sql servera tek ip

arkdşlar şimdi merak ettiğim bir konu var elimizde bir sql server var ve bu server sadece websitemizin ipsine açık bu durumda oluşabilecek potansiyel tehditler nelerdir bunu neden yaptınız diye soracak olrsanz serverımız önceden saldırı alıyordu ve kapanmak zorunda kaldı şuan serverı sadece site ipsine açarak direkt saldırıyı kesmiş olmayı umuyoruz yukarıda yazdığım yöntemin eksileri ve artıları nelerdir ve olabilecek potansiyel saldırılar nerden gelebilr nasıl bir önlem alabilirz

SQL sunucuya gelebilecek tehlike eğer microsoft bir açık bırakmadı ise brute force ile şifre kırmaya çalışılması olacaktır. Sizin konumdaki sorunsa şu şekilde siz web sitenin sizin SQL sunucunuza sorgu yapmasına izin vermişsiniz bu durumda web sunucuyu dizayn eden arkadaş basit bir açık bıraktı se web sunucu üzerinden sql sunucuya atak yapılabilir basit anlamda yine şişirme saldırısı yapılabilir. Bu nedenle Web sunucu üzerindeki qery/sorgu sunucuyu şişirmeyecek şekilde optimize edilmesi lazım.

Ek olarak kodlamada yapılacak hatalar her zaman sql injection a izin verebilir. Geçtigimiz yılda owasp top on listesinin bir numarasında sql injection atakları bulunuyor.

https://www.owasp.org/index.php/Top_10_2013-Top_10

arkdşlar şimdi merak ettiğim bir konu var elimizde bir sql server var ve bu server sadece websitemizin ipsine açık bu durumda oluşabilecek potansiyel tehditler nelerdir bunu neden yaptınız diye soracak olrsanz serverımız önceden saldırı alıyordu ve kapanmak zorunda kaldı şuan serverı sadece site ipsine açarak direkt saldırıyı kesmiş olmayı umuyoruz yukarıda yazdığım yöntemin eksileri ve artıları nelerdir ve olabilecek potansiyel saldırılar nerden gelebilr nasıl bir önlem alabilirz

 

SQL sunucuya gelebilecek tehlike eğer microsoft bir açık bırakmadı ise brute force ile şifre kırmaya çalışılması olacaktır. Sizin konumdaki sorunsa şu şekilde siz web sitenin sizin SQL sunucunuza sorgu yapmasına izin vermişsiniz bu durumda web sunucuyu dizayn eden arkadaş basit bir açık bıraktı se web sunucu üzerinden sql sunucuya atak yapılabilir basit anlamda yine şişirme saldırısı yapılabilir. Bu nedenle Web sunucu üzerindeki qery/sorgu sunucuyu şişirmeyecek şekilde optimize edilmesi lazım.

şimdi 1 dakika  web sunucu üzerinden sql e nasıl atak yapabilir tam olarak hani bizim web sitemiz bir hosting şirketinin sunucusunda mesela  

Çok basit anlamda ben siteye login olmak için kullanıcı adını şifresini girdiğimde bunu SQL sormuyor mu ? o zaman ben aynı anda yüzbin kullanıcı adı şifresi sorarsam bunu kime soracak yada nerede tarayacak 🙂

sitedeki yapılan  javascript ve css kodlarından kaynaklı cross site scripting açığıda bilinmesine karşı yapılan ataklardandır. sql injection en bilinen atak türüdür.

Çok basit anlamda ben siteye login olmak için kullanıcı adını şifresini girdiğimde bunu SQL sormuyor mu ? o zaman ben aynı anda yüzbin kullanıcı adı şifresi sorarsam bunu kime soracak yada nerede tarayacak 🙂

yani şimdi bizim websitemize üye girişi yaparak serverı yorabilir hani bu brute force ile mi mesela ya peki bir hesaba giriş yaparsa 😕 veya olmayan bir id ile sürekli giriş yapmayı denersemi  

sitenize sürekli bir istek gönderilmesi ve sunucunun isteklere yanıt veremiyecek hale getirilmesi şekli bruteforce olarak tanımlamanabilir,

http://www.cozumpark.com/forums/AddPost.aspx?PostID=386689 mesela bu postun sayfası addpost.aspx miş bu satırdan sonraki ? işareti bir sql cümleciğinin çalıştığını ifade eder database üzerinde PostID adında tablo nun satırı varmış ve bunun eşsiz id si  386689 budur. bu şekilde farklı teknikler denenmesi yoluyla site açıkları bulunması yöntemine de sql injection deniyor. siteniz bu şekilde ataklara maruz kalmış olabilir.

ben 1dk baştan anlatayım 

bizim bir oyunumuz var ve bu oyunun sql database si ne uzaktan erişim sadece websitemiz üzerinden

yani sql server sadece websitesinin ipsine açık başka bir erişim noktası yok

 websitemizde de level sıralaması birlik sıralaması felan var  ve 1 tanede üyeler için login ekranı var hani kredi yükle şifre değiştir gibisinden 

ben 1dk baştan anlatayım 

 

bizim bir oyunumuz var ve bu oyunun sql database si ne uzaktan erişim sadece websitemiz üzerinden

yani sql server sadece websitesinin ipsine açık başka bir erişim noktası yok

 websitemizde de level sıralaması birlik sıralaması felan var  ve 1 tanede üyeler için login ekranı var hani kredi yükle şifre değiştir gibisinden 

websitesine dışardan foto felan yüklenebiliyorsa rat programları gibi programlar aracılığıyla da trojen yiyebilirsin hani yine yazarlar daha iyi bilirde bnce bu mümkün  

ben bu brute force olayı ile injector ü tam anlamadım bizim sitemizde olurmu biizm site aspx tabanlı hani 😕 ama şey sonuçta oyunun sıralama sı şifre işlemleri felan siteye bağlı olduğu için şişirme mümkünmüdür yine hani 😕 hani mümkünse enrden mümkündür nasıl engelliyebilirz 😕

ben bu brute force olayı ile injector ü tam anlamadım bizim sitemizde olurmu biizm site aspx tabanlı hani 😕 ama şey sonuçta oyunun sıralama sı şifre işlemleri felan siteye bağlı olduğu için şişirme mümkünmüdür yine hani 😕 hani mümkünse enrden mümkündür nasıl engelliyebilirz 😕

Evet mümkün session limit koyabilecek bir sisteminiz var yada oyun sunucusunda olup olmadığına bakmalısınız.

ben bu brute force olayı ile injector ü tam anlamadım bizim sitemizde olurmu biizm site aspx tabanlı hani 😕 ama şey sonuçta oyunun sıralama sı şifre işlemleri felan siteye bağlı olduğu için şişirme mümkünmüdür yine hani 😕 hani mümkünse enrden mümkündür nasıl engelliyebilirz 😕

adres satırından ?<>#$ gibi spesifik karakterlerle parametre gönderilmesini engelleyin sitenizi kodlayan programcı arkadaş yapacak ara butonunda yine aynı şekilde spesifik karakterler yasaklanmalı, yorum satırı var ise javascript kodu girilmesini yasaklanmalı. bunlar aklıma gelenler