Yeni Web Güvenliği Kitapları
Günlük Okunma : 26 | 03.05.2008
Web güvenliği konusunda yayınlanan hemen hemen tüm kitapları okumaya çalışıyorum ama son bir kaç aydır pek kitap okuyamadığımdan dolayı piyasayı biraz kaçırdım. Yeni web güvenliği kitaplarının hepsi beklendiği gibi daha çok AJAX, Web 2.0 ve bir çok başka benzer zımbırtı üzerine. Genelde bu kitapların çoğu benim gibi konunun düzenli takipçileri çok faydalı olmuyor ama gene de bir şeyler kazanabiliyorsunuz. Piyasada yeni şu kitaplar var: Web 2.0 Security - Defending AJAX, RIA and SOA Tanınan web güvenlik yazarların......
Web güvenliği konusunda yayınlanan hemen hemen tüm kitapları okumaya çalışıyorum ama son bir kaç aydır pek kitap okuyamadığımdan dolayı piyasayı biraz kaçırdım. Yeni web güvenliği kitaplarının hepsi beklendiği gibi daha çok AJAX, Web 2.0 ve bir çok başka benzer zımbırtı üzerine. Genelde bu kitapların çoğu benim gibi konunun düzenli takipçileri çok faydalı olmuyor ama gene de bir şeyler kazanabiliyorsunuz. Piyasada yeni şu kitaplar var: Web 2.0 Security - Defending AJAX, RIA and SOA Tanınan web güvenlik yazarların......
Subsonic PageIndex Problemi ve DoS
Günlük Okunma : 22 | 15.04.2008
Web sitelerinde genelde atlanılan ancak bir çok script kiddie ve potansiyel saldırgan tarafından kötüye kullanılan olaylardan biri sunucu tarafından uzun ve ağır işlem yapan sayfalara çok fazla istek yaparak sisteme DoS saldırısında bulunmaktır. Genelde arama sayfaları, ağır listeleme sayfaları ya da kötü bir kod bunun için biçilmiş kaftandır. Bu aralar Subsonic ile oynuyorum, muhtemelen .NET için en iyi ücretsiz ORM sistemidir, sayfalama yapmak için PageIndex diye bir parametre var , temel olarak veritabanından data çekerken kaç......
Web sitelerinde genelde atlanılan ancak bir çok script kiddie ve potansiyel saldırgan tarafından kötüye kullanılan olaylardan biri sunucu tarafından uzun ve ağır işlem yapan sayfalara çok fazla istek yaparak sisteme DoS saldırısında bulunmaktır. Genelde arama sayfaları, ağır listeleme sayfaları ya da kötü bir kod bunun için biçilmiş kaftandır. Bu aralar Subsonic ile oynuyorum, muhtemelen .NET için en iyi ücretsiz ORM sistemidir, sayfalama yapmak için PageIndex diye bir parametre var , temel olarak veritabanından data çekerken kaç......
Güvenli SSL kullanımı, Soru ve Cevapları
Günlük Okunma : 15 | 22.11.2007
Basitçe bu yazıda genel olarak geliştiricilerin ve bireylerin SSL hakkında yanlış bildikleri veya bilmedikleri, sık sordukları soru - cevapları paylaşmaya çalıştım. Özellikle web yazılımlarında yanlış implemantasyonlar görüyorum. Herşeyden Önce, SSL nedir? Özetle ve hepimizin anlayacağı şekilde SSL gidip - gelen datanın şifrelenmesini sağlar. Neden ki? Sertifika ne?, Asimetrik şifreleme ne? gibi sorular soruyorsanız PGP' ye Giriş makalesini okumanızı tavsiye ederim. O makalede bu konulara değinmeye çalışmıştım. Şimdi SSL ile ilgili Sık Sorulan Sorula......
Basitçe bu yazıda genel olarak geliştiricilerin ve bireylerin SSL hakkında yanlış bildikleri veya bilmedikleri, sık sordukları soru - cevapları paylaşmaya çalıştım. Özellikle web yazılımlarında yanlış implemantasyonlar görüyorum. Herşeyden Önce, SSL nedir? Özetle ve hepimizin anlayacağı şekilde SSL gidip - gelen datanın şifrelenmesini sağlar. Neden ki? Sertifika ne?, Asimetrik şifreleme ne? gibi sorular soruyorsanız PGP' ye Giriş makalesini okumanızı tavsiye ederim. O makalede bu konulara değinmeye çalışmıştım. Şimdi SSL ile ilgili Sık Sorulan Sorula......
