• Enjeksiyon (Injection): Özellikle SQL, NoSQL, OS komutları veya LDAP gibi yorumlayıcıya gönderilen güvenilmeyen verilerin bir parçası olarak kötü amaçlı verilerin enjekte edilmesiyle oluşur. Saldırgan, uygulama kodunun bir parçası gibi görünen komutları veya sorguları çalıştırabilir. En yaygın türü SQL Enjeksiyonudur.
• Bozuk Kimlik Doğrulama (Broken Authentication): Kimlik doğrulama veya oturum yönetimi işlevlerinin doğru bir şekilde uygulanmaması, saldırganların parolaları, oturum anahtarlarını veya kullanıcı belirteçlerini ele geçirmesine veya diğer kullanıcıların kimliğine bürünmesine olanak tanır.
• Hassas Veri Açığa Çıkması (Sensitive Data Exposure): Finansal, sağlık, kişisel kimlik bilgileri gibi hassas verilerin korunmaması, bu verilerin kötü niyetli kişilerce ele geçirilmesine yol açar. Şifrelenmemiş iletişim, zayıf şifreleme algoritmaları veya yanlış depolama bu kategoriye girer.
• XML Harici Varlıklar (XML External Entities - XXE): Eski veya yanlış yapılandırılmış XML işlemcileri, harici varlık referanslarının işlenmesine izin vererek, uzaktan kod çalıştırmaya, yerel dosya ifşasına veya hizmet reddi saldırılarına yol açabilir.
• Bozuk Erişim Kontrolü (Broken Access Control): Kullanıcıların kendi izinleri dışındaki kaynaklara erişmesine veya yetkilendirilmemiş eylemler gerçekleştirmesine olanak tanıyan açıklıklardır. Örneğin, standart bir kullanıcının yönetici paneline erişebilmesi.
• Güvenlik Yanlış Yapılandırması (Security Misconfiguration): Varsayılan ayarların kullanılmaması, gereksiz özelliklerin etkin bırakılması, yamaların uygulanmaması, dizin listelemenin açık olması gibi hatalı güvenlik yapılandırmaları.
• Siteler Arası Komut Çalıştırma (Cross-Site Scripting - XSS): Saldırganın kötü amaçlı istemci tarafı komut dosyalarını (genellikle JavaScript) web uygulamasına enjekte etmesine izin verir. Bu komut dosyaları daha sonra diğer kullanıcıların tarayıcılarında çalışır. Çerez hırsızlığı, oturum gaspları veya kötü amaçlı web sitesi yönlendirmeleri için kullanılır.
• Güvenli Olmayan Serileştirme (Insecure Deserialization): Serileştirilmiş verilerin işlenmesindeki güvenlik açıkları, saldırganların uzaktan kod çalıştırmasına, yetkilendirme atlamasına veya hizmet reddi saldırılarına neden olabilir.
• Bilinen Güvenlik Açığına Sahip Bileşenlerin Kullanımı (Using Components with Known Vulnerabilities): Güncel olmayan kütüphaneler, çerçeveler veya diğer yazılım bileşenleri, bilinen güvenlik açıklarını içerebilir ve uygulamanın güvenliğini tehlikeye atabilir.
• Yetersiz Kayıt ve İzleme (Insufficient Logging & Monitoring): Güvenlik olaylarının yetersiz bir şekilde kaydedilmesi veya izlenmemesi, saldırganların sisteme sızmasını veya saldırılarını tespit edilmeden sürdürmesini kolaylaştırır.

Bir web uygulaması, kullanıcıdan gelen "kullanıcı adı" ve "şifre" ile veritabanında sorgu yapıyor olsun. Sorgu doğrudan string birleştirme ile oluşturulursa, SQL enjeksiyonuna açıktır.

Genişletmek için tıkla ...

// Kötü örnek: SQL Enjeksiyonuna açık kod
string username = Request.Form["username"];
string password = Request.Form["password"];
string query = "SELECT * FROM Users WHERE Username = '" + username + "' AND Password = '" + password + "'";
// Eğer kullanıcı adı olarak ' OR '1'='1 --' girilirse, şifreye bakılmaksızın tüm kayıtlar döner.

