Web uygulamalarında dosya yükleme fonksiyonları, kullanıcıların resim, belge veya diğer dosyaları sunucuya yüklemesine olanak tanır. Ancak yanlış yapılandırıldığında veya yetersiz güvenlik kontrolleri uygulandığında, bu özellikler ciddi güvenlik zafiyetlerine yol açabilir. Bu zafiyetler, saldırganların sunucuya kötü amaçlı kod yükleyerek uzaktan kod çalıştırma (RCE), sistem üzerinde tam kontrol sağlama, hassas verilere erişim veya web sitesini tahrip etme gibi eylemlerde bulunmasına olanak tanır. Bu kapsamlı rehberde, dosya yükleme zafiyetlerinin türlerini, işleyiş mekanizmalarını ve bu tehlikeli açıklardan korunma yollarını detaylı bir şekilde inceleyeceğiz.

Dosya Yükleme Zafiyetleri Nedir?

Dosya yükleme zafiyetleri, bir uygulamanın yüklenen dosyaların güvenliğini yeterince doğrulamaması sonucu ortaya çıkar. Saldırganlar, sunucunun beklediği dosya türü veya uzantısından farklı, kötü amaçlı bir dosyayı (örneğin, bir web kabuğu veya zararlı bir betik) yükleyerek sisteme sızabilirler. Bu tür zafiyetler, özellikle dosya uzantısı, MIME türü, dosya içeriği veya dosya adı üzerinde yetersiz kontrollerin bulunduğu durumlarda tehlikeli hale gelir. Bir saldırganın temel amacı, çalıştırılabilir bir dosyayı web sunucusuna yerleştirmek ve ardından bunu uzaktan çalıştırmaktır.

Yaygın Dosya Yükleme Zafiyet Türleri ve İşleyiş Mekanizmaları:

• Kısıtlı Dosya Türü Bypass (MIME Type Bypass): Uygulama genellikle dosyanın uzantısını kontrol ederken, HTTP isteğindeki Content-Type başlığını göz ardı eder. Saldırgan, bir PHP dosyasını '.jpg' uzantısıyla yüklemeye çalışırken, HTTP isteğindeki Content-Type başlığını 'image/jpeg' olarak değiştirerek kısıtlamayı aşabilir. Sunucu, Content-Type başlığına güvenerek dosyanın bir resim olduğunu zannedecek ve kayda değer kontrolleri atlayacaktır.
  
  Kod:

  POST /upload.php HTTP/1.1
  Host: example.com
  Content-Length: 1234
  Content-Type: multipart/form-data; boundary=----WebKitFormBoundaryabc123
  
  ----WebKitFormBoundaryabc123
  Content-Disposition: form-data; name="upload_file"; filename="shell.php"
  Content-Type: image/jpeg
  
  <?php system($_GET['cmd']); ?>
  ----WebKitFormBoundaryabc123--

• Çift Uzantı Kullanımı (Double Extension): Eğer uygulama yalnızca sondaki uzantıyı kontrol ediyorsa (örn. `pathinfo` fonksiyonunun basit kullanımı), saldırgan 'shell.php.jpg' gibi bir dosya adı kullanabilir. Sunucu tarafında yapılan kontrol yalnızca `.jpg` uzantısını geçerli kabul edip kaydetme işleminde yanlışlıkla `.jpg` uzantısını kaldırırsa, dosya 'shell.php' olarak kalır ve çalışabilir. Örneğin, bir dosya adı yeniden yazma işlemi sadece son uzantıyı kaldırabilir.
• Null Byte Enjeksiyonu (%00 Byte): Bazı eski sistemlerde veya belirli programlama dillerinde (C tabanlı diller ve bazı PHP versiyonları), bir null byte (%00) dosya adını sonlandırabilir. Bu, saldırganın 'shell.php%00.jpg' gibi bir dosya adı kullanarak, dosyanın aslında 'shell.php' olarak kaydedilmesini sağlayarak uzantı kontrolünü atlamasına izin verir. Bu zafiyet, özellikle dosya yolunu manipüle etmek için kullanılır.
  
  Kod:

  filename="evil.php%00.jpg"
  // Sunucu tarafında işlendiğinde dosya 'evil.php' olarak kaydedilir.

• Sihirli Byte Kontrolü Bypass (Magic Byte Bypass): Daha gelişmiş uygulamalar dosyanın 'gerçek' türünü sihirli byte'ları (dosya başlıkları) kontrol ederek doğrulamaya çalışır. Örneğin, bir JPEG dosyasının ilk birkaç byte'ı belirli bir deseni takip eder. Saldırganlar, kötü amaçlı kodlarını (örn. PHP shell) geçerli bir resim dosyası başlığının ardına ekleyerek bu kontrolü atlayabilirler. Bu, dosyanın hem resim olarak algılanmasını hem de zararlı kodun çalıştırılabilmesini sağlar.
  