Nikto 2
Günlük Okunma : 4 | 13.11.2007
Her ne kadar ben Nikto dan neredeyse nefret etsem de seveni çoktur, duyuralım. Nikto 2 çıkmış....
Her ne kadar ben Nikto dan neredeyse nefret etsem de seveni çoktur, duyuralım. Nikto 2 çıkmış....
WAITFOR DELAY saldırıları ve SQL Injection
Günlük Okunma : 4 | 31.10.2007
SQL Injection ile ileri derecede haşır neşir olan ben son zamanlarda daha önceden farketmediğim bir şey farkettim. BSQL Hacker ile testler yaparken WAITFOR Delay ile yaptığım atakların yüksek paralel bağlantılarda hatalı sonuçlar verdiğini gördüm. Bu sorun ile uğraşırken Database bağlantı katman limitlerinden birini daha görmüş oldum. WAITFOR DELAY veya benzeri ataklarda 60 saniyenin üzerine giden saldırılar genelde hata verecektir çünkü varsayılan olarak bir çok web dilinde script' in zaman aşımı süresi maksimum 90 saniyedir, e......
SQL Injection ile ileri derecede haşır neşir olan ben son zamanlarda daha önceden farketmediğim bir şey farkettim. BSQL Hacker ile testler yaparken WAITFOR Delay ile yaptığım atakların yüksek paralel bağlantılarda hatalı sonuçlar verdiğini gördüm. Bu sorun ile uğraşırken Database bağlantı katman limitlerinden birini daha görmüş oldum. WAITFOR DELAY veya benzeri ataklarda 60 saniyenin üzerine giden saldırılar genelde hata verecektir çünkü varsayılan olarak bir çok web dilinde script' in zaman aşımı süresi maksimum 90 saniyedir, e......
VS.NET için XSS eklentisi XSSDetect
Günlük Okunma : 3 | 23.10.2007
XSSDetect VS.NET IDE sine eklenti olarak yükleyebileceğiniz ve kaynak kodunu analiz ederkek XSS açıklarınıtespit edebilen bir eklenti. Sonuçlar hakkında bir fikrim yok ancak eminim ki işinizi yarayacaktır, ücretsiz ve kullanımı da gayet basit gibi. Projelerinizde test edebilirsiniz....
XSSDetect VS.NET IDE sine eklenti olarak yükleyebileceğiniz ve kaynak kodunu analiz ederkek XSS açıklarınıtespit edebilen bir eklenti. Sonuçlar hakkında bir fikrim yok ancak eminim ki işinizi yarayacaktır, ücretsiz ve kullanımı da gayet basit gibi. Projelerinizde test edebilirsiniz....
Zaman Tabanlı Full-Blind SQL Injection
Günlük Okunma : 4 | 16.10.2007
Full Blind SQL Injection (çıktıda hiç değişiklik oluşturmayan SQL Injectionlar) popüler konularımızdan biri. Her ne kadar MySQL, ORACLE, SQL Server, PostgreSQL de rahatça takılabilsekte MS Access gibi acayip ve genelde tırt veritabanlarına gelince takılıyoruz. Çünkü genelde çoğu veritabanı, SLEEP ya da WAITFOR DELAY gibi fonksiyonlar ile zaman tabanlı ataklar yapmamızı sağlarken MS Access gibi veritabanlarında bu imkanımız yok. Diğer bir örnek ise MySQL ve BENCHMARK. MySQL zaman tabanlı SQL Injection atakları yapmak için BENCHMARK' ı kullanabiliyoruz ve basi......
Full Blind SQL Injection (çıktıda hiç değişiklik oluşturmayan SQL Injectionlar) popüler konularımızdan biri. Her ne kadar MySQL, ORACLE, SQL Server, PostgreSQL de rahatça takılabilsekte MS Access gibi acayip ve genelde tırt veritabanlarına gelince takılıyoruz. Çünkü genelde çoğu veritabanı, SLEEP ya da WAITFOR DELAY gibi fonksiyonlar ile zaman tabanlı ataklar yapmamızı sağlarken MS Access gibi veritabanlarında bu imkanımız yok. Diğer bir örnek ise MySQL ve BENCHMARK. MySQL zaman tabanlı SQL Injection atakları yapmak için BENCHMARK' ı kullanabiliyoruz ve basi......