// İyi örnek: SQL Enjeksiyonuna karşı korumalı kod (C# örneği)
string username = Request.Form["username"];
string password = Request.Form["password"];
string query = "SELECT * FROM Users WHERE Username = @username AND Password = @password";
using (SqlCommand cmd = new SqlCommand(query, connection))
{
    cmd.Parameters.AddWithValue("@username", username);
    cmd.Parameters.AddWithValue("@password", password);
    // Sorguyu güvenli bir şekilde yürüt
}

Bir blog uygulamasında yorum alanı olsun. Kullanıcıdan gelen yorum doğrudan HTML olarak sayfaya basılırsa XSS'e açık hale gelir.

Genişletmek için tıkla ...

<!-- Kötü örnek: XSS'e açık HTML çıktısı -->
<div>Kullanıcı Yorumu: <%= Request.QueryString["comment"] %></div>
<!-- Eğer 'comment' parametresi olarak <script>alert('XSS!');</script> gelirse, script çalışır. -->

<!-- İyi örnek: XSS'e karşı korumalı HTML çıktısı -->
<div>Kullanıcı Yorumu: <%= HtmlEncoder.Default.Encode(Request.QueryString["comment"]) %></div>
<!-- Veya sunucu tarafında temizleme (sanitization) -->

• Güvenli Kodlama Pratikleri: Geliştiriciler, güvenlik açıklarına yol açabilecek yaygın hatalardan kaçınmak için güvenli kodlama pratiklerini benimsemelidir. Bu, girdi doğrulama, parametreli sorgular, çıkış kodlama ve hata yönetimini içerir.
• Girdileri Doğrulama ve Filtreleme: Kullanıcıdan gelen tüm girdiler, uygulamanın beklediği format ve türde olduğundan emin olmak için titizlikle doğrulanmalı ve filtrelenmelidir. Güvenilmeyen tüm girdiler zararlı olarak kabul edilmelidir.
• En Az Yetki Prensibi: Uygulama bileşenleri ve kullanıcılar, görevlerini yerine getirmek için ihtiyaç duydukları minimum yetkiye sahip olmalıdır. Gereksiz yetkiler, güvenlik risklerini artırır.
• Düzenli Güvenlik Güncellemeleri ve Yamalar: Kullanılan tüm yazılımların, kütüphanelerin, çerçevelerin ve işletim sistemlerinin güncel tutulması ve güvenlik yamalarının düzenli olarak uygulanması kritik öneme sahiptir. Bilinen açıklıkları kapatmanın en etkili yoludur.
• Güvenlik Testleri: Uygulama geliştirme yaşam döngüsünün (SDLC) her aşamasında güvenlik testleri yapılmalıdır. Bunlar, sızma testleri (penetration testing), güvenlik açığı taramaları (vulnerability scanning) ve kod analizini (static/dynamic analysis) içerebilir.
• Hata ve Olay Yönetimi: Uygulama hataları, hassas bilgileri (veritabanı şemaları, sunucu yolları vb.) açığa çıkarmamalıdır. Güvenlik olayları (başarısız giriş denemeleri, yetkisiz erişim denemeleri vb.) kaydedilmeli ve izlenmelidir. Şüpheli aktiviteler için uyarı sistemleri kurulmalıdır.
• HTTPS Kullanımı: Tüm hassas iletişimler için HTTPS kullanılarak verilerin şifreli bir şekilde iletilmesi sağlanmalıdır. Bu, Man-in-the-Middle (MITM) saldırılarına karşı koruma sağlar.
• Güvenli Oturum Yönetimi: Oturum belirteçleri (session tokens) güvenli bir şekilde oluşturulmalı, iletilmeli ve saklanmalıdır. Kısa ömürlü oturumlar, IP tabanlı kısıtlamalar ve oturum sonrası çıkış (logout) işlemlerinin doğru yönetilmesi önemlidir.
• Güvenlik Duvarları ve Saldırı Tespit/Önleme Sistemleri (IDS/IPS): Web Uygulaması Güvenlik Duvarları (WAF) gibi çözümler, yaygın web saldırılarına karşı ek bir savunma katmanı sağlar.
• Geliştirici Eğitimi: Geliştiricilerin güvenlik konusunda sürekli eğitilmesi ve farkındalıklarının artırılması, daha güvenli kod yazmalarını sağlar. OWASP web sitesi bu konuda değerli kaynaklar sunmaktadır.