanlar, yürüttükleri faaliyetlerin etiğine ve yasal durumuna göre farklı “şapka” renkleriyle sınıflandırılır. En Yaygın Hacker Türleri Siber güvenlik literatüründe kabul görmüş en temel…