Web Güvenlik Topluluğu

19 Nisan saat 10:20′de başlayacak olan Yıldız Teknik Üniversitesi Açık Kaynak Kodu Günü çerçevesinde OWASP-TR, Web Güvenlik Topluluğu’nu anlatan bir sunum yapacağız.
Bunun yanında ufak bir video gösterimi ve bir web güvenliği demomuz olacak. İlgilenen herkes davetlidir.

Yenileme: Ulaşım

T.C Başbakanlık Devlet Planlama Teşkilatı (DPT) tarafından yayınlanan “Bilgi Toplumu Stratejisi” adlı çalışmanın 88inci maddesi kapsamında hazırlanan Ulusal Bilgi Güvenliği Kapısı açılmıştır.

10-14 Mart 2008 tarihleri arası planladığımız SQL Enjektörleri Analizi projesini, test yatağında kullandığımız veritabanları kullanıcı isim/sürüm bilgileri ve performans karşılaştırması tabloları ile bitiriyoruz.
Bu raporların yanısıra bu araçlarda kullanılan arama algoritması ve muhtemel bir iyileştirme hakkında yazdığımız raporu da yayınlıyoruz (şimdilik sadece İngilizce).

Raporlara aşağıdaki linklerden ulaiabilirsiniz;
1. Veritabanları kullanıcı isim/sürüm bilgileri
2. Performans karşılaştırması
3. Sql enjektörleri arama algoritması üzerine

Haftayı Sqlmap analizi ile kapatıyoruz. Bernardo Damele tarafından yazılan sqlmap gerçekten etkileyici. Veri dökme kapasitesi çok iyi ve kodu çok temiz. Union enjeksiyonları desteklemesinin yanında bir çok ilgi çekici özelliği var. Şu an 0.6’sı yazılan sqlmap’in klasik Binary Search Tree yerine B-Tree mantığını ortaya atan “mappable blind sql injection” gibi bir kaç yeni tekniği de gerçeklemesini bekliyoruz.

Analiz raporuna buradan ulaşabilirsiniz.

Haftanın 4üncü raporu yine Mesut Timur‘dan. Absinthe en eski sql enjeksiyonu saldırısını gerçekleyen otomatik araçlardan biri. Bazı özellikleri ya hep ya hiç mantığı ile çalıştığından önemli bilgileri dökmesi sunucuda çok trafik oluşturabilir.

Analiz raporuna buradan ulaşabilirsiniz…

Üçüncü rapor Cedric COCHIN tarafından yazılan ve aynı zamanda bir OWASP projesi olan SQLiX. En göze çarpan özelliği kör sql enjeksiyonu için kullandığı bisection algoritmasında ikiye bölme işlemini (power, &, … operatörleri ile) sunucuda gerçeklemesidir. Ayrıca kör sql enjeksiyonu bulma algoritmasında kullandığı delta işlemi de kullanım kolaylığı açısından başarılı bir tekniktir.

Detaylar ve analiz raporuna buradan ulaşabilirsiniz.

Haftanın ikinci raporu ISR-SqlGet aracını inceliyor. Francisco Amato (Arjantin) tarafından yazılan aracın en önemli özelliği ~20 ilişkisel veritabanı yönetim sistemini desteklemesi. Ama sadece union enjeksiyonları için…

Analiz raporuna buradan ulaşabilirsiniz.

Mesut Timur haftanın ilk raporunu yayınladı. “Yerli malı, herkes onu kullanmalı” ilkesinden yola çıkarak analiz ettiğimiz ilk araç Ferruh Mavituna‘nın beta durumundaki BSQL Hacker aracı.
Bilinen ve gerçeklenen bir çok tekniğin yanısıra, gerçeklenmemiş tekniklerin de bulunduğu BSQL gerçekten çok iyi. Tamamlandığında piyasada görünenin aksine çok az bulunan en etkili ve kaliteli hibrid sql enjektörü haline geleceğine eminiz.

Analiz raporuna buradan ulaşabilirsiniz.

Her ne kadar bir miting ve Fenerbahçe maçı gününe denk getirmişsek de (organizasyon sahibi olarak yaklaşık 40dk geciktik, kusura bakmayın) güzel bir buluşma oldu. İlk olarak Beşiktaş İskelesi’nin üstünde (Denizatı’nda) daha sonra Balon Kafe’de sohbetimize devam ettik. Katılanlara teşekkürler, umarım herkes için faydalı olmuştur.

16 kişinin katıldığı buluşmada çekilen fotoğraflara buradan ulaşabilirsiniz.