Hocam tavsiye vereyim kendimce 1 - username ve password u sifreleyerek gonder. Encryption yap ve servis tarafinda decrypt ederek denetle 2 - Deri token gonder ve session id bunlari kullanarak devam et. 3 - 2-3 defa yanlis sifre girildiginde kilitle acilamasin 4- Ayrica url olarak username=12321&password=123123 yerine atiyorum I#^%$G#dI^GI#D&^TH#IT8i gibi bisey gonderip bunu once servis tarafli cozumleyip sonra decrypt edebilirsin. Aklima ilk gelenler bunlar Ozgurluk aslinda her istedigini yapabilmek degildir, istemedigini yapmamaktir. // Verdigin degeri gormeyince, gordugun degeri ver!!! // Hayatin herkes icin bir bavulu vardir!!! // Dusmek gerekir bazen hayatta; kalkmayi ogrenebilmek icin

Müridler WCF Servisi rneğin URiTemplate si OrnekJSON/?username= &password olsa Android de de http://11.51.129.17/MyService. svc/OrnekJSON/username=" +username+ "&password=" +password gndersem Güvenlik açığı olur mu? Koda dkersek String username="Ahmet", password="1234"; String LoginUrl="username=" +username+ "&password=" +password; Url myUrl=new Url(" http://11.51.129.17/MyService. svc/OrnekJSON/" +LoginUrl); Olarak bir Restfull gnderdim diyelim... Bu benim programının güvenliğini azaltır mı? Bunu Metod Adını ekleyerek de daha kullanışlı hale getirebilirim ama güvenlik sıkıntısı olabilir diye düşünüyorum... EDİT : Mühendislik kazandık fakat hala 2 cümle kuramıyoruz... Umarım anlatabilmişimdir :( MhmdAlmz tarafından 22/Ara/15 15:28 tarihinde düzenlenmiştir Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Şimdi web servis diyorsak zaten ilk yaptığınız şekilde olmalı. Aksi durumda başka bir protokol oluşturmuş olursunuz. Eğer sunucu size aitse fail2ban gibi bir çzüm kullanabilirsiniz: http://www.fail2ban.org/wiki/index. php/Main_Page Şu makaleye gz atmanız iyi olabilir: https://www.owasp.org/index. php/Blocking_Brute_Force_Attacks İşin zü, bruteforce'dan korunmak için saldırgan ip'sini web serverdaki yazılımınızda değil firewall tarafından engellemelisiniz. Hatta kullanıcının imei'sine ulaşmış olmak ekstra güvenlik sağlayacaktır. En azından imei ile uyuşmayan kullanıcı adlarını doğrudan engelleyebilirsiniz. Misal bizim kullandığımız birkaç web servisinde kimlik doğrulama sadece application id ve api key ile sağlanıyor. Doğru bilgileri post ettiğimizde bize bir token veriliyor . Biz sonraki web servisini kullandığımız her işlemde bu token'i header kısmına gmüyoruz. Ekleme: Unutmuşum. Evet kullanıcı ipsini değiştirebilir fakat bu işlemi ne kadar sıklıkla tekrarlayabilecek? En azından dos'a maruz kalmış olmazsınız. YeniHarman tarafından 23/Ara/15 19:35 tarihinde düzenlenmiştir Olaylara karışmayın!

Hocam bu talepleri karşılama meselesinde bir şey gndermeden de alabileceğin değerler var mı? Mesela web tarafında, ziyaretçinin ip adresi, tarayıcı bilgisi vs.. gibi şeyleri adres satırında felan taşımadan alabiliyoruz. Varsa byle bir zellik onları kullanmaya çalışsan. Yani, spesifik bir şey yakalamak gibi. Matematikçi ve Yazılımcı. http://www.ontedi.com ve http://www.cizgi.site Siteme beklerim herkesi.

