NoSQL enjeksiyonu, ilişkisel olmayan veri tabanlarında sorgu mantığının kullanıcı girdisiyle manipüle edilmesinden doğan bir zafiyettir. Modern uygulamalar, esneklik ve ölçeklenebilirlik için sıklıkla ilişkisel olmayan veri tabanlarını tercih eder. Bu veri tabanları farklı sorgu yapıları kullansa da, girdinin güvensiz işlenmesi aynı temel riski üretir. Saldırgan, sorgunun beklenen mantığını değiştirerek yetkisiz veriye erişebilir ya da kimlik doğrulamayı atlatabilir. Bu nedenle enjeksiyon riski, ilişkisel veri tabanlarına özgü değil, girdinin güvensiz işlenmesine özgü bir sorundur.

Bu zafiyetin sık göz ardı edilmesinin nedeni, yaygın bir yanlış inanıştır. Birçok geliştirici, ilişkisel olmayan veri tabanlarının klasik enjeksiyona bağışık olduğunu varsayar. Oysa sorgu yapısı farklı olsa da, güvensiz girdi işleme aynı sınıf saldırılara kapı aralar. Bu yanlış güven, savunma önlemlerinin ihmal edilmesine yol açabilir. Gerçekte, her veri deposu türü için girdinin güvenli işlenmesi zorunludur.

NoSQL Enjeksiyonu Nedir?

NoSQL enjeksiyonu, ilişkisel olmayan veri tabanlarında sorgu mantığının güvensiz kullanıcı girdisiyle değiştirilmesine dayanan bir zafiyet türüdür.

Saldırının biçimi, kullanılan veri tabanına ve sorgu yapısına göre değişir. Bazı durumlarda, girdi içine yerleştirilen özel operatörler sorgu koşullarını değiştirir. Diğer durumlarda, sorgu bir betik olarak değerlendirildiğinde saldırgan kendi mantığını çalıştırabilir. Bu çeşitlilik, saldırının tek bir kalıba indirgenemeyeceğini gösterir. Ancak tüm biçimlerin kökeninde, aynı güvensiz girdi işleme sorunu yatar.

SQL Enjeksiyonundan Farkı

Temel fark, sorgu dilinin ve veri modelinin farklı olmasıdır. Klasik SQL enjeksiyonu yapılandırılmış sorgu diline müdahale ederken, bu tür farklı sorgu biçimlerini hedef alır. Bu nedenle saldırı yükleri ve tespit desenleri de farklıdır. Ancak iki zafiyet, aynı temel savunma ilkeleriyle önlenir. Kökensel benzerlik, savunma yaklaşımının da büyük ölçüde ortak olmasını sağlar.

İkinci fark, betik tabanlı değerlendirmenin bazı ortamlarda daha güçlü etki yaratmasıdır. Sorgunun bir programlama diliyle değerlendirildiği durumlarda, enjeksiyon doğrudan kod çalıştırmaya kadar varabilir. Bu, saldırının etkisini klasik veri erişiminin ötesine taşıyabilir. Bu nedenle bu tür ortamlarda risk daha da yüksektir. Değerlendirme mekanizmalarının güvenli yapılandırılması bu durumda kritik hâle gelir.

• Girdinin türünün ve biçiminin sıkı biçimde doğrulanması
• Sorgu operatörlerinin kullanıcı girdisinden ayrıştırılması
• Betik tabanlı değerlendirme özelliklerinin kapatılması
• Veri tabanı hesaplarının en az yetkiyle çalıştırılması
• Güvenli sorgulama arayüzlerinin tercih edilmesi

Nasıl Önlenir?

İlk savunma, girdinin türünün ve yapısının katı biçimde doğrulanmasıdır. Beklenen bir metin alanına nesne ya da operatör içeren bir girdinin gelmesi engellenmelidir. Bu doğrulama, saldırının en yaygın biçimlerini daha başlamadan durdurur. Girdi doğrulama bu bağlamda temel savunma katmanıdır. Beklenen biçimin dışındaki her girdinin reddedilmesi, saldırı yüzeyini belirgin biçimde daraltır.

İkinci savunma, güvenli sorgulama arayüzlerinin kullanılmasıdır. Sorgu yapısını ve kullanıcı verisini ayrı tutan arayüzler, enjeksiyon olanağını büyük ölçüde ortadan kaldırır. Ayrıca betik tabanlı değerlendirme özellikleri, gerekmedikçe kapatılmalıdır. Bu özellikler, en tehlikeli enjeksiyon biçimlerinin kaynağı olabilir. Kapatıldıklarında, saldırının en ağır sonuçları engellenmiş olur.

Kimlik Doğrulamayı Atlatma

Bu zafiyetin en tehlikeli sonuçlarından biri, kimlik doğrulamanın atlatılmasıdır. Uygulama, kullanıcı adı ve parolayı bir sorgu koşuluna dönüştürerek eşleşen kaydı ararsa, saldırgan bu koşulu manipüle edebilir. Özel operatörler kullanarak koşulu her zaman doğru olacak biçimde değiştiren bir saldırgan, parola bilmeden giriş yapabilir. Bu senaryo, özellikle giriş formlarında ciddi bir tehdit oluşturur. Bu nedenle kimlik doğrulama sorguları, en sıkı biçimde korunması gereken noktalardır.

Bu riske karşı ek doğrulama katmanları da değerlidir. Çok faktörlü doğrulama, tek başına sorgu manipülasyonuyla yetkisiz girişi büyük ölçüde zorlaştırır. Çok faktörlü kimlik doğrulama bu bağlamda derinlemesine savunma sağlar. Böylece bir enjeksiyon parola kontrolünü atlatsa bile, ikinci faktör engel oluşturur. Katmanlı doğrulama, tek bir açığın tüm güvenliği çökertmesini önler.

Test ve Doğrulama

Zafiyetin tespiti, uygulamanın kullandığı veri tabanı türüne özel testler gerektirir. Genel enjeksiyon araçları, bu tür ortamlar için özelleştirilmiş yükler kullanmalıdır. Sorgu oluşturan tüm giriş noktaları, farklı saldırı biçimlerine karşı ayrı ayrı denenmelidir. Web uygulama sızma testi bu kapsamlı değerlendirmeyi sağlar. Böylece hem bariz hem de gizli enjeksiyon noktaları ortaya çıkarılır.

Kod düzeyinde inceleme de tespit için önemlidir. Sorgu oluşturan kod parçaları, girdinin güvenli işlenip işlenmediği açısından denetlenmelidir. Güvenli kod gözden geçirme bu tür güvensiz kalıpları erken yakalar. Kodda yakalanan bir zafiyet, üretime ulaşmadan giderilebilir. Bu erken tespit, hem maliyeti hem de riski önemli ölçüde azaltır.

Privia Security olarak modern veri tabanı kullanan uygulamalarda enjeksiyon zafiyetlerinin tespitini düzenli zafiyet tarama kapsamında değerlendiriyoruz.