Sunucu taraflı şablon enjeksiyonu, kullanıcı girdisinin şablon motoru tarafından ifade olarak işlenmesinden doğan bir zafiyettir. Şablon motorları, dinamik içerik üretmek için verileri önceden tanımlı şablonlara yerleştiren araçlardır. Uygulama, kullanıcı girdisini veri olarak değil şablonun bir parçası olarak işlerse, motor bu girdiyi bir ifade gibi değerlendirebilir. Saldırgan bu davranışı kullanarak motorun içinde kendi ifadelerini çalıştırabilir. Bu yetenek, en ağır durumda sunucuda tam kod çalıştırmaya varabilir.

Zafiyetin ciddiyeti, şablon motorlarının güçlü ifade yeteneklerinden gelir. Birçok motor, yalnızca veri yerleştirmekle kalmaz, aynı zamanda hesaplama ve nesne erişimi gibi güçlü işlevler sunar. Saldırgan, bu işlevleri kötüye kullanarak sistem düzeyinde erişim elde edebilir. Bu nedenle şablon enjeksiyonu, basit bir görüntüleme sorunu değil, ciddi bir sunucu tarafı risktir. Motorun gücü arttıkça, zafiyetin potansiyel etkisi de büyür.

SSTI Nedir?

SSTI, kullanıcı girdisinin şablon motoru tarafından veri yerine ifade olarak işlenmesiyle sunucuda kod çalıştırmaya yol açabilen bir enjeksiyon zafiyetidir.

Zafiyetin kökeninde, kullanıcı girdisinin şablonun yapısına karışması yatar. Uygulama, kullanıcı girdisini şablon metnine doğrudan birleştirdiğinde risk doğar. Motor, birleşen bu metni işlerken kullanıcı girdisini de bir ifade olarak değerlendirebilir. Bu nedenle savunmanın temeli, kullanıcı girdisini şablonun yapısından ayrı tutmaktır. Girdi yalnızca veri olarak yerleştirildiğinde, motor onu ifade olarak işlemez.

Nasıl Sömürülür?

Saldırgan, önce girdisinin şablon motoru tarafından işlenip işlenmediğini test eder. Basit bir matematiksel ifade girerek, sonucun hesaplanıp hesaplanmadığını gözlemler. İfade hesaplanıyorsa, girdinin motor tarafından değerlendirildiği doğrulanmış olur. Ardından saldırgan, giderek daha güçlü ifadelerle motorun yeteneklerini keşfeder. Bu keşif, sonunda sistem düzeyinde erişime kadar ilerleyebilir.

Sömürünün ilerleyişi, kullanılan şablon motoruna göre değişir. Her motorun kendine özgü söz dizimi ve yetenekleri vardır. Saldırgan, hedef motoru tanıdıktan sonra ona özgü teknikleri kullanır. Komut çalıştırma çoğu zaman bu sömürünün nihai hedefidir. Motorun sunduğu nesne erişimi, bu hedefe ulaşmak için kötüye kullanılır.

• Kullanıcı girdisinin şablon metnine doğrudan birleştirilmesi
• Girdinin motor tarafından ifade olarak değerlendirilmesi
• Matematiksel ifadelerle zafiyetin doğrulanması
• Motorun nesne erişim yeteneklerinin kötüye kullanımı
• Sistem düzeyinde kod çalıştırmaya ilerleme

Nasıl Önlenir?

En temel önlem, kullanıcı girdisinin hiçbir zaman şablon metnine dahil edilmemesidir. Kullanıcı girdisi, şablonun yapısına değil yalnızca verilerine yerleştirilmelidir. Bu ayrım sağlandığında, motor girdiyi bir ifade olarak işlemez. Bu yaklaşım, zafiyetin kaynağını doğrudan ortadan kaldırır. Girdinin veri olarak ele alınması, en güvenilir savunmadır.

İkinci önlem, mümkün olduğunda kısıtlı bir şablon ortamı kullanmaktır. Bazı motorlar, tehlikeli işlevleri devre dışı bırakan kum havuzu benzeri kısıtlı bir mod sunar. Bu kısıtlı ortam, bir enjeksiyon durumunda saldırganın yapabileceklerini sınırlar. Kum havuzu yaklaşımı bu bağlamda ek koruma sağlar. Ancak bu kısıtlamalar, tek başına yeterli bir savunma olarak görülmemelidir.

Üçüncü önlem, kullanılan şablon motorunun güvenli yapılandırılmasıdır. Motorun sunduğu güçlü işlevler, gerekmiyorsa kapatılmalıdır. Ayrıca motor ve ilgili kütüphaneler güncel tutulmalıdır. Güvenli varsayılanlarla yapılandırılmış bir motor, saldırı yüzeyini belirgin biçimde daraltır. Yapılandırmanın düzenli gözden geçirilmesi, korumanın sürdürülmesini sağlar.

