Sİsteminizi Shellerden Koruyun

 Part 1

Bircok sitede gerekli olmadigi halde upload formlarina rastlanir. Ornegin iletisim sayfalarina koyulan upload formlari ya da sitedeki kullanicilarin imza ve avatar gibi sisteme dosya yukleme yaptiklari ozellikler genellikle gereksizdir. Bunlarin yerine uzaktan resim linki girilerek ya da iletisim kutusuna farkli alanlar eklenerek bu upload formlari kaldirilabilir. Bu soylediklerime daha bircok ornek eklenebilir. Webmaster olarak yapmaniz gereken sey, siteye koyacaginiz bir upload formunun yerine baska neler yapilabilecegini dusunmektir.


Part 2 

Sitenizde bir upload formu kullanmaya karar verdiniz ve baska careniz yoksa ilk yapmaniz gereken sey, upload edilen dosyanin uzantisi ne olursa olsun belli bir kritere gore otomatik degismesini saglamaktir. Ornegin, sitenize resim yukleme modulu koydunuz ve kullanicilar bu modul ile istedikleri resimleri yukleyebiliyorlar. Buraya ekleyeceginiz bir kod ile yuklenen resimlerin uzantilari derhal otomatik olarak .jpg’ye cevirilsin. Bu sekilde zararli uzantilar ile shell atilmasinin onune gecebilirsiniz.  


Part 3

Upload dizinini normalin disinda bir isimle adlandirmak cok onemlidir. Saldirganlar sisteme shell atsalar bile bu shellin nerede oldugunu bulmak icin “Upload, dosya, files, dosyalar” gibi bilindik dizinleri arastirirlar. Siz bu dizinlerin adlarini anlamsiz harflerle degistirirseniz saldirganlar shell atsa bile bunu bulmalari oldukca zor olacaktir. 


Part 4

Gunumuzde pek cok sitede SQL Injection zaafi bulunmaktadir. Ne yazik ki bu zaaf ile sadece veritabani bilgileri cekilmiyor. Eger veritabani kullanicisinin yazma izinleri var ise saldirgan yakaladigi bir SQL Injection zaafi ile sisteme shell sokabilir. Bunun onune gecmek icin mevcut veritabani kullanicilarinin izinleri mumkun oldugunca kisitlanmalidir.

Part 5

FTP girisi bir sistemin ana kapisidir. Bu kapiyi korumasiz birakmak ya da ufak bir kilit ile korumaya calismak sistemi buyuk tehlikeye sokar. Ilk is olarak varsa anonymous FTP girislerini kapatin. Bu sekilde disaridan bir kullanicinin sisteme mudehalesini engellersiniz. FTP sifrelerini asla anlamli kelimelerden secmeyin. ^iB.$9B^Lt_)b gibi bir sifrenin BruteForce yontemi ile kirilmasi imkansiza yakindir. Ayrica FTP portunu degistirip, FTP’ye erisebilen IP Adreslerini sinirlamak da guvenligi onemli olcude artiracaktir.   

Part 6

Web siteniz tamamen guvenli olsa dahi icerisinde bulundugunuz sunucunun guvenligi zayif ise yaptiginiz hersey bosa gidebilir. Bunun onune gecmek icin alacaginiz sunucu hizmetini cok dusunup secmelisiniz. Sunucudaki Antivirus korumalari basta olmak uzere sunucuya ait diger guvenlik onlemleri hakkinda arastirma yapmalisiniz. Sisteminizin buyuklugune gore mumkun oldugunca az kisi ile ayni sunucuyu paylasmaya ozen gosterin. Zira diger sitelerdeki bir zaaf ile sunucuya girilip sizin sisteminiz zarar gorebilir.