  Kod:

  GIF89a;
  <?php system($_GET['cmd']); ?>

• Yol Aşımı (Path Traversal): Yükleme dizini üzerinde yetersiz kontrol veya kullanıcı tarafından sağlanan dosya adının doğru şekilde temizlenmemesi, saldırganların '../' veya benzeri dizin manipülasyonları kullanarak sunucunun farklı dizinlerine dosya yüklemesine izin verebilir. Bu, hassas sistem dosyalarının üzerine yazılmasına veya başka dizinlere zararlı dosyaların yerleştirilmesine yol açabilir.
  
  Kod:

  filename="../../../../var/www/html/shell.php"

• Yarış Koşulu (Race Condition): Bazı durumlarda, uygulama yüklenen dosyayı geçici olarak bir yere kaydeder, ardından dosyanın güvenli olup olmadığını kontrol eder ve zararlıysa siler. Saldırgan, dosyanın güvenlik kontrolünden geçip silinmesinden hemen önce zararlı kodu çalıştırmak için birden fazla eşzamanlı istek gönderebilir. Bu genellikle, zararlı dosyanın geçici olarak depolandığı kısa süreli pencerede saldırganın dosyayı çalıştırmasıyla gerçekleşir.

Dosya Yükleme Zafiyetlerinin Potansiyel Etkileri:

• Uzaktan Kod Çalıştırma (RCE): En ciddi sonuçtur. Saldırganlar, sunucu üzerinde istedikleri komutları çalıştırabilir ve sistemin tam kontrolünü ele geçirebilirler. Bu, genellikle web kabukları (webshell) aracılığıyla yapılır.
• Web Sitesi Tahribatı (Defacement): Kötü amaçlı bir dosya yüklenerek web sitesinin içeriği değiştirilebilir veya tamamen kullanılamaz hale getirilebilir.
• Veri Erişimi/Sızıntısı: Saldırganlar, sunucudaki hassas verilere (veritabanı kimlik bilgileri, müşteri bilgileri vb.) erişebilir ve bunları dışarı sızdırabilirler.
• DDoS Saldırıları İçin Botnet Oluşturma: Ele geçirilen sunucu, bir botnetin parçası olarak kullanılarak diğer sistemlere yönelik DDoS saldırılarında yer alabilir.
• Diğer Sistemlere Yayılma: Ele geçirilen sunucu üzerinden aynı ağdaki diğer sistemlere veya bağlı servislere saldırılar başlatma.

Kapsamlı Korunma ve Önlemler:

Dosya yükleme zafiyetlerine karşı korunmak için katmanlı ve kapsamlı bir güvenlik yaklaşımı benimsemek esastır. İşte başlıca önlemler:

• Kesin Beyaz Liste (Whitelist) Yaklaşımıyla Dosya Uzantı Kontrolü: Sadece izin verilen uzantılara (örn. .jpg, .png, .pdf, .doc, .xlsx) sahip dosyaların yüklenmesine izin verin. Kara liste (blacklist) yaklaşımı, yeni veya bilinmeyen uzantılarla kolayca bypass edilebilir.
  
  Kod:

  // Kötü örnek (blacklist) - Eksik bırakma riski yüksek
  $blacklisted_exts = array('php', 'php3', 'php4', 'phtml', 'html', 'htm', 'exe', 'bat', 'sh');
  $ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
  if (in_array($ext, $blacklisted_exts)) {
      die("Bu uzantıya sahip dosya yükleyemezsiniz!");
  }
  
  // İyi örnek (whitelist) - Sadece izin verilenler geçer
  $whitelisted_exts = array('jpg', 'jpeg', 'png', 'gif', 'pdf', 'doc', 'docx', 'xls', 'xlsx');
  $ext = strtolower(pathinfo($_FILES['file']['name'], PATHINFO_EXTENSION));
  if (!in_array($ext, $whitelisted_exts)) {
      die("Bu uzantıya sahip dosya yükleyemezsiniz!");
  }

