CSRF açıkları genellikle form doğrulamalarında, POST’larda ve GET’lerde görülebilir. Image yoluna aldatma olarak GET metoduyla istenilen query strinler de işletilebilir. Örneğin bir mesaj sistemi yaptık. İlgili kişilere göre yetki sistemini de ayarladık (moderatörler ve yöneticiler silme, değiştirme, onaylama vs.. işlemlerini yapabilme gibi) diyelim. Normal kullanıcıların işlem yapmaması için de güvenlikleri aldık diyelim. Gelelim burada CSRF açığından oluşabilecek güvenlik açıklarına…

Değiştirme, onaylama, silme olaylarını GET yöntemi ile adresten aldığımızı düşünelim (?P=Delete&Id=146). Bu linke giren yetkili kullanıcılar, veritabanında ki 146. idli veriyi silebilirler (?). Sayfanın içine <img src=”?P=Delete&Id=146“  /> image kodunu yazdıktan sonra, sayfaya giren daha önceden girişini yapmış yetkili kullanıcılar ilgili işlemin aynısını yapabilecekler. Farklı bir örnek olarak, bir sayfadan GET yöntemi ile gönderilen verilerinde aynı yöntemi tetikleyeceği unutulmamalıdır. Bir mail geldi diyelim. Kişi, linke tıklamanızı istiyor. Link boş bir html sayfası açıp o anda yönlendirme yaparak bu adresi açtığını düşünelim. O tıklayan kişi yine sisteme giriş yapmış, ve yetkili kullanıcıysa, yine “Delete” stringini görecek ve silme işlemi yapılacaktır.

Bu açıktan korunmanın en güvenli ve hızlı yolu, session kontrolü dür.  Db işlemlerinizden hemen önce session kontrolü yaparak, sayfanın oluşturulan session ile mi geldiğini kontrol ettirebilirsiniz.

Php’de örnek vereyim.

//Mesaj inputu poş ise.
if(empty($_POST["Mesaj"])) {
$_SESSION["anahtar"] = md5(rand(0,9999));
//Random olarak üretilen md5 sessiona atılıyor.

//Form yazdırılıyor.
echo ‘
<form method=”POST”>
<input type=”text” name=”Mesaj” />
<input type=”submit” value=”Gönder” />
<input type=”hidden” name=”token” value=”‘ . $_SESSION['anahtar'] . ‘” size=50″ />
</form>’;
}
//Eğer post işlemi var ve Mesaj değişkeninin içi doluysa
elseif(isset($_POST["Mesaj"])) {
//Sayfadan gelen “token” değeri oluşturulan session ile aynıysa işlemler yapılıyor
if( $_POST["token"] == $_SESSION['anahtar'] ) {
echo(“Giriş Başarılı<br><br>”) . $_POST["Mesaj"];
$_SESSION['anahtar'] = ”; //SESSIONımızı boşalttık
}
else {
//Gelen değer eşit değilse hatayı bas
die(“Doğrulama Yanlış !!!”);
}
}

Burada sayfa post edilmediyse rand ile oluşturulan md5 i session a atıyor. Sonra input hidden nesnesine oluşturulan md5 atanıyor.Post edildiyse oluşturulan en son session ile, Post’tan gelen inputdaki token değeri ile karşılaştırma yapılıyor. Eşitse işleme devam ediliyor. Değilse işlem sonlandırılıyor.

Bu sistem hem flood ı önlemekte, hemde gizli olarak farklı yerden gelen POST, GET ve image içinde ki request değerlerinden korumaktadır.

Form doğrulamarında, kodlarla uğraşmam bana hazır bişiler lazım diyosanız da reCAPTCHA sistemini öneririm.

PDF içindeki konular aşağıdadır. Buradan Dökümanı indirebilirsiniz.
Ayrıca milw0rm’da ki PHP Güvenlik konusuna bakabilirsiniz.

XOOP Server

mysql_query(“SET NAMES ‘utf8′”);
mysql_query(“SET CHARACTER SET utf8″);
mysql_query(“SET COLLATION_CONNECTION = ‘utf8_general_ci’”);

Daha sonra sayfamın charset’ini utf-8 yaptıktan sonra; header (“Content-Type: text/html; charset=utf-8″);
sorun düzeldi. DB’de ki charset’e hiç dokunmadım bu arada. DB de türkçe karakterler var sayfa da tr karakterler bozuk geliyorsa bunu uygulayın. Db de UTF-8 karakterler var sayfa da tr karakterler gelmiyorsa. Sayfanın sadece charset’ini UTF-8 yapmanız yeterli.

Umarım faydalı olmuştur…

Selametle

http://www.seyfullahkilic.com/Projeler/md5

Bir kaç örnek veriyorum. Siz geliştirerek webbrowserınızdaki elemanları DOM teknolojisi ile istediğinizi yaptırabilirsiniz veya verileri alabilirsiniz

foreach (HtmlElement item in webBrowser1.Document.Links)
{
MessageBox.Show(item.GetAttribute(“href”).ToString());
} // Bu kodla sayfadaki tüm linkleri alıp message box ile ekrana uyarı verdirebiliriz. GetAttribute komutu javascript bilenlere tanıdık gelecek bir kod. Gelen elemanın Attribute’unu almamızı sağlar. linkin hrefini değilde ben alt tagını da alabilirdim bu yöntemle. veya sayfadaki resimleri çeker, img tagını alabilirdim.

webBrowser1.Document.GetElementById(“q”).InnerText = “TeknoSeyfo”;
webBrowser1.Document.Forms[0].InvokeMember(“submit”);

Webbrowserımızda google açık olsun. bu komut çalıştığında q idli elemanın textine(valueside olabilir burada value) “TeknoSeyfo” stringini yerleştirir sonra sayfanın ilk formunu submit eder

Örnekleri çoğaltabiliriz. HtmlElement hakkında daha fazla bilgi için MSDN’e girebilirsiniz.

Erhan BURHAN

İndir