Staj Raporu ( 11 Gün) Siirt Üniversitesi.

staj 11 gün

16.07.2019

       projem ile ilgili araştırma yaparak veritabanı hakkında bilgi topladıktan sonra projemin veritabanı şemasını (vertabelo sitesi) üzerinde tasarladım sonra günün toplantısına katıldım toplantıda gönüllü stajyer Furkan arkadaşımızdan web güvenliği ile ilgili bilgiler aldım bunlardan bazıları şöyleydi.

• Sql injection zaafiyeti: SQL Injection, veri tabanına   dayalı   uygulamalara  saldırmak için kullanılan bir   atak tekniğidir; burada saldırgan  SQL  dili  özelliklerinden faydalanarak  standart  uygulama  ekranındaki  ilgili  alana  yeni  SQL ifadelerini ekler. Sql injectionın iki tip SQL Injection olduğunun bunların.

1. Error Based Sql Injection: Geçersiz girişler kendisine iletildiğinde veri tabanındaki hataları tetikleyerek  almak istediğimiz verileri geri dönen hata ile almaktan geçer. 
2. Blind Based Sql Injection: Bu yöntem diğer yöntemlerden daha uzun ve tahmin gerektiren bir yöntemdir. Bir web uygulamasında istek gönderildiğinde, kullanıcıya sadece “false” veya “true” dönüyorsa, sql injection yaparak, veri tabanı, tablo adı, kullanıcı adı veya şifre gibi bilgilerin tek tek karakterlerini, kelime uzunluklarını tahmin edip veri tabanından bize bir cevap dönmesini bekleriz. Örnek olarak ilk sıradaki veri tabanı adının 1. Harfi a mı? Ya da kelime uzunluğu 5 mi? gibi sorgularla hedefimize ulaşırız. 

• Sql injection yöntemlerini gördükten sonra Genel SQL injection korunma yöntemleri hakkında bilgi aldım ve korunma yöntemleri şöyle.

1.  GET ya da POST ile yollanan verileri doğrulamak 
2.  Gönderilen verileri filtrelemek 
3. SQL Parametresi kullanmak (Prepare yapmak) 
4. Kullanıcı yetkilerini kısıtlamak 
5. Güvenliği test etmek, gözden geçirmek, önemli verileri encrypt etme

• Daha sonra diğer saldırı yöntemleri hakkında bilgi aldım bu yöntemlerden bazı şöyleydi

1. Cross-site scripting (XSS).
2. Brute-Force Saldırısı.
3. File Upload Zafiyeti.