MhmdAlmz bunu yazdı YeniHarman bunu yazdı Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Hocam rneğin burdan kullanıcı giriş yapacak ya... giriş yaparken bu postu yapacak adam sıra sıra kullanıcıları karakter cinsinden gnderip bütün kullanıcı adı şifreyi çekmez mi? yani dnüş değerine gre kullanıcı var yok diyip giriş yapacak adam Get post yaparak kullanıcı adı ve şifreleri çekebilir birde bu şekilde veritabanına sınırsız veri ekleyebilir... ondan bahsediyorum :/ İşte bu risk her yerde var. Aynı mantıkla her sitede bruteforce uygulanabilir. Bu yüzden ip filtreleme lazım dedim. X ip'sinden üç defa yanlış parola girdiğinde sistemin bir müddet ip'yi yasaklaması lazım. SSL ile de gndersen sonuçta bu şekilde gittiği biliniyor verinin. Şifreleme de tam çzüm olmaz tabi public-private iki farklı anahtar kullanılan bir algoritma kullanırsanız başka. Bu bir android uygulaması mı? O zaman ek nlemler getirmelisiniz. En kolayı google, facebook vs. başka bir şeyle oturum açtırmanız. Son zamanlarda Son kullanıcıların Virüs diye adlandırdığı uygulama apileri ile Twit-Durum atma- Fotoğraf paylaşma-Mesaj atma gibi şeyler çıktığı için bu tür nlemler program ilerleyince alınabilir yani bir ismi olduktan sonra insanların güvenini kazandıktan sonra o yüzden bu sıkıntım var yani uygulamamı kullanacak kişi 50 iken 20 ye düşebilir misall.. Birde bu Ip filtreleme denilen şeyi şu şekilde yapsam bi log tablosu oluştursam Telefonun mac adresi vs artık hangi ayrı zelliği varsa onu çekip loglasam? o mac e ayit yanlış deneme sayısı saatte 3 den fazla ise engelleme gibi mi yoksa sizin dediğiniz farklı birşey mi? Ip derken neyi kastediyorsunuz? Normal İnternet IP Si ise türkiyede modem resetlenince değişiyor diye biliyorum bunu yapacak adam bunu da yapar IP değiştirmeyi 2. yanlış denemeden sonra? Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

hocam "SOAP header" nedir onu bi araştır. işini çzücektir. sakın url'den bu tarz bilgiler gnderme. kullanıcı adı ve şifre gibi bilgileri header üzerinden post bile yapsan güvenli değil. birde paketlerinin havada yakalanıp çzülmesini engellemek için ssl kullan. + tabi şifre encrypt şart.

Şimdi web servis diyorsak zaten ilk yaptığınız şekilde olmalı. Aksi durumda başka bir protokol oluşturmuş olursunuz. Eğer sunucu size aitse fail2ban gibi bir çzüm kullanabilirsiniz: http://www.fail2ban.org/wiki/index. php/Main_Page Şu makaleye gz atmanız iyi olabilir: https://www.owasp.org/index. php/Blocking_Brute_Force_Attacks İşin zü, bruteforce'dan korunmak için saldırgan ip'sini web serverdaki yazılımınızda değil firewall tarafından engellemelisiniz. Hatta kullanıcının imei'sine ulaşmış olmak ekstra güvenlik sağlayacaktır. En azından imei ile uyuşmayan kullanıcı adlarını doğrudan engelleyebilirsiniz. Misal bizim kullandığımız birkaç web servisinde kimlik doğrulama sadece application id ve api key ile sağlanıyor. Doğru bilgileri post ettiğimizde bize bir token veriliyor . Biz sonraki web servisini kullandığımız her işlemde bu token'i header kısmına gmüyoruz. Ekleme: Unutmuşum. Evet kullanıcı ipsini değiştirebilir fakat bu işlemi ne kadar sıklıkla tekrarlayabilecek? En azından dos'a maruz kalmış olmazsınız. Sunucu bana ait değil Firewall kısmı beni ilgilendirmez diye düşünüyorum şirket düşünsün bana o güvenceyi sağlayacak olanlar onlar ben sadece bu url den veri gnderme muhabbetine kafam takıldı tehlikeli sonuçta adam url ile sonsuz defa post yapabilir Bunu engellemenin yolu dediğiniz gibi i-mei mac adresi gibi benzersiz şeylerden gelen tekrarlı sorguları engellemek. Siz sanırım 2 Servis kullanıyorsunuz? Aslında C# falan olsa Kodları decompile yapmak yasal olmadığı için sorun olmazdı Uygulama içerisinde nlem alırım ama android de bu sorun var dediğinizi yapacağım gibi Session mantığı hiç yoktan güvenliği az da olsa sağlamış olurum... Yapacağım uygulamayı 1000 kişi kullacak belki ama ilerde belki referans olacak o yüzden yapmışken adam gibi yapayım diyorum :/ O yüzden bu sorgu bu araştırma bu heves Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

