E-Ticarette SQL Injection Riski ve Veritabanı Savunma Rehberi

SQL Injection

Veritabanı motorları gelen komutları doğrudan çalıştırarak istemciye yanıt üretir. Yazılımcılar kullanıcıdan gelen veriyi herhangi bir süzgeçten geçirmeden SQL sorgusuna dahil ettiğinde zafiyet doğar. Çünkü saldırgan form alanına sıradan bir arama kelimesi yerine mantıksal operatörler (`’ OR ‘1’=’1`) girer. Bu sayede sorgunun orijinal mantığı bozulur ve veritabanı tüm satırları teslim eder.

Ayrıca saldırganlar bu açıklardan faydalanarak doğrudan yönetici yetkisi elde edebilir. Örneğin giriş ekranlarında şifreyi bilmeden sadece kullanıcı adını manipüle ederek oturum açarlar. Yaşanan bu durum siber korsanların veritabanındaki diğer tablolara da sıçramasına olanak tanır. Dolayısıyla e-ticarette SQL injection riski kurumsal ağın derinliklerine kadar uzanan çok tehlikeli bir tehdittir.

Modern web dillerinde dinamik sorgu oluşturma alışkanlığı bu açığın temel kaynağıdır. Nitekim dizeleri tırnak işaretleriyle uç uca eklemek veritabanı motorunu yanıltır. Şirketler güvenli kodlama standartlarını zorunlu kılmadığı takdirde bu riskleri ortadan kaldıramaz. Bu nedenle mimariyi en baştan sağlam temellere oturtmak şarttır.

E-Ticarette Yaygın Enjeksiyon Noktaları

Online alışveriş siteleri kullanıcı etkileşiminin en yoğun olduğu yazılımlardır. Çünkü müşteriler sürekli ürün filtreler, yorum yazar, adres günceller ve sepet hesaplar. Her bir etkileşim veritabanına giden yeni bir SQL sorgusu demektir. Yazılım mühendislerinin bu temas noktalarını çok sıkı denetlemesi gerekir.

Arama Çubukları ve Filtreleme Formları

Kullanıcılar arama kutularına aradıkları ürün adını yazar. Ancak saldırganlar bu alanlara özel tırnak işaretleri ve `UNION` operatörleri enjekte eder. Zira sorgu doğru sanitize edilmediğinde arama sonuçları yerine çalışanların maaşları veya müşteri şifreleri ekrana basılır.

Bunun sonucunda saldırgan tek bir URL bağlantısıyla binlerce kredi kartı numarasını çekebilir. Dolayısıyla e-ticarette SQL injection riski doğrudan checkout ve katalog parametrelerinde kendini gösterir. Ekipler bu alanlara gelen tüm metinleri özel fonksiyonlarla temizlemelidir.

Sepet ve Sipariş Süreçleri

Bazı e-ticaret yazılımları sepet tutarını veritabanına kaydederken gizli form alanlarını kullanır. Fakat saldırganlar araya girerek sepet tutarı parametresine SQL komutları yerleştirir. Bu sayede pahalı bir elektronik cihazın fiyatı sembolik bir kuruşa çekilebilir.

Şirketler bu tür finansal suistimalleri haftalar sonra muhasebe denetiminde fark eder. Üstelik veritabanı logları incelenmediğinde saldırının kaynağı dahi tespit edilemez. Bu sebeple ödeme ve sepet adımlarındaki her sorgu iki kat daha sıkı denetlenmelidir.

Saldırı Türleri ve Mekanizmaları

SQL enjeksiyonu tek bir şablona bağlı kalmaz; saldırganlar sistemin verdiği tepkilere göre farklı metodolojiler uygular. Zira modern web uygulamaları artık hata mesajlarını ekrana doğrudan basmamaktadır. Bu durumu aşmak isteyen korsanlar gelişmiş teknikler kullanır.

Klasik (In-Band) SQLi

Saldırgan komutu gönderdiği kanal üzerinden sonuçları doğrudan tarayıcı ekranında görür. Örneğin `UNION SELECT` komutlarıyla mevcut tablonun altına başka tablolar eklenir. Bu yöntem e-ticarette SQL injection riski senaryolarında en hızlı veri çalma biçimidir.

Korsanlar bu teknikle saniyeler içinde tüm `musteriler` tablosunu ekrana döker. Ancak güncel güvenlik duvarları bu tür basit dizilimleri kolaylıkla yakalar.

