şuan halen büyük e ticaret sitelerinde mevcut açık vardır hotmail kapadı yazık oldu :) insanları Silahsızlandırmak onları kleleştirmek için En iyi Yoldur.

çeviri için teşekkürler "Derviş Yunus bu szü eğri büğrü syleme, Seni sorguya çeker bir Molla Kasım gelir."

Cross Site Request Forgery Nedir? Cross Site Request Forgery XSRF, CSRF ve Cross Site Reference Forgery olarak da bilinir. Site komutları genellikle zel işlemlerin yapılabilinmesine olanak sağlayan zel url\'lere linklenmiştir.(rneğin: http://site/stocks?buy=100&stock=ebay) Eğer bir kullanıcı siteye giriş yaptıysa ve saldırgan da kurbanın tarayıcısında yukarıdaki türden grev linklerini kullanarak bazı hileler denerse aynen kullanıcı gibi siteye giriş yapabilir. Genel olarak saldırgan, ya direkt olarak ya da Cross Site Scripting açığından yararlanarak kullanıcının bilgisi olmadan, zel grev linklerine istek gnderecek şekilde zararlı HTML ve JavaScript kodlarını bir e-postaya veya websiteye gmebilir. BBCode gibi bazı biçimleme dillerinde bu mümkün olabilmektedir. CSRF ile Neler Yapılabilir? Website tarafından izin verilen bir çok işlevsel modül, CSRF açığından yaralanılarak saldırganlar tarafından kullanılabilir. Bu; mesaj panosuna post atmak, online gazetelere abone olmak, hisse senedi ticareti yapmak, alışveriş kartı kullanmak ve hatta e-kartlar gndermek bile olabilir. CSRF aynı zamanda mevcut XSS açıklarının da exploit edilmesine aracılık edebilir. Şimdi şyle düşünelim: XSS açığının olduğu bir online forum veya blog düşünün. Saldırgan burada CSRF\'den yararlanarak kullanıcıların etkili solucan yazılımlarına maruz kalmasına neden olabilir. İşte bu yolla CSRF açığını kullanarak istediği siteye DoS saldırıları düzenleyebilir. CSRF Saldırılarını Gerçekleştirmenin Genel Yolları Nelerdir? CSRF ataklarını gerçekleştirmenin en popüler yolu, HTML image taglarını veya JavaScript image nesnelerini kullanmaktır. Saldırgan, bunları bir e-postaya veya websiteye gmer. Kullanıcı web siteyi veya e-postayı açtığı zaman, saldırganın belirlediği herhangi bir linkin çalıştırılması ynünde bir istek yapmış olur. Aşağıda, saldırganların bu tür istekleri gndermesini sağlayan bazı yntemler greceksiniz.\'XMLHTTP\' Object HTML/VBScript/JavaScript/ActionScript/JScript gibi dillerde ve diğer birçok biçimlendirme dilinde, kullanıcıların tarayıcılarında bazı işlemleri gerçekleştirmek için birçok yol mevcuttur. Bu Güvenlik Açığı Tarayıcılarla mı Sınırlıdır? Tabii ki hayır. Saldırgan bir scripti; word dkümanının, Flash dosyasının, filmin veya scriptlemeye izin veren diğer diğer dküman formatlarının içine de gmebilir. XML dkümanlarından yararlanan uygulamalar, verinin daha çabuk derlenmesi için XML derleyicilerini kullanır. XML dkümanlarındaki etiketler, XML derleyicilerine URI\'den ek dkümanlar talep etmesine yardımcı olur. Tarayıcılar bu tür saldırıları gerçekleştirmede daha baskın bir rol alır; fakat tek yntem değillerdir. URI : İnternet üzerinde kullanılan, bir kaynağı isimlendirmek veya kimliğini saptamak gibi işlemleri yapmakta kullanılan karakterler. Bu kimlikleme işlemi, zel protokoller kullanılarak World Wide Web gibi bir ağ üzerinde bu kaynağın yeniden gsterilmesi ve sunulması şeklinde de yapılabilir. Yalnızca POST Kullanan Uygulamalar Savunmasızdır Olabilir mi? Evet. Eğer uygulama CSRF içeriyorsa, belirli bir blgede çalıştırılan tarayıcı bileşenlerini kullanır. Herhangi bir web siteye remote POST isteklerini gndermek; XMLHTTP veya benzer şeyleri kullanarak mümkün olabilmektedir. Sadece POST tabanlı parametreleri kullanarak bir websitesine saldırmanın başka yolu da vardır. Ama bu tamamen web uygulamasının nasıl programlandığına bağlıdır. Perl CGI. PM gibi popüler web tabanlı kütüphaneler; GET veya POST istekleriyle gelmiş olmasına bakılmaksızın