How to Break Web Software: Functional and Security Testing of Web Applications and Web Services
Günlük Okunma : 3 | 11.10.2007
Bu kitabı henüz bitirdim ve eğer benden tek bir cümle ile kitap hakkındaki yorumu isterseniz buyrun; Uzak durun! Durumu özetledikten sonra detaylara geleyim. Bir kaç gün önce üç yeni güvenlik kitabı sipariş ettiğimi söylemiştim. Bu da onlardan biriydi. Bu web uygulaması güvenliği ile ilgili olan piyasada okmadığım bir - iki kitaptan biri, içeriği de bana fena gelmemişti. Kitap genel web güvenliği sorunlarına çoook kısa bir şekilde ve çoook temel bir şekilde değiniyor. Resimler çıktıktan sonra sadece 130 sayfa kadar bir içeriğe sahip. Eğer web uygulaması güvenliği konusuna bir seneden uzun bi......
Bu kitabı henüz bitirdim ve eğer benden tek bir cümle ile kitap hakkındaki yorumu isterseniz buyrun; Uzak durun! Durumu özetledikten sonra detaylara geleyim. Bir kaç gün önce üç yeni güvenlik kitabı sipariş ettiğimi söylemiştim. Bu da onlardan biriydi. Bu web uygulaması güvenliği ile ilgili olan piyasada okmadığım bir - iki kitaptan biri, içeriği de bana fena gelmemişti. Kitap genel web güvenliği sorunlarına çoook kısa bir şekilde ve çoook temel bir şekilde değiniyor. Resimler çıktıktan sonra sadece 130 sayfa kadar bir içeriğe sahip. Eğer web uygulaması güvenliği konusuna bir seneden uzun bi......
Input Validation ve Sakal Uzatmak
Günlük Okunma : 3 | 04.08.2007
Beni tanıyorsanız nasıl bazı konularda obsesif olabileceğimi biliyorsunuzdur, bilmiyorsanız da öğrenmiş olduğunuz (tebrikler, zavallı beyninizin bir hücresi daha az önce öğrendiğiniz gereksiz bir bilgi ile telef oldu). Web uygulamalarında input validasyonu da bu konulardan biri. Ben genel güvenlik dogmatik bilgisinin aksine input validasyonu web uygulamalarında kabul etmiyorum (tabii ki önemli ama genelde çözüm ve doğru yol değil). Stop saying input validation, yazısında Pravir benim adıma konuşmuş. Ben de onun gibi sakal bırakacağım! Sonra da anlat babam anlat......
Beni tanıyorsanız nasıl bazı konularda obsesif olabileceğimi biliyorsunuzdur, bilmiyorsanız da öğrenmiş olduğunuz (tebrikler, zavallı beyninizin bir hücresi daha az önce öğrendiğiniz gereksiz bir bilgi ile telef oldu). Web uygulamalarında input validasyonu da bu konulardan biri. Ben genel güvenlik dogmatik bilgisinin aksine input validasyonu web uygulamalarında kabul etmiyorum (tabii ki önemli ama genelde çözüm ve doğru yol değil). Stop saying input validation, yazısında Pravir benim adıma konuşmuş. Ben de onun gibi sakal bırakacağım! Sonra da anlat babam anlat......
Web Güvenliği Günleri 1 Dosyalar Yayınlandı
Günlük Okunma : 5 | 29.07.2007
Web Güvenliği Günleri 1 Dosyaları yayınlandı, yumulun....
Web Güvenliği Günleri 1 Dosyaları yayınlandı, yumulun....
Rant and Finding Vulnerabilities in Public Websites
Günlük Okunma : 4 | 28.07.2007
2006 and 2007 in security community came with heavy full disclosure potentially because of the increasing popularity of XSS attacks and Web 2.0, so-called social networking etc. People started to publicly disclose XSS vulnerabilities, SQL Injection issues and even remote code execution issues in public websites. If you check out websites like XSSed - a public XSS database, sqlinject.blogspot - not well known one for public list of SQL Injection vulnerabilities and Full Disclosure forum of sla.ckers and especially famous so it's begin thread, you will see what I mean. There......
