Bir yaz\u0131l\u0131mc\u0131 olarak kod yazmak, yeni \u00f6zellikler geli\u015ftirmek ve projeleri hayata ge\u00e7irmek ku\u015fkusuz heyecan verici. Ancak ya bu rutinin d\u0131\u015f\u0131na \u00e7\u0131karak, yazd\u0131\u011f\u0131n\u0131z veya kulland\u0131\u011f\u0131n\u0131z sistemlerdeki gizli g\u00fcvenlik zafiyetlerini ke\u015ffetme \u015fans\u0131n\u0131z olsa? \u00dcstelik bunu yaparak hem kariyerinize de\u011fer kat\u0131p hem de \u015firketinizden hat\u0131r\u0131 say\u0131l\u0131r bir bonus kazanma f\u0131rsat\u0131 yakalasan\u0131z? Bu makalede, tam da bu deneyimi nas\u0131l ya\u015fad\u0131\u011f\u0131m\u0131, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131n\u0131 nas\u0131l buldu\u011fumu ve \u015firketimden bu de\u011ferli katk\u0131m kar\u015f\u0131l\u0131\u011f\u0131nda nas\u0131l \u00f6d\u00fcllendirildi\u011fimi ad\u0131m ad\u0131m payla\u015faca\u011f\u0131m. Bu hikaye, sadece siber g\u00fcvenlik uzmanlar\u0131na de\u011fil, kariyerinin farkl\u0131 a\u015famalar\u0131ndaki t\u00fcm yaz\u0131l\u0131mc\u0131lara, freelance \u00e7al\u0131\u015fanlara ve teknolojiye merakl\u0131 herkese ilham vermek, g\u00fcvenlik bilincini art\u0131rmak ve belki de kendi “bonusluk” a\u00e7\u0131klar\u0131n\u0131 bulmalar\u0131 i\u00e7in bir yol haritas\u0131 sunmak amac\u0131yla kaleme al\u0131nm\u0131\u015ft\u0131r.<\/p>\n
G\u00fcvenlik a\u00e7\u0131\u011f\u0131, bir yaz\u0131l\u0131m, sistem veya a\u011fdaki k\u00f6t\u00fc niyetli ki\u015filerin yetkisiz eri\u015fim sa\u011flamas\u0131na, verileri de\u011fi\u015ftirmesine, hizmetleri kesintiye u\u011fratmas\u0131na veya ba\u015fka zararl\u0131 eylemler ger\u00e7ekle\u015ftirmesine olanak tan\u0131yan bir zay\u0131fl\u0131kt\u0131r. Bu zay\u0131fl\u0131klar, basit bir yaz\u0131m hatas\u0131ndan karma\u015f\u0131k mimari hatalara kadar geni\u015f bir yelpazede olabilir. G\u00fcn\u00fcm\u00fcz\u00fcn dijital d\u00fcnyas\u0131nda, veri ihlalleri ve siber sald\u0131r\u0131lar \u015firketler i\u00e7in milyarlarca dolarl\u0131k zararlara, itibar kayb\u0131na ve yasal sorunlara yol a\u00e7abilmektedir. Dolay\u0131s\u0131yla, g\u00fcvenlik a\u00e7\u0131klar\u0131 sadece siber g\u00fcvenlik ekiplerinin de\u011fil, kod yazan her geli\u015ftiricinin birincil sorumlulu\u011fu olmal\u0131d\u0131r. Bir geli\u015ftirici olarak yazd\u0131\u011f\u0131m\u0131z her sat\u0131r kod, sistemin genel g\u00fcvenlik duru\u015funu do\u011frudan etkiler. Bu nedenle, OWASP Top 10 gibi end\u00fcstri standartlar\u0131n\u0131 anlamak, yayg\u0131n zafiyet t\u00fcrlerini tan\u0131mak ve kodumuzu “g\u00fcvenlik \u00f6ncelikli” bir yakla\u015f\u0131mla yazmak hayati \u00f6nem ta\u015f\u0131r. Sisteminize d\u0131\u015far\u0131dan bakabilme yetene\u011fi, potansiyel riskleri \u00f6nceden g\u00f6r\u00fcp bertaraf etmenizi sa\u011flar ve bu da sizi sadece bir kod yazardan \u00e7ok daha de\u011ferli bir problem \u00e7\u00f6z\u00fcc\u00fc yapar.<\/p>\n