YeniHarman bunu yazdı Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Hocam rneğin burdan kullanıcı giriş yapacak ya... giriş yaparken bu postu yapacak adam sıra sıra kullanıcıları karakter cinsinden gnderip bütün kullanıcı adı şifreyi çekmez mi? yani dnüş değerine gre kullanıcı var yok diyip giriş yapacak adam Get post yaparak kullanıcı adı ve şifreleri çekebilir birde bu şekilde veritabanına sınırsız veri ekleyebilir... ondan bahsediyorum :/ İşte bu risk her yerde var. Aynı mantıkla her sitede bruteforce uygulanabilir. Bu yüzden ip filtreleme lazım dedim. X ip'sinden üç defa yanlış parola girdiğinde sistemin bir müddet ip'yi yasaklaması lazım. SSL ile de gndersen sonuçta bu şekilde gittiği biliniyor verinin. Şifreleme de tam çzüm olmaz tabi public-private iki farklı anahtar kullanılan bir algoritma kullanırsanız başka. Bu bir android uygulaması mı? O zaman ek nlemler getirmelisiniz. En kolayı google, facebook vs. başka bir şeyle oturum açtırmanız. Olaylara karışmayın!

Aslında wcf nedir açıkcası onu bilmiyorum. Şuan mesela A sayfasından B sayfasına tıklayarak gittin diyelim. Ve bizde B sayfasında string nereden_geldim = Request. ServerVariables Diyerek geldiğimiz sayfayı bulabiliriz . Geldiğimiz sayfaya gre manüplasyonlar yapabiliriz. Dilim dndüğünce anlatmaya çalıştım Yok hocam bu farklı siz sayfalar arası geçişten bahsediyorsunuz servis mantığı farklı :/ tam olarak web sayfası değil Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Olaylara karışmayın!

Encrypt et yolla Hello, i am nothing. I come from Neverland.

YeniHarman bunu yazdı Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Hocam rneğin burdan kullanıcı giriş yapacak ya... giriş yaparken bu postu yapacak adam sıra sıra kullanıcıları karakter cinsinden gnderip bütün kullanıcı adı şifreyi çekmez mi? yani dnüş değerine gre kullanıcı var yok diyip giriş yapacak adam Get post yaparak kullanıcı adı ve şifreleri çekebilir birde bu şekilde veritabanına sınırsız veri ekleyebilir... ondan bahsediyorum :/ Hocam database de sifrenin kac defa yanlis girildigini tutup 3 denemeden sonra mail ile veya sms ile aktivasyon yapilmadan login olmaz diyebilirsin. Edit filtreleme hemip hem username ustunden olmali. Sifresi 123456 olan kullanicilarida taraya bilir. Adminin sifresinide. Admin 3 denemede dogrulamaya gider toplamda 10 defa yanlis denemede ip gider. rakkoc tarafından 23/Ara/15 13:35 tarihinde düzenlenmiştir Bu aralar fazla yogunum. Unuttugum seyler oluyorsa affola. DM vs atın.

