OWASP BWA: SQL Injection Çözümü

01 · OWASP Broken Web Applications (BWA)

OWASP Broken Web Application (BWA) Nedir?

OWASP BWA, siber güvenlik uzmanlarının ve sistem yöneticilerinin web uygulama güvenliği üzerine pratik yapabilmesi için tasarlanmış, içerisinde bilinçli olarak zafiyetler barındıran sanal bir laboratuvar ortamıdır. İçerisinde DVWA (Damn Vulnerable Web Application), Mutillidae, WebGoat gibi birçok farklı eğitim platformunu barındırır.

Bu laboratuvar çalışmasında, modern web uygulamalarında sıkça karşılaşılan OWASP Top 10 zafiyetlerinin (SQL Injection, XSS, LFI, File Upload vb.) nasıl tespit edildiğini, bu açıkların sistem üzerindeki etkilerini ve kod seviyesinde nasıl güvenli hale getirileceğini adım adım inceleyeceğiz.

ÖNEMLİ UYARI Bu dokümandaki tüm testler, tamamen yalıtılmış ve izinli bir laboratuvar ortamında eğitim amacıyla gerçekleştirilmiştir.

02 · LFI / Broken Access Control Kritik

Local File Inclusion (LFI)

Dosya yolu parametresi yeterli kontrol edilmediğinde kullanıcı web kökü dışındaki sistem dosyalarını okuyabilir.

LFI Nedir?

Temel problem: Local File Inclusion, uygulamanın dosya dahil etme mantığını kullanıcıdan gelen parametreyle kontrol ettirmesidir.

Riskli parametre: page, file, path gibi dosya adı alanları.
Keşif payload'ı: ../ ifadesi bir üst dizine çıkmak (Directory Traversal) için kullanılır.
Hedef dosya: /etc/passwd gibi sistem bilgisi içeren kritik dosyalar.
Etki: Kullanıcı listesi, veritabanı konfigürasyonları veya kaynak kodu yetkisiz kişilerce okunabilir.

Gerçek hayat örneği

Kütüphanede sadece okuma salonuna erişim kartın varken, kapı kontrolü bozuk olduğu için yetkisiz arşiv odasına da girebilmek gibidir.

LFI Nasıl Tespit Edildi?

DVWA File Inclusion sayfasındaki URL yapısında bulunan ?page= parametresi test edildi.
Parametreye ../../../../../../etc/passwd directory traversal payload'ı eklendi.
Manipüle edilmiş istek web tarayıcısı ve Linux terminalinde curl aracı ile hedefe gönderildi.
Sistemin engelleme yapmadığı ve /etc/passwd içeriğinin HTML sayfasına yansıdığı görüldü.

LFI Kanıtları

İstismar Ekran Görüntüleri

DVWA File Inclusion Test Alanı

Terminal üzerinden curl aracı ile /etc/passwd dosyasının okunması

Directory Traversal ile /etc/passwd dosyasının tarayıcıya yansıması

LFI Çözüm

Rapor Cümlesi

page parametresi directory traversal payload'ı ile manipüle edilmiş ve /etc/passwd içeriği yetkisiz olarak okunmuştur.

Dosya adını doğrudan kullanıcıdan alma — Direct Object Reference kullanılmamalı.
Dosya seçimlerini ID → allowlist dosya eşlemesiyle yap.
Path normalization uygulandıktan sonra kök dizin dışına çıkışı kesinlikle engelle.
Kritik konfigürasyon ve yedek (backup) dosyalarını web kökünde tutma.
Uygulama hata mesajlarında tam dosya yolu (Full Path Disclosure) sızdırma.

03 · SQL Injection A03:2021 — Injection

Error-Based SQL Injection

Kullanıcı girdisinin arka planda çalışan veritabanı sorgusuna güvenli bağlanmadan doğrudan eklenmesidir.

Teori ve Mantık

Zafiyet Nedir?

Sistem, kullanıcının yazdığı değeri veri değil, komutun bir parçası olarak yorumlar.

Gerçek Hayat Örneği

Öğrenci numarası alanına yalnızca numara beklenirken sistem o alanı komut gibi yorumlarsa, kişi kendi kaydı yerine tüm okulun kayıtlarını listeleyebilir.

İstismar Adımları

DVWA platformunda SQL Injection sayfasına gidildi.

Girdi alanındaki id parametresine normal değer yerine tek tırnak (') karakteri girildi.

Uygulamanın SQL syntax hatası verdiği gözlemlendi — sorgunun kırıldığı doğrulandı.

Burp Suite ile yakalanan istek sqlmap aracına verilerek users tablosu başarıyla dump edildi.

Kanıtlar

İstismar Ekranları

Tek tırnak ile tetiklenen SQL syntax hatası

sqlmap ile users tablosunun tam dump ekranı

Çözüm

✓

Kullanıcı girdileri sorguya doğrudan eklenmemeli; Prepared Statement (Parametrik Sorgu) kullanılmalıdır.

✓

Girdi tipi ve uzunluğu sunucu tarafında doğrulanmalıdır.

