En Sık Görülen 5 Web Uygulaması Zafiyeti

Yıllardır aynı zafiyetler farklı uygulamalarda tekrar tekrar karşımıza çıkıyor. İşte gerçek sızma testlerinde en sık bulduğumuz 5 kritik web zafiyeti ve korunma yolları.

1. SQL Injection

Kullanıcı girdisi doğrudan veritabanı sorgusuna eklendiğinde saldırgan veritabanını manipüle edebilir; veri çalabilir hatta kimlik doğrulamayı atlatabilir.

Korunma: Her zaman parametreli sorgular (prepared statements) kullanın; kullanıcı girdisine asla güvenmeyin.

2. Cross-Site Scripting (XSS)

Saldırganın zararlı JavaScript'i başka kullanıcıların tarayıcısında çalıştırmasıdır. Oturum çalma ve sahte içerik gösterimiyle sonuçlanabilir.

Korunma: Tüm çıktıları bağlama uygun şekilde encode edin; Content Security Policy uygulayın.

3. Kimlik Doğrulama ve Oturum Açıkları

Zayıf şifre politikaları, korumasız oturum çerezleri ve brute-force koruması eksikliği hesapların ele geçirilmesine yol açar.

Korunma: Güçlü şifre kuralı, 2FA, oturum süresi ve deneme sınırlaması uygulayın.

4. Güvenlik Yanlış Yapılandırması

Varsayılan şifreler, açık debug modu, gereksiz açık portlar ve eksik güvenlik başlıkları en kolay istismar edilen açıklardandır.

Korunma: Sunucuları sıkılaştırın, gereksiz servisleri kapatın, güvenlik başlıklarını (HSTS, X-Frame-Options, CSP) ekleyin.

5. Bozuk Erişim Kontrolü

Bir kullanıcının yetkisi olmayan verilere veya işlemlere erişebilmesidir (örn. başka kullanıcının kaydını görme — IDOR).

Korunma: Her istekte yetki kontrolü yapın; nesne kimliklerine değil, oturum sahipliğine güvenin.

Sonuç

Bu zafiyetlerin çoğu bilinen ve önlenebilir olsa da, üretim sistemlerinde hâlâ yaygın. Düzenli sızma testi, bu açıkların saldırganlar tarafından bulunmadan kapatılmasını sağlar.