MhmdAlmz bunu yazdı YeniHarman bunu yazdı Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Hocam rneğin burdan kullanıcı giriş yapacak ya... giriş yaparken bu postu yapacak adam sıra sıra kullanıcıları karakter cinsinden gnderip bütün kullanıcı adı şifreyi çekmez mi? yani dnüş değerine gre kullanıcı var yok diyip giriş yapacak adam Get post yaparak kullanıcı adı ve şifreleri çekebilir birde bu şekilde veritabanına sınırsız veri ekleyebilir... ondan bahsediyorum :/ Hocam database de sifrenin kac defa yanlis girildigini tutup 3 denemeden sonra mail ile veya sms ile aktivasyon yapilmadan login olmaz diyebilirsin. Edit filtreleme hemip hem username ustunden olmali. Sifresi 123456 olan kullanicilarida taraya bilir. Adminin sifresinide. Admin 3 denemede dogrulamaya gider toplamda 10 defa yanlis denemede ip gider. Ohh Ohh bu anlattıklarına gre bu insanlar nasıl nlemler alıyor ya yoksa bu Basit programcıların yaptığı uygulamalarda bu tür açıklar mı var acaba çok merak ediyorum çünkü birsürü bunun gibi şey mevcut.. Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Aslında wcf nedir açıkcası onu bilmiyorum. Şuan mesela A sayfasından B sayfasına tıklayarak gittin diyelim. Ve bizde B sayfasında string nereden_geldim = Request. ServerVariables Diyerek geldiğimiz sayfayı bulabiliriz . Geldiğimiz sayfaya gre manüplasyonlar yapabiliriz. Dilim dndüğünce anlatmaya çalıştım Matematikçi ve Yazılımcı. http://www.ontedi.com ve http://www.cizgi.site Siteme beklerim herkesi.

dhmm bunu yazdı Hocam tavsiye vereyim kendimce 1 - username ve password u sifreleyerek gonder. Encryption yap ve servis tarafinda decrypt ederek denetle 2 - Deri token gonder ve session id bunlari kullanarak devam et. 3 - 2-3 defa yanlis sifre girildiginde kilitle acilamasin 4- Ayrica url olarak username=12321&password=123123 yerine atiyorum I#^%$G#dI^GI#D&^TH#IT8i gibi bisey gonderip bunu once servis tarafli cozumleyip sonra decrypt edebilirsin. Aklima ilk gelenler bunlar Mantıklı ama şifreleyerek gndersembile javada projeler decompile edilebiliyor şifreleyerek gndeirsem adam kodu kopyalayıp aynı şifreleme ile tekrar veriyi gnderip sonuçları çekebilir serviste session olabilir 3. denemede gümlesin 10 dk giriş yapamasın mesela o dediğiniz!#+'^gibi zel karakterler zaten engelli olması lazım o zaman sağlıklı bi program olmaz :) Benim sıkıntım sonuçta http bi request yapıyoruz adam bi program yazıp sonsuz dngü yani bilmem kaçın kaçlı kombinasyonu ile bütün kullanıcı verilerini çekebilir o yüzden sorun var :/ Hocam compile decompile algoritman degiskenlik gostersin. Servis tarafli veritabaninda tut belirli sifreleme yontemlerini ve keywordleri. Kodla birlikte veritabanini da almasi lzm. Hocam eger 3 yanlis giris olursa adami banla. Bunu disinda 3x3 yanlis denemede hostname/ip banla daha giremesin. Seni arasinlar gel ac diye. Sonra aklima gelirse daha yazarim simdi kaciyom (&^ attim iste. Ozgurluk aslinda her istedigini yapabilmek degildir, istemedigini yapmamaktir. // Verdigin degeri gormeyince, gordugun degeri ver!!! // Hayatin herkes icin bir bavulu vardir!!! // Dusmek gerekir bazen hayatta; kalkmayi ogrenebilmek icin

