SQL enjeksiyonu, kullanıcıdan alınan girdinin bir veri tabanı sorgusuna güvensiz biçimde eklenmesinden kaynaklanan bir zafiyettir. Uygulama, kullanıcı girdisini veri olarak değil sorgunun bir parçası olarak yorumladığında, saldırgan sorgunun davranışını değiştirebilir. Bu müdahale, yetkisiz veriye erişimden veri değiştirmeye kadar geniş bir etki yelpazesi doğurur. Zafiyet, web uygulamalarının en eski ve en tehlikeli sorunlarından biridir. Uzun süredir bilinmesine rağmen, hatalı kodlama alışkanlıkları nedeniyle hâlâ sık karşılaşılır.

Sorunun kökeninde, veri ile komutun birbirine karışması yatar. Sorgu metni ile kullanıcı girdisi tek bir dize olarak birleştirildiğinde, girdi içindeki özel karakterler sorgunun yapısını bozabilir. Saldırgan bu yapıyı kullanarak kendi koşullarını ya da komutlarını sorguya ekleyebilir. Bu nedenle savunmanın temeli, veriyi komuttan kesin biçimde ayırmaktır. Bu ayrım sağlandığında, girdi ne içerirse içersin yalnızca veri olarak işlenir.

SQL Enjeksiyonu Nedir?

SQL enjeksiyonu, kullanıcı girdisinin veri tabanı sorgusuna komut olarak eklenmesiyle sorgunun manipüle edilmesine dayanan bir web uygulama zafiyetidir.

Zafiyetin etkisi, uygulamanın veri tabanındaki yetkilerine bağlı olarak değişir. Saldırgan, yetkisiz kayıtları okuyabilir, mevcut verileri değiştirebilir ya da silebilir. Bazı durumlarda, kimlik doğrulama tamamen atlatılarak uygulamaya yetkisiz giriş yapılabilir. Daha ileri senaryolarda, veri tabanı sunucusu üzerinden sistemin geneline erişim sağlanabilir. Bu geniş etki, zafiyeti en yüksek öncelikli risklerden biri hâline getirir.

Nasıl Önlenir?

En temel ve etkili önlem, parametreli sorguların kullanılmasıdır. Bu yöntemde sorgu yapısı önceden tanımlanır ve kullanıcı girdisi yalnızca veri olarak yerleştirilir. Böylece girdi, sorgunun yapısını hiçbir biçimde değiştiremez ve enjeksiyon olanağı ortadan kalkar. Girdi doğrulama bu önlemi tamamlayan bir katman sağlar. İki yaklaşım birlikte uygulandığında, savunma çok daha güçlü olur.

İkinci önlem, veri tabanı yetkilerinin en aza indirilmesidir. Uygulamanın kullandığı veri tabanı hesabı, yalnızca ihtiyaç duyduğu işlemlere yetkili olmalıdır. Böylece bir enjeksiyon durumunda saldırganın yapabilecekleri, hesabın sınırlı yetkileriyle kısıtlanır. En az yetki ilkesi bu bağlamda etkiyi azaltan kritik bir savunmadır. Bu katman, enjeksiyon önlense bile ek bir güvenlik marjı sağlar.

• Parametreli sorguların kullanılması
• Girdi doğrulama ve beklenen biçim denetimi
• Veri tabanı hesaplarının en az yetkiyle çalıştırılması
• Hata mesajlarında veri tabanı ayrıntılarının gizlenmesi
• Web uygulama güvenlik duvarıyla ek bir tespit katmanı

Test ve Doğrulama

Zafiyetin varlığı, hem otomatik hem manuel testlerle doğrulanabilir. Otomatik tarayıcılar, yaygın enjeksiyon desenlerini deneyerek şüpheli noktaları hızla işaretler. Ancak karmaşık ve iş mantığına gömülü durumlar, çoğunlukla manuel test gerektirir. Web uygulama sızma testi bu iki yaklaşımı birleştirerek kapsamlı bir değerlendirme sunar. Böylece hem yaygın hem de gizli enjeksiyon noktaları ortaya çıkarılır.

Kör ve Zaman Tabanlı Türleri

Enjeksiyon her zaman doğrudan veri döndürmez; bazı durumlarda sonuç dolaylı yollarla anlaşılır. Kör enjeksiyonda uygulama, sorgu sonucunu doğrudan göstermese de davranışıyla ipucu verir. Saldırgan, doğru ve yanlış koşulların ürettiği farklı yanıtları gözlemleyerek veriyi bit bit çıkarabilir. Bu yöntem yavaş olsa da, otomatik araçlarla etkili biçimde uygulanabilir. Bu nedenle görünür bir hata mesajı olmaması, uygulamanın güvenli olduğu anlamına gelmez.

Zaman tabanlı türde ise saldırgan, sorguya bilinçli bir gecikme ekleyerek yanıt süresini gözlemler. Uygulamanın yanıtı beklenenden geç gelirse, saldırgan enjeksiyonun çalıştığını anlar. Bu teknik, hiçbir görünür geri bildirim olmadığında bile enjeksiyonu doğrulamayı sağlar. Bu çeşitlilik, zafiyetin yalnızca bariz durumlarla sınırlı olmadığını gösterir. Bu nedenle savunma, her giriş noktasını kapsayacak biçimde bütünsel tasarlanmalıdır.

Yaygın Yanlış Önlemler

Sık yapılan bir hata, savunmayı yalnızca istemci tarafı denetime dayandırmaktır. İstemci tarafındaki kontroller kolayca atlatılabildiği için, güvenlik yalnızca sunucu tarafında sağlanmalıdır. Bir diğer hata, yalnızca belirli karakterleri engelleyen kara liste yaklaşımıdır. Bu yaklaşım, öngörülmeyen kodlama biçimleriyle sıklıkla aşılır. Güvenilir savunma, karakter engellemeye değil, veriyi komuttan yapısal olarak ayıran parametreli sorgulara dayanmalıdır.

Bir başka yanlış, web uygulama güvenlik duvarını tek savunma katmanı olarak görmektir. Web uygulama güvenlik duvarı değerli bir ek katmandır ancak kod düzeyindeki hatanın yerini tutmaz. Bu araçlar, bilinen desenleri yakalasa da özgün saldırılarla atlatılabilir. Bu nedenle güvenlik duvarı, güvenli kodlamanın tamamlayıcısı olarak konumlandırılmalıdır. Asıl çözüm her zaman zafiyetin kaynağını, yani güvensiz sorgu oluşturmayı ortadan kaldırmaktır.

Privia Security olarak web uygulamalarında enjeksiyon zafiyetlerinin tespitini ve giderilmesini düzenli zafiyet tarama kapsamında değerlendiriyoruz.