2006 and 2007 in security community came with heavy full disclosure potentially because of the increasing popularity of XSS attacks and Web 2.0, so-called social networking etc. People started to publicly disclose XSS vulnerabilities, SQL Injection issues and even remote code execution issues in public websites. If you check out websites like XSSed - a public XSS database, sqlinject.blogspot - not well known one for public list of SQL Injection vulnerabilities and Full Disclosure forum of sla.ckers and especially famous so it's begin thread, you will see what I mean. There......
Attribute-Based XSS, ermm...
Günlük Okunma : 4 | 26.07.2007
Don't get this post wrong, I really like Jeremiah blog and he is obviously good at his stuff so I'm not shooting the messenger. This particular post in his blog shows us the current situation of funny web application security scanner market. In this post Jeremiah gave us some great news(!), WhiteHat Sentinel discovered attribute-Based XSS... From the announcement; Attribute-Based Cross-Site Scripting is one of the hardest types of Cross-Site Scripting to find in an automated fashion. Today, no desktop scanner does a good job at this; most don't even attempt it because false-po......
Don't get this post wrong, I really like Jeremiah blog and he is obviously good at his stuff so I'm not shooting the messenger. This particular post in his blog shows us the current situation of funny web application security scanner market. In this post Jeremiah gave us some great news(!), WhiteHat Sentinel discovered attribute-Based XSS... From the announcement; Attribute-Based Cross-Site Scripting is one of the hardest types of Cross-Site Scripting to find in an automated fashion. Today, no desktop scanner does a good job at this; most don't even attempt it because false-po......
OWASP DirBuster Project
Günlük Okunma : 3 | 07.07.2007
Web uygulaması güvenlik testlerinin açılışlarından birini dizin ve dosya bulma işlemi yapar. Sistemdeki eski dosyalar, gizli veya linklenmemiş dosyalar hatta sayfadan linklenmiş ama sizin gözünüzden kaçmış yerler. İşte DirBuster bunları bulmak için yapılmış olan bulabileceğiniz muhtemelen en iyi yazılım. Ben bir çok beta versiyonunu da kullandım. Artık OWASP desteği geliştiriliyor. İnanılmaz süper bir liste ile geliyor, şiddetle tavsiye edilir. OWASP DirBuster Project - OWASP Eğer internetiniz hızlıysa 10' dan fazla thread da çalıştırmanızı tavsiye etmem lakin test sitesini çökertebilirsini......
Web uygulaması güvenlik testlerinin açılışlarından birini dizin ve dosya bulma işlemi yapar. Sistemdeki eski dosyalar, gizli veya linklenmemiş dosyalar hatta sayfadan linklenmiş ama sizin gözünüzden kaçmış yerler. İşte DirBuster bunları bulmak için yapılmış olan bulabileceğiniz muhtemelen en iyi yazılım. Ben bir çok beta versiyonunu da kullandım. Artık OWASP desteği geliştiriliyor. İnanılmaz süper bir liste ile geliyor, şiddetle tavsiye edilir. OWASP DirBuster Project - OWASP Eğer internetiniz hızlıysa 10' dan fazla thread da çalıştırmanızı tavsiye etmem lakin test sitesini çökertebilirsini......
How To Break Web Software Videosu
Günlük Okunma : 3 | 07.07.2007
How To Break Web Software ın yazarından aynı çerçevede Google çalışanları için yayınlanmış ortalama bir buçuk saatlik bir video. Uç nokta bir şey yok ancak eğer genel bir web güvenlik bilgisi edinmek istiyorsanız, konuyu gayet güze ve eğlenceli şekilde ele alıyor....
How To Break Web Software ın yazarından aynı çerçevede Google çalışanları için yayınlanmış ortalama bir buçuk saatlik bir video. Uç nokta bir şey yok ancak eğer genel bir web güvenlik bilgisi edinmek istiyorsanız, konuyu gayet güze ve eğlenceli şekilde ele alıyor....