Nerede Ortaya Çıkar?

Bu zafiyet, kullanıcı girdisinin şablonlara dahil edildiği çeşitli yerlerde ortaya çıkabilir. E-posta şablonları, dinamik rapor üretimi ve özelleştirilebilir içerik alanları tipik risk noktalarıdır. Bu işlevler, kullanıcıların içeriği kişiselleştirmesine izin verdiğinde girdiyi şablona dahil edebilir. Bu dahil etme güvensiz yapıldığında zafiyet doğar. Bu nedenle kullanıcıların şablon içeriğini etkileyebildiği tüm noktalar dikkatle incelenmelidir.

Özellikle kullanıcıların şablon oluşturabildiği özellikler yüksek risk taşır. Bazı uygulamalar, kullanıcılara kendi şablonlarını tanımlama esnekliği sunar. Bu esneklik, doğru kısıtlanmazsa doğrudan bir enjeksiyon kapısı hâline gelir. Bu tür özellikler, ya tamamen kaçınılmalı ya da çok sıkı biçimde kısıtlanmalıdır. Kullanıcı kontrollü şablonlar, en tehlikeli tasarım kalıplarından biridir.

Diğer Enjeksiyonlarla İlişkisi

Şablon enjeksiyonu, diğer enjeksiyon türleriyle aynı temel ilkeye dayanır. Tüm bu zafiyetler, veri ile kodun birbirine karışmasından doğar. Komut enjeksiyonu gibi türlerde olduğu gibi, savunma veriyi koddan ayırmaya dayanır. Bu ortak kök, savunma yaklaşımlarının da büyük ölçüde ortak olmasını sağlar. Enjeksiyon türlerinin bu ortak mantığı, bütünsel bir savunma anlayışını mümkün kılar.

Bu ilişki, girdi işlemenin tutarlı bir güvenlik anlayışıyla ele alınmasını gerektirir. Bir uygulamada tüm girdi noktaları, aynı güvenli işleme ilkeleriyle tasarlanmalıdır. Böylece bir tür enjeksiyona karşı alınan önlemler, diğer türlere de zemin hazırlar. Tutarlı bir yaklaşım, farklı enjeksiyon türlerinin ayrı ayrı gözden kaçmasını önler. Bütünsel girdi güvenliği, tüm enjeksiyon sınıfına karşı koruma sağlar.

Sömürü Sonrası Etki

Başarılı bir şablon enjeksiyonu, çoğu zaman saldırının yalnızca başlangıcıdır. Sunucuda kod çalıştırma yeteneği kazanan saldırgan, kalıcılık sağlamaya ve yayılmaya çalışır. Bu aşama, tek bir zafiyetin tüm sunucunun ele geçirilmesine dönüşmesine yol açabilir. Bu nedenle etkinin sınırlanması, önleme kadar önemli bir savunma hedefidir. Uygulamanın düşük yetkiyle çalıştırılması, bu etkiyi azaltan önemli bir önlemdir.

Saldırgan, elde ettiği erişimi hassas verilere ulaşmak için de kullanabilir. Şablon motorunun nesne erişim yetenekleri, sunucudaki yapılandırma ve kimlik bilgilerine ulaşmayı sağlayabilir. Elde edilen bu bilgiler, sonraki saldırılar için değerli girdi olur. Bu nedenle şablon enjeksiyonu, tekil bir sorun değil, daha geniş bir saldırının kapısı olarak değerlendirilmelidir. Etkinin sınırlanması, bu genişlemeyi engellemeye yardımcı olur.

Güvenli Geliştirme

Bu zafiyetin kalıcı çözümü, güvenli şablon kullanımının bir alışkanlık hâline getirilmesidir. Geliştiriciler, kullanıcı girdisini asla şablon yapısına dahil etmemeyi öğrenmelidir. Güvenli şablon kalıpları, kod inceleme standartlarına gömülmelidir. Böylece güvenlik, tekil düzeltmeler yerine sistematik biçimde sağlanır. Güvenli varsayılanların benimsenmesi, insan hatasına bağlı riskleri azaltır.

Bu alışkanlığın yerleşmesi, eğitim ve düzenli gözden geçirmeyle desteklenir. Şablon güvenliği kuralları belgelenmeli ve geliştiriciler bu konuda bilgilendirilmelidir. Düzenli kod incelemeleri, bu kuralların tutarlı uygulandığını doğrular. Böylece güvenlik, sürekli bir uygulamaya dönüşür. Sistematik bir yaklaşım, zafiyetin zamanla tekrar ortaya çıkmasını önler.

Privia Security olarak şablon enjeksiyonu ve sunucu tarafı kod çalıştırma zafiyetlerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.