✓

Veritabanı hata mesajları ham haliyle tarayıcıya yansıtılmamalıdır.

✓

Veritabanı servis hesabı Least Privilege (minimum yetki) prensibiyle çalıştırılmalıdır.

04 · XSS (Reflected & Stored) Kritik

Cross-Site Scripting (XSS)

Kullanıcı girdisi filtrelenmeden HTML içine basılırsa tarayıcı bunu JavaScript kodu olarak çalıştırabilir.

XSS Nedir?

Temel problem: Zararlı payload anlık yansır (Reflected) veya kalıcı olarak yazılır (Stored); her iki durumda da kurbanın tarayıcısında saldırganın istediği kodlar çalışır.

Reflected XSS

Payload URL veya form üzerinden anlık olarak kurbana yansır.

Stored XSS

Payload veritabanına kaydedilir, sayfayı ziyaret eden herkes etkilenir.

Payload örneği: <script>alert('XSS')</script>
Etki: Oturum (Cookie) hırsızlığı, sahte formlar ile veri toplama veya kullanıcı adına işlem yapma.

💡

Gerçek hayat örnekleri

Reflected: Kahve bardağına yazılan ismi baristanın mikrofondan okuması gibi; ne yazılırsa o duyulur.

Stored: Herkesin okuduğu ilan panosuna zararlı bir not asmak gibi; panoya bakan herkes etkilenir.

XSS Nasıl Tespit Edildi?

DVWA XSS modüllerindeki name ve message alanlarına test amaçlı alert payload'ları girildi.
Reflected XSS kısmında, URL parametresine eklenen script'in sayfada pop-up açtığı görüldü.
Stored XSS kısmında, Guestbook alanına kaydedilen mesajın sayfa her açıldığında otomatik tetiklendiği doğrulandı.

XSS Kanıtları

⚡ Reflected XSS

Tarayıcıda tetiklenen anlık Reflected XSS mesajı

Guestbook alanına zararlı payload'ın gönderilmesi

Stored XSS

Sayfa yeniden açıldığında payload'ın otomatik tetiklenmesi

Veritabanına kaydedilen ve her ziyarette çalışan Stored XSS

XSS Etki ve Çözüm

Rapor Cümlesi

Girdi alanları encode edilmediği için gönderilen script payload'ları tarayıcı tarafından yetkisiz olarak çalıştırılmıştır.

Context-aware output encoding: Veriyi ekrana basarken HTML, JS veya Attribute bağlamına göre encode et.
Content Security Policy (CSP): Sadece güvenli kaynaklardan script çalışmasına izin ver.
HttpOnly Bayrağı: JavaScript'in hassas oturum çerezlerine erişmesini kesinlikle engelle.
Input Validation: Sadece beklenen karakter setlerini kabul et.

05 · File Upload / A08: Integrity Failures Yüksek

Unrestricted File Upload

Dosya yükleme kontrolü eksikse çalıştırılabilir PHP dosyası yüklenebilir ve sunucu tarafında kod çalıştırmaya (RCE) dönüşebilir.

Zafiyet Nedir?

Temel problem: Yüklenen dosyanın çalıştırılabilir dizinde ve doğrulamasız saklanmasıdır.

💡

Gerçek hayat örneği

Profil fotoğrafı yükleme alanına fotoğraf yerine çalıştırılabilir script kabul edilirse saldırgan sunucuda komut çalıştırmaya yaklaşır.

Nasıl Tespit Edildi?

Test dosyası olarak test.php oluşturuldu. İçeriğine zararsız echo çıktısı eklendi.
DVWA Upload formu PHP dosyasını filtreleme yapmadan kabul etti.
Dosya /dvwa/hackable/uploads/ dizini altında erişilebilir oldu.
Dosya tarayıcıdan çağrıldığında PHP kodu sunucuda doğrudan çalıştı.

İstismar Kanıtları

⚡ Upload Exploit — Adım Adım

Terminal üzerinden zararsız PHP payload dosyasının oluşturulması

Mousepad üzerinde oluşturulan payload içeriği

DVWA Upload formu üzerinden test.php dosyasının seçilmesi

Dosya yükleme isteğinin Burp Suite Proxy üzerinden yakalanması

Ek istismar kanıtı

Yüklenen PHP dosyasının URL üzerinden çağrılarak sunucu üzerinde başarıyla çalıştırılması

Etki ve Çözüm

Rapor Cümlesi

Bu bulgu A08 kapsamına da bağlanır: uygulama dosyanın türünü ve bütünlüğünü sunucu tarafında güvenli doğrulamıyor.

Uzantı + MIME + İçerik Doğrulama: Uzantı, MIME type ve içerik birlikte sunucu tarafında doğrulanmalı.
Script Çalıştırmayı Kapat: Upload dizininde PHP/script çalıştırma kapatılmalı.
Web Kökü Dışında Saklama: Dosyalar web kökü dışında saklanmalı.
Rastgele Dosya Adı: Dosya adı rastgeleleştirilmeli, doğrudan URL erişimi engellenmeli.

06 · A02: Misconfig & A04: Insecure Transport Yüksek