MITM Proxy - Attacking / Debugging Proxyleri
Günlük Okunma : 7 | 04.07.2007
Web Güvenliği ile uğraşıyorsanız iki tane iyi dostunuz vardır. Birincisi Tarayıcınız, bu genelde gelişmiş extension desteğinden dolayı Firefox. İkincisi ise, MITM Proxy' niz. Bu Proxy' lerin adam gibi bir adı var mı bilmiyorum ama genelde şu isimler altında görülüyorlar, MITM (Man in the Middle) Proxy Attacking Proxy Debugging Proxy (eğer proxy genelde web geliştiricileri için tasarlandıysa genelde bu isim kullanılıyor) İsim önemli değil, içeriği önemli deyip, devam edelim. Benim şahsi seçimim açık ara farkla SPI Dynamics' ten SPI Proxy' ydi. Ancak son zamanlardaki lisans sorunları yüzünden y......
Web Güvenliği ile uğraşıyorsanız iki tane iyi dostunuz vardır. Birincisi Tarayıcınız, bu genelde gelişmiş extension desteğinden dolayı Firefox. İkincisi ise, MITM Proxy' niz. Bu Proxy' lerin adam gibi bir adı var mı bilmiyorum ama genelde şu isimler altında görülüyorlar, MITM (Man in the Middle) Proxy Attacking Proxy Debugging Proxy (eğer proxy genelde web geliştiricileri için tasarlandıysa genelde bu isim kullanılıyor) İsim önemli değil, içeriği önemli deyip, devam edelim. Benim şahsi seçimim açık ara farkla SPI Dynamics' ten SPI Proxy' ydi. Ancak son zamanlardaki lisans sorunları yüzünden y......
About Hotlinking and CSRF
Günlük Okunma : 10 | 16.04.2007
Today GNUCitizen posted a blog : Persistent CSRF and The Hotlink Hell. From GNUCitizen's postIt is not Google’s fault. I am not sure what exactly needs to be done in order to fight against this type of attacks. First of all I don’t know why pdb thinks this is not Google’s fault and I don't know why he thinks there should be a different protection against it. This is definitely Google’s fault and this is a very obvious CSRF issue and protection against it is obviously same. Beside of the all rewrite issue, we all know hotlinking is bad because, - May leak session identifiers, unique ident......
Today GNUCitizen posted a blog : Persistent CSRF and The Hotlink Hell. From GNUCitizen's postIt is not Google’s fault. I am not sure what exactly needs to be done in order to fight against this type of attacks. First of all I don’t know why pdb thinks this is not Google’s fault and I don't know why he thinks there should be a different protection against it. This is definitely Google’s fault and this is a very obvious CSRF issue and protection against it is obviously same. Beside of the all rewrite issue, we all know hotlinking is bad because, - May leak session identifiers, unique ident......
Jikto
Günlük Okunma : 7 | 02.04.2007
In my previous post I mentioned about Jikto and I said that need to wait. Now we got slides ! It turned out the most critical trick of Jikto is Google Translate. Using Google Translate for this purpose has already mentioned but this is a good example, definitely. I'm not quite sure about real world impact of this since it should be quite slow because of Google Translate. There is another gossip and discussion going on about publishing source code of Jikto. It's quite funny. If we really believe a blackhat guy is not able to write such a similar tool after this presentation we s......
In my previous post I mentioned about Jikto and I said that need to wait. Now we got slides ! It turned out the most critical trick of Jikto is Google Translate. Using Google Translate for this purpose has already mentioned but this is a good example, definitely. I'm not quite sure about real world impact of this since it should be quite slow because of Google Translate. There is another gossip and discussion going on about publishing source code of Jikto. It's quite funny. If we really believe a blackhat guy is not able to write such a similar tool after this presentation we s......
SQL Injection Cheat Sheet
Günlük Okunma : 554 | 15.03.2007
SQL Injection Cheat Sheet SQL Injection Cheat Sheet, Document Version 1.4 About SQL Injection Cheat Sheet Currently only for MySQL and Microsoft SQL Server, some ORACLE and some PostgreSQL. Most of samples are not correct for every single situation. Most of the real world environments may change because of parenthesis, different code bases and unexpected, strange SQL sentences. Samples are provided to allow reader to get basic idea of a potential attack and almost every section includes a brief information about itself. M : MySQL S : SQL S......