Kör (Blind / Çıkarımsal) SQLi

Uygulama ekranda hiçbir hata veya veritabanı çıktısı göstermez; yalnızca sayfa açılır ya da hata verir. Fakat saldırgan mantıksal `TRUE / FALSE` soruları sorarak veritabanını harf harf çözer. Örneğin veritabanı adının ilk harfi ‘A’ ise sayfa normal yüklenir, değilse boş döner.

Otomatik araçlar bu kontrolü saniyede yüzlerce kez yaparak karmaşık şifreleri çözer. Nitekim kör enjeksiyonlar tespit edilmesi en zor olan sinsi zafiyetlerdendir.

Zaman Tabanlı (Time-Based) SQLi

Sayfada hiçbir değişiklik olmadığında saldırganlar veritabanına uyku komutları (`pg_sleep()`, `WAITFOR DELAY`) gönderir. Zira sorgu doğruysa sunucu 10 saniye geç yanıt verir, yanlışsa anında cevap döner.

Saldırgan sunucunun yanıt verme süresini kronometreyle ölçerek verileri parça parça çalar. Dolayısıyla e-ticarette SQL injection riski ekranda hiçbir veri görünmese dahi arka planda işlemeye devam eder.

Saldırının Ticari ve Hukuki Sonuçları

Veritabanı sızıntıları bir e-ticaret işletmesinin karşılaşabileceği en yıkıcı siber krizdir. Çünkü müşteri portföyünün rakiplerin veya dolandırıcıların eline geçmesi telafisi imkansız güven kaybı yaratır. Mağdurlar yaşadıkları mağduriyeti sosyal medyada paylaşarak markayı boykot eder.

Ayrıca 6698 sayılı Kişisel Verilerin Korunması Kanunu veritabanı sızıntılarını en ağır şekilde cezalandırır. Zira şirketler gerekli teknik tedbirleri almadığı gerekçesiyle milyonlarca liralık idari para cezalarıyla karşılaşır. Üstelik sızıntının 72 saat içinde kuruma ve kamuoyuna bildirilmesi zorunludur.

Mali kayıplar yalnızca idari cezalarla sınırlı kalmaz; çalınan müşteri hesaplarıyla yapılan sahte işlemler ters ibraz (chargeback) masrafları doğurur. Bankalar güvenliği zayıf platformların sanal POS hesaplarını askıya alır. Sonuç olarak e-ticarette SQL injection riski firmanın ticari hayatını doğrudan sona erdirebilir.

Parametreli Sorgular ve Güvenli Kodlama

SQL enjeksiyonunu tamamen durdurmanın tartışmasız tek yolu parametreli sorgular (Prepared Statements) kullanmaktır. Çünkü parametreli sorgularda veritabanı motoru SQL komutu ile kullanıcı girdisini birbirine asla karıştırmaz. Kod ile veri birbirinden kesin sınırlarla ayrılır.

Uygulama önce sorgu şablonunu derler, ardından kullanıcı girdisini salt bir metin dizisi olarak şablona bağlar. Saldırgan en tehlikeli SQL komutlarını yazsa bile veritabanı bunu yalnızca bir arama metni olarak yorumlar. Aşağıdaki prensipler güvenli kodlamanın temelini oluşturur:

• PDO ve Hazır Deyimler: PHP ortamında ham `mysqli_query` yerine `PDO::prepare` yapılarını zorunlu kılmak.
• ORM Araçlarının Doğru Kullanımı: Hibernate, Entity Framework veya Prisma gibi ORM araçlarında ham SQL çalıştırmaktan kaçınmak.
• Katı Veri Tipi Doğrulaması: Sayı beklenen ID parametrelerini `intval()` veya tip denetleyicileriyle tam sayıya zorlamak.
• Özel Karakter Kaçırma (Escaping): Zorunlu hallerde veritabanına özel kaçırma fonksiyonlarını eksiksiz çalıştırmak.

Yazılımcılar asla kullanıcıdan gelen verilere güvenmemelidir. Özellikle çerezler, başlıklar ve gizli form alanları da saldırganlar tarafından manipüle edilebilir. Bu nedenle e-ticarette SQL injection riski önleme kurgusu her parametreyi şüpheli kabul etmelidir.

Periyodik olarak gerçekleştirilen web uygulama sızma testleri yazılımdaki gizli SQL kaçaklarını tespit ederek sistemleri saldırganlardan önce koruma altına alır.