Hocam tavsiye vereyim kendimce 1 - username ve password u sifreleyerek gonder. Encryption yap ve servis tarafinda decrypt ederek denetle 2 - Deri token gonder ve session id bunlari kullanarak devam et. 3 - 2-3 defa yanlis sifre girildiginde kilitle acilamasin 4- Ayrica url olarak username=12321&password=123123 yerine atiyorum I#^%$G#dI^GI#D&^TH#IT8i gibi bisey gonderip bunu once servis tarafli cozumleyip sonra decrypt edebilirsin. Aklima ilk gelenler bunlar Mantıklı ama şifreleyerek gndersembile javada projeler decompile edilebiliyor şifreleyerek gndeirsem adam kodu kopyalayıp aynı şifreleme ile tekrar veriyi gnderip sonuçları çekebilir serviste session olabilir 3. denemede gümlesin 10 dk giriş yapamasın mesela o dediğiniz!#+'^gibi zel karakterler zaten engelli olması lazım o zaman sağlıklı bi program olmaz :) Benim sıkıntım sonuçta http bi request yapıyoruz adam bi program yazıp sonsuz dngü yani bilmem kaçın kaçlı kombinasyonu ile bütün kullanıcı verilerini çekebilir o yüzden sorun var :/ Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

hocam "SOAP header" nedir onu bi araştır. işini çzücektir. sakın url'den bu tarz bilgiler gnderme. kullanıcı adı ve şifre gibi bilgileri header üzerinden post bile yapsan güvenli değil. birde paketlerinin havada yakalanıp çzülmesini engellemek için ssl kullan. + tabi şifre encrypt şart. Javanın açık kaynak olmasının dez avantajı da bu sanırım bakayım abi dediklerine zaten az bucuk birşeyler ğrendim soap header hakkında biraz daha detaya inmeliyim sanırım Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Hocam bu talepleri karşılama meselesinde bir şey gndermeden de alabileceğin değerler var mı? Mesela web tarafında, ziyaretçinin ip adresi, tarayıcı bilgisi vs.. gibi şeyleri adres satırında felan taşımadan alabiliyoruz. Varsa byle bir zellik onları kullanmaya çalışsan. Yani, spesifik bir şey yakalamak gibi. Sanırım Login kısmını SQL de log tablosuna kaydedip sürelere bakmak gibi mi yani rneğin Ahmet kullanıcısı 01/02/2015 saat 20 de 10 u 45 geçe giriş yaptı mesela 15 saniyelik bir engel mi koymamı kastettiniz? Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!

Hayır, get ile gndersen de post ile gndersen de aşağı yukarı aynı şeydir. Güvenlik açığı olarak neden bahsediyorsunuz? Biz nasıl tahribata giriyorsak aynı şey kısacası. Nasıl bir güvenlik lazım? DoS falan ise yapmanız gereken donanım tabanlı çzümler ve ip filtreleme. Tek seferlik bir servis değilse kimlik doğrulaması için bir token gndermeniz daha iyi olur. Hocam rneğin burdan kullanıcı giriş yapacak ya... giriş yaparken bu postu yapacak adam sıra sıra kullanıcıları karakter cinsinden gnderip bütün kullanıcı adı şifreyi çekmez mi? yani dnüş değerine gre kullanıcı var yok diyip giriş yapacak adam Get post yaparak kullanıcı adı ve şifreleri çekebilir birde bu şekilde veritabanına sınırsız veri ekleyebilir... ondan bahsediyorum :/ Andolsun kuşluk vaktine ve dindiği zaman o geceye ki, Rabbin sana veda etmedi ve darılmadı! Ve kesinlikle senin için sonu nünden daha hayırlıdır. ileride Rabbin sana verecek de hoşnut olacaksın! O, seni bir yetim iken barındırmadı mı? Seni, yol bilmez iken yola koymadı mı? Seni bir yoksul iken zengin etmedi mi? yle ise, sakın yetime kahretme ! El açıp isteyeni de azarlama! Fakat Rabbinin nimetini anlat da anlat!