SQL Injection Cheat Sheet SQL Injection Cheat Sheet, Document Version 1.4 About SQL Injection Cheat Sheet Currently only for MySQL and Microsoft SQL Server, some ORACLE and some PostgreSQL. Most of samples are not correct for every single situation. Most of the real world environments may change because of parenthesis, different code bases and unexpected, strange SQL sentences. Samples are provided to allow reader to get basic idea of a potential attack and almost every section includes a brief information about itself. M : MySQL S : SQL S......
Fast way to extract data from Error Based SQL Injections
Günlük Okunma : 15 | 15.03.2007
Fast way to extract data from Error Based SQL Injections What is this? This attack described in Advanced SQL Injection in SQL Server Applications paper by Chris Anley. This page is just a step by step tutorial. Where can you use? If you have found an error based in SQL Injection in SQL Server What is the point? You don’t have to extract every single record one by one. You can get all of them with fewer requests Theory Loop all records and insert in a temporary table (generally all users have create table permission) Read temporary table Drop table and start aga......
Fast way to extract data from Error Based SQL Injections What is this? This attack described in Advanced SQL Injection in SQL Server Applications paper by Chris Anley. This page is just a step by step tutorial. Where can you use? If you have found an error based in SQL Injection in SQL Server What is the point? You don’t have to extract every single record one by one. You can get all of them with fewer requests Theory Loop all records and insert in a temporary table (generally all users have create table permission) Read temporary table Drop table and start aga......
OWASP Test Rehberi 2 Yayında
Günlük Okunma : 2 | 26.02.2007
Web uygulaması güvenliği testlerini baştan sonra kapsamlı şekilde ele alan yegane rehberin ikinci versiyonu yayınlandı. Şiddetle tavsiye edilir....
Web uygulaması güvenliği testlerini baştan sonra kapsamlı şekilde ele alan yegane rehberin ikinci versiyonu yayınlandı. Şiddetle tavsiye edilir....
Paros v3.1.3 duyuruldu
Günlük Okunma : 1 | 30.08.2004
Paros Java ile geliştirilmiş open source bir proxy uygulamasıdır. Buradaki proxy’ den kasıt “security proxy” de diyebileceğimiz web uygulamalarını test ederken aradaki datayı modifiye edebilmemize izin veren proxy kastediliyor. Paros’ u daha önceki versiyonlarında denemiştim, Şahsen bir java düşmanı olduğumdan ve uygulamayı pek yeterli bulmadığımdan pek kullanmamıştım. Ancak bu versiyonda hatırı sayılır yenilikler eklenmiş ve program bir proxyden öte bir web application security assessment programına dönüşmüş. Aynı benzer her aracın gittiği yok gibi. Paros’......
Paros Java ile geliştirilmiş open source bir proxy uygulamasıdır. Buradaki proxy’ den kasıt “security proxy” de diyebileceğimiz web uygulamalarını test ederken aradaki datayı modifiye edebilmemize izin veren proxy kastediliyor. Paros’ u daha önceki versiyonlarında denemiştim, Şahsen bir java düşmanı olduğumdan ve uygulamayı pek yeterli bulmadığımdan pek kullanmamıştım. Ancak bu versiyonda hatırı sayılır yenilikler eklenmiş ve program bir proxyden öte bir web application security assessment programına dönüşmüş. Aynı benzer her aracın gittiği yok gibi. Paros’......
Tırnak Kullanılmayan Href Taglarındaki Potansiyel XSS Açıkları
Günlük Okunma : 2 | 22.07.2004
Evet bu uzunca başlığı izah etmeye çalıtığım küçük bir makale Small XSS Paper : Dangerous HREF Attributes which don't have quotes başlığı ile sitede okunabilir. ...
Evet bu uzunca başlığı izah etmeye çalıtığım küçük bir makale Small XSS Paper : Dangerous HREF Attributes which don't have quotes başlığı ile sitede okunabilir. ...
Arşiv
Yeni yazıları RSS ile takip edebilir ya da e-mail adresinize gelmesini sağlayabilirsiniz.
En Çok Okunan 10 Yazı | Toplam En Çok Okunan 10 Yazı | Tüm yazılar ve Makaleler