Saldırganların bir web uygulamasını hedef alma süreci genellikle şu adımları içerir:
- Amaç: Sistem hakkında bilgi toplamak (teknoloji yığını, API'ler, zayıf konfigürasyonlar).
- Yöntemler:
- DNS Sorguları: Hedef alan adının IP’sini ve alt alanlarını tespit ederler.
- Versiyon Tespiti: Kullanılan yazılımların (Apache, WordPress) eski veya güvenlik açıklı sürümlerini ararlar.
- Kaynak Kod Analizi: Public repository’lerdeki kod sızıntılarını veya yorum satırlarındaki hassas bilgileri kontrol ederler.
- Amaç: Uygulamadaki güvenlik açıklarını bulmak.
- Yaygın Hedefler:
- Girdi Noktaları: Formlar, URL parametreleri, API endpoint’leri.
- Kimlik Doğrulama ve Yetkilendirme: Zayıf şifreler, eksik MFA, yetersiz oturum yönetimi.
- Veri Sızıntıları: Şifrelenmemiş veriler, hatalı ACL (Erişim Kontrol Listeleri).
- Third-Party Bileşenler: Eski kütüphaneler (Log4j gibi).
- Amaç: Tespit edilen zayıflıkları kullanarak sisteme sızmak.
- Yaygın Saldırılar:
- SQL Injection (SQLi): Veritabanını ele geçirmek için kötü amaçlı sorgular.
- Cross-Site Scripting (XSS): Kullanıcı tarafına zararlı script enjekte etmek.
- Cross-Site Request Forgery (CSRF): Kullanıcıyı yetkisiz işlem yapmaya zorlamak.
- Business Logic Flaws: Örneğin, sepetteki ürün fiyatını manipüle etmek.
- Server-Side Request Forgery (SSRF): Dahili sistemlere erişim sağlamak.
- Amaç: Sistemi kontrol altında tutmak ve veri çalmak.
- Yöntemler:
- Backdoor Yükleme: Web shell’ler (örn. PHP veya ASP dosyaları).
- Credential Harvesting: Kullanıcı hesaplarını çalma.
- Lateral Movement: İç ağda yayılmak için diğer servisleri hedefleme.
Saldırganlar, zayıf konfigürasyonlar, eski bileşenler ve hatalı kodlardan yararlanır. Savunma ise katmanlı bir yaklaşım gerektirir: input sanitization, güçlü kimlik doğrulama, şifreleme, düzenli güncellemeler ve sürekli izleme. OWASP Top 10’u referans alarak sistematik bir güvenlik politikası oluşturmak kritik öneme sahiptir.