bir parametrenin çekilmesine izin verebilir. CGI. PM kullanımında olduğu gibi, saldırgan tarafından POST istekleri GET isteklerine dnüştürülebilir ve uygulama hala çalışıyor olacaktır. Aşağıda bir rnek: Perl\'s CGI. PM Bu script, uygulamaya gnderilmek üzere ya GET ya da POST isteklerine izin verecektir. Bu sadece Perl ile sınırlı değildir ve kullandıkları kütüphaneye gre veya uygulamanın hangi yolla geliştirildiğine gre herhangi bir dilde de etkili olabilir. Eğer CGI. PM kullanıyorsanız ve GET isteklerini engellemek istiyorsanız tek yol; \'$ENV \' kullanılarak kodlarınızın geri kalanını çalıştırmadan nce bir tarama yapmak için istek gnderme metodu uygulamaktır. Aşağıda, gnderilen GET veya POST istekleri için izin veren dillerin, parametreleri çekmesini sağlayan genel yntemler var. JSP rneği Genelde Kullanılan: request. getParameter Çzüm: HTTP istek metodunu kontrol edin ve istenilen eylemin gerçekleştirilmesinden nce POST kullandığından emin olun. PHP rneği Genelde Kullanılan: $_REQUEST Çzüm: Sadece POST belirlemek için $_POST kullanın. ASP. NET rneği Genelde Kullanılan: Request. Params ; Çzüm: Sadece POST\'u kapsayan HTTPRequest. Form kullanın. Eylemleri POST\'a dnüştürmek, CSRF için tek çzüm olmayabilir; ama yine de bu nlemler uygulanmalıdır. Daha kapsamlı çzümler için aşağıdaki \"Kendi Uygulamamı Korumak İçin Neler Yapabilirim?\" konusuna gz atabilirsiniz. Web Site Savunmasızsa Bunu Nasıl Tespit Edebiliriz? Eğer siteniz statik URL veya POST istekleri kullanarak herhangi bir site fonksiyonunu gerçekleştirmeye izin veriyorsa açık olabilir. Eğer bu komut GET yoluyla çalıştırılıyorsa daha yüksek bir risk oluşturabilir. Eğer site tamamen POST kullanıyorsa yukarıdaki \"Yalnızca POST Kullanan Uygulamalar Savunmasızdır Olabilir mi?\" konusuna bakabilirsiniz. Şimdi hızlı bir test yapacak olursak Paros gibi bir proxy yardımıyla site üzerinde biraz srf yapın ve yapılan istekleri kaydedin. Sonra aynı işi proxy kullanmadan gerçekleştirin ve isteklerin aynı biçimde mi çalıştırıldığına gz atın. Eğer aynı fonksiyonu çalıştırmada GET veya POST istekleri aralıksız olarak kullanılıyorsa, uygulamamız savunmasız olabilir. Büyük Sitelerde Açıklar Bulunmuş mudur? Ocak 2007\'de GMail\'de, mail kullanıcılarının irtibat listelerinin çalınmasına izin veren bir açık bulundu. Farklı bir açık da; saldırganın Netflix sitesinde hesaplar üzerinde isim, adres değiştirmesine ve hatta film kiralama isteğinde bulunmasını sağlıyordu. Kullanıcı Olarak Kendimi Korumak İçin Ne Yapabilirim? Hiçbir şey. Aslında bir web sitesinde dolaşırken ve web sitesindeki uygulamalar sizin kontrolünüzde olmadığı müddetçe hiçbir şey yapamazsınız. Gerçekler acı, değil mi? Kendi Uygulamamı Korumak İçin Neler Yapabilirim? CSRF açıklarına karşı alınabilecek en nemli nlemlerden birisi, her isteğe bir sorun belirteci eklemek olacaktır. Şunu belirtmek gerekir ki; bu sorun belirteçleri kullanıcı sessionu ile alakalı olmalıdır. Aksi takdirde saldırgan geçerli belirteçleri kendisi çekebilecektir ve saldırılarında bunu kullanabilecektir. Kullanıcı sessionuna ek olarak, belirtecin geçerli olduğu zamanın sınırlandırılması da nemlidir. Pdf şeklinde okumak isteyenler: http://www.scribd.com/doc/17453775/CSRF-FAQKaynak: http://www.cgisecurity.com/csrf-faq.html Çeviri: diamonique Not: CSRF FAQ demek, CSRF Frequently Asked Questions yani CSRF Hakkında Sıkça Sorulan Sorular. Reecep Tayyip'in Askerleriyiz

Postu atım okucam sonra ayriyetten teşekkürler ing cevırem4yenler için buyük nimetler Aslında hepimiz eksiğiz biraz Leylası olmayan mecnunlarız Ne sıcacık bir ismail abimiz var. Nede ktü zamanda Yanımızda olan İskender babamız Ne mahellemizi mahalle yapan Erdal bakkalımız ne her kapıyı açan yavuz abimiz nede bize doğru yolu gsteren dedemiz.