Veritabanı Katmanında En Az Yetki İlkesi

Yazılımda bir açık kalsa dahi veritabanı sunucusu seviyesinde alınacak önlemler hasarı sınırlandırır. Çünkü birçok e-ticaret sitesi veritabanına bağlanırken doğrudan `root` veya `sa` gibi en üst düzey yönetici hesaplarını kullanır. Bu hata saldırganın işletim sistemine kadar sıçramasına yol açar.

Bilişim ekipleri en az yetki ilkesine (Principle of Least Privilege) sadık kalmalıdır. Veritabanı yöneticileri şu kısıtlamaları derhal devreye almalıdır:

1. Yıkıcı Komutları Yasaklama: Web uygulamasının kullandığı hesaptan `DROP`, `ALTER`, `GRANT` ve `CREATE` yetkilerini tamamen almak.
2. Tablo Düzeyinde İzinler: Kullanıcıya yalnızca okuma ve yazma gereken tablolarda (`SELECT`, `INSERT`, `UPDATE`) yetki tanımlamak.
3. Sistem Tablolarını Gizleme: Normal kullanıcıların `information_schema` veya `mysql.user` gibi kritik katalog tablolarını sorgulamasını engellemek.
4. İşletim Sistemi Komutlarını Kapatma: SQL Server’da `xp_cmdshell` veya MySQL’de `INTO OUTFILE` fonksiyonlarını sunucudan tamamen silmek.

Bu kısıtlamalar sayesinde saldırgan SQL enjeksiyonu yapsa dahi tabloları silemez veya sunucuda zararlı yazılım çalıştıramaz. Dolayısıyla e-ticarette SQL injection riski veritabanı katmanında sınırlandırılarak felaket senaryoları engellenir.

WAF ve Giriş Doğrulama Katmanları

Web Uygulama Güvenlik Duvarı (WAF), HTTP trafiğini uygulama katmanında inceleyerek saldırıları sunucuya ulaşmadan önce durdurur. Nitekim gelişmiş WAF sistemleri arama kutularına ve URL parametrelerine yazılan zararlı SQL kalıplarını imza ve davranış analiziyle yakalar.

WAF kuralları bilinen saldırı araçlarının (sqlmap vb.) isteklerini sınırda bloke eder. Ancak WAF tek başına bir çözüm değildir; zira saldırganlar çeşitli kodlama (URL encoding, hex) teknikleriyle kuralları atlatabilir. Bu sebeple WAF ek bir savunma hattı olarak görülmeli, temel güvenli kodlama ihmal edilmemelidir.

Ayrıca merkezi log yönetimi (SIEM) veritabanı sorgularındaki anormallikleri takip etmelidir. Örneğin saniyede binlerce hatalı SQL sorgusu üreten bir IP adresi derhal kara listeye alınmalıdır. Böylece e-ticarette SQL injection riski erken tespit ile kontrol altına alınır.

Kurumlar güvenlik altyapılarını güçlendirmek için Sibertim kurumsal siber güvenlik danışmanlığı alarak WAF ve veritabanı savunma kurgularını uluslararası standartlara kavuşturabilir.

Kurumsal Savunma Yol Haritası

Veritabanı güvenliği tek bir yama ile sağlanamaz; sürekli denetim ve operasyonel disiplin gerektirir. E-ticaret şirketleri müşteri kayıtlarını korumak adına aşağıdaki yol haritasını tavizsiz hayata geçirmelidir:

• Statik ve Dinamik Kod Analizi (SAST / DAST): Yazılım geliştirme sürecinde kaynak kodların otomatik tarama araçlarıyla sürekli taranması.
• Düzenli Penetrasyon Testleri: Bağımsız etik hacker ekiplerine yılda en az iki kez kapsamlı web ve API sızma testi yaptırılması.
• Veri Tabanı Şifreleme (TDE): Müşteri verilerini disk üzerinde şifreli olarak depolayarak dosya bazlı sızıntıları engelleme.
• Yazılımcı Güvenlik Eğitimleri: Yazılım ekibine OWASP prensipleri ve güvenli veritabanı mimarileri konusunda eğitimler verilmesi.
• Acil Müdahale Protokolleri: Olası bir veri tabanı sızıntısı anında devreye girecek kriz ve bildirim planlarının hazır tutulması.

Sık Sorulan Sorular