• Dosya İçeriği Kontrolü (Sihirli Byte ve Gerçek MIME Türü): Sadece dosya uzantısına veya Content-Type başlığına güvenmeyin. Dosyanın sihirli byte'larını okuyarak veya 'fileinfo' gibi kütüphaneleri kullanarak gerçek MIME türünü doğrulayın. Örneğin, bir resim dosyasının gerçekten bir resim olup olmadığını, sadece Content-Type'ın `image/jpeg` olmasından öte, dosyanın başlığındaki özel byte'ları kontrol ederek doğrulayın.
• Dosya Adı Güvenliği ve Yeniden Adlandırma: Yüklenen dosyaları benzersiz ve güvenli adlarla kaydedin (örn. UUID, SHA256 karma değeri + uzantı). Kullanıcının sağladığı dosya adını doğrudan kullanmaktan kaçının. Bu, yol aşımı, çift uzantı ve null byte gibi saldırıları önlemeye yardımcı olur. Dosya adlarını temizlerken özel karakterleri kaldırın veya sadece alfanümerik karakterlere izin verin.
• Dosyaların Web Kök Dizini Dışında Saklanması: Yüklenen dosyaları, web sunucusunun doğrudan çalıştırılabilir kod olarak erişemeyeceği, statik içerik için ayrılmış veya tamamen ayrı bir dizinde saklayın. Eğer kullanıcılar tarafından erişilmesi gerekiyorsa, ayrı bir betik (örneğin, 'download.php') aracılığıyla kontrollü bir şekilde sunun. Bu betik, dosya türü ve kullanıcının yetkileri gibi kontrolleri yapmalıdır.
• Minimum Dosya İzinleri: Yüklenen dosyalara sadece okunabilir veya en az yetkiye sahip izinleri verin. Çalıştırılabilir izinler (örn. 777 veya 755), özellikle PHP gibi betik dilleri için kesinlikle verilmemelidir. Kullanıcının yüklenecek dizine yazma izni dışında başka bir izne sahip olmaması sağlanmalıdır.
• Antivirüs Tarama: Yüklenen dosyaları sunucu tarafında entegre bir antivirüs motoruyla tarayın. Bu, bilinen kötü amaçlı yazılımları, zararlı betikleri veya shell kodlarını tespit etmeye yardımcı olabilir. Ancak, bu tek başına yeterli bir savunma değildir.
• Web Uygulama Güvenlik Duvarı (WAF) Kullanımı: Bir WAF, bilinen dosya yükleme saldırı kalıplarını (örn. zararlı HTTP başlıkları, shell kod imzaları) algılayabilir ve engelleyebilir. WAF, ek bir güvenlik katmanı sağlar, ancak tek başına bir çözüm değildir.
• Küçük Resim Oluşturma (Thumbnails) ve Yeniden Boyutlandırma: Özellikle resim dosyaları için, yüklenen orijinal dosyayı doğrudan kullanmak yerine, sunucu tarafında yeni bir küçük resim oluşturarak veya orijinali yeniden boyutlandırarak potansiyel zararlı kodları temizleyin. Resim işleme kütüphaneleri (örn. GD veya ImageMagick) bu işlem sırasında genellikle zararlı meta verileri ve eklenen kodları temizler.
• Hata Mesajlarını Sınırla: Saldırganlara yararlı olabilecek detaylı hata mesajları vermekten kaçının. Genel ve bilgilendirici olmayan mesajlar tercih edin. Örneğin, 'Dosya türü desteklenmiyor' yerine 'Dosya yüklenirken bir sorun oluştu' gibi mesajlar kullanılabilir.
• Kullanıcı Tarafında Kontroller Yanıltıcıdır: JavaScript ile yapılan istemci tarafı kontrolleri, kolayca bypass edilebildiği için sunucu tarafı kontrollerin yerini tutmaz. Bunlar sadece kullanıcı deneyimini iyileştirmek içindir, güvenlik için değil.

Önemli Not: Güvenlik, tek bir önlemle sağlanamaz. Birden fazla güvenlik katmanını bir araya getirerek, dosya yükleme zafiyetlerine karşı daha güçlü bir savunma oluşturulabilir. OWASP'ın bu konudaki yönergeleri her zaman dikkate alınmalıdır. OWASP Insecure Design ve Security Misconfiguration ilgili başlıklar altındadır.

"Güvenlik, bir ürünün veya sistemin tasarımının temel taşı olmalıdır, sonradan eklenen bir özellik değil. Dosya yükleme süreçleri, bu tasarım aşamasında en yüksek güvenlik standartlarıyla ele alınmalıdır."

Genişletmek için tıkla ...

Dosya yükleme zafiyetleri, web uygulamaları için en kritik tehditlerden biridir ve doğrudan uzaktan kod çalıştırmaya yol açma potansiyeli taşır. Bu açıklardan korunmak, sadece teknik kontrollerle değil, aynı zamanda güvenli kodlama pratikleri ve sürekli güvenlik bilinciyle mümkündür. Geliştiricilerin bu konuda eğitimli olması, güvenlik açıklarının oluşmasını engelleyecektir. Düzenli güvenlik denetimleri ve sızma testleri, mevcut zafiyetlerin tespit edilerek giderilmesinde hayati rol oynar. Unutulmamalıdır ki, saldırganlar her zaman en zayıf halkayı arayacaklardır.



Sonuç olarak, dosya yükleme işlevselliği sunan her web uygulamasında, bu zafiyetlere karşı dikkatli ve titiz bir güvenlik yaklaşımı benimsenmelidir. Yetersiz doğrulama ve kontrol, kötü niyetli aktörlerin sisteme sızmasına ve ciddi zararlara yol açmasına kapı aralar. Unutmayın, en zayıf halkanız kadar güvendesinizdir.