Veriyükü üzerinden sql enjeksiyon zafiyetlerin belirlenmesi

Sürekli gelişen teknoloji ile birlikte bilgiye hızlı erişim, depolamak, gibi ihtiyaçlarının yanında bilgisayar sistemlerinin kullanımı da paralel olarak artmaktadır. Bu sistemler içerisinde özellikle kurum ve kuruluşlar önemli bilgilerini bulundurmakta ve kullanmaktadırlar. Her alanda olduğu gibi bilgisayar sistemleri de bulundurdukları önemli kaynaklardan dolayı siber saldırganlar tarafından tehdit altındadır. Bu tehditlere karşı her alanda olduğu gibi güvenlik önlemleri alınmaktadır. Güvenlik duvarları (firewalls), saldırı tespit ve önleme sistemleri (IPS/IDS), içerik filtreleme sistemleri, anti virüs yazılımları, kod güvenliği sıkılaştırmaları gibi donanımsal ve yazılımsal olarak önlemler alınmaktadır. Siber saldırganlar tarafından bilgisayar sistemlerine özellikle kritik ve gizli derecedeki bilgileri ele geçirebilmek için çeşitli siber saldırılar yapılmaktadır. Bu siber saldırılardan birisi en yaygın ve en tehlikeli saldırı türü olan Structured Query Language (SQL) enjeksiyon saldırısıdır. SQL enjeksiyon saldırısı, bir veri tabanı kullanan uygulama üzerindeki kodların güvenlik açıklarından faydalanılarak, siber saldırganın yetkisi olmadan gizli bilgileri ele geçirmeye yönelik amacı doğrultusunda güvenlik zafiyetinin sömürülmesi şeklidir. Bu tez çalışmasında, SQL enjeksiyonu, SQL enjeksiyon saldırılarının sınıflandırılması, SQL enjeksiyon zafiyetinin belirlenme yöntemleri anlatılmıştır. Web uygulamaları üzerindeki SQL enjeksiyon zafiyetinin belirlenmesine yönelik çalışmalar yapılmıştır. Bu çalışmalar web uygulama güvenliğine yönelik olarak oluşturulmuş içerisinde web güvenlik zafiyetleri barındıran Damn Vulnerable Web Application (DVWA) ve Web For Pentester uygulamaları üzerinde yapılmıştır. SQL enjeksiyon zafiyetinin belirlenmesinde elle yapılan sorgular ve Burp Suite, Sqlmap, Kali Linux, Havij, Acunetix, Netsparker gibi web zafiyeti ve penetrasyon testi araçları kullanılmıştır. Bu araçların gerçekleştirdikleri veri yükleri ve elle yapılan SQL enjeksiyon sorgulamaları analiz edilerek karşılaştırılmıştır.