Peki, bu zafiyetleri nas\u0131l tespit ederiz? Genellikle bu s\u00fcre\u00e7, hem otomatik ara\u00e7lar\u0131n hem de manuel incelemelerin bir kombinasyonunu gerektirir. Otomatik taray\u0131c\u0131lar yayg\u0131n ve bilinen zafiyetleri h\u0131zl\u0131ca bulsa da, karma\u015f\u0131k mant\u0131k hatalar\u0131n\u0131 veya yetkilendirme bypass’lar\u0131n\u0131 yakalamakta yetersiz kalabilirler. \u0130\u015fte tam bu noktada, bir geli\u015ftiricinin i\u015flevsel bilgi birikimi ve yarat\u0131c\u0131 d\u00fc\u015f\u00fcnme yetene\u011fi devreye girer. Uygulaman\u0131n nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 i\u00e7ten bilen biri olarak, bir sald\u0131rgan\u0131n hangi yollar\u0131 deneyece\u011fini tahmin etmek ve o yollar\u0131 kendiniz test etmek, derinlemesine g\u00fcvenlik a\u00e7\u0131klar\u0131 bulman\u0131n en etkili yoludur. Bu proaktif yakla\u015f\u0131m, \u015firketinizi olas\u0131 felaketlerden korumakla kalmaz, ayn\u0131 zamanda size bir g\u00fcvenlik avc\u0131s\u0131 olarak da benzersiz bir itibar kazand\u0131r\u0131r.<\/p>\n
\u00c7o\u011fu zaman g\u00fcvenlik a\u00e7\u0131klar\u0131, en beklenmedik anlarda ve en s\u0131radan i\u015fleri yaparken ortaya \u00e7\u0131kar. Benim hikayem de bundan farkl\u0131 de\u011fildi. \u015eirketimiz i\u00e7in kritik bir e-ticaret uygulamas\u0131n\u0131n yeni bir mod\u00fcl\u00fcn\u00fc test ediyordum. Bu mod\u00fcl, kullan\u0131c\u0131lar\u0131n ge\u00e7mi\u015f sipari\u015flerini incelemesine ve belirli sipari\u015fler i\u00e7in fatura talep etmesine olanak tan\u0131yordu. Test s\u00fcrecinde, uygulaman\u0131n genel performans\u0131 ve i\u015flevselli\u011fi \u00fczerine odaklanm\u0131\u015ft\u0131m. Ancak bir noktada, i\u00e7imdeki merakl\u0131 geli\u015ftirici d\u00fcrt\u00fcs\u00fc beni farkl\u0131 bir y\u00f6ne \u00e7ekti. Sipari\u015f detaylar\u0131n\u0131 g\u00f6r\u00fcnt\u00fclemek i\u00e7in kullan\u0131lan URL’deki “orderId” parametresinin sadece say\u0131sal bir de\u011fer oldu\u011funu fark ettim. Genellikle, bu t\u00fcr hassas bilgilere eri\u015firken sistemler, kullan\u0131c\u0131n\u0131n ilgili sipari\u015fin sahibi olup olmad\u0131\u011f\u0131n\u0131 kontrol eden sa\u011flam yetkilendirme mekanizmalar\u0131 kullan\u0131r.<\/p>\n
Her zamanki gibi, “Acaba ne olur?” sorusu beynimde yank\u0131lanmaya ba\u015flad\u0131. Kendi sipari\u015f ID’mi girdikten sonra, URL’deki orderId de\u011ferini tahmin edilebilecek veya ard\u0131\u015f\u0131k bir ba\u015fka say\u0131 ile de\u011fi\u015ftirmeyi denedim. B\u00fcy\u00fck bir s\u00fcrprizle kar\u015f\u0131la\u015ft\u0131m: Sistem, ba\u015fka bir kullan\u0131c\u0131n\u0131n sipari\u015f detaylar\u0131n\u0131, herhangi bir yetkilendirme hatas\u0131 vermeden do\u011frudan g\u00f6r\u00fcnt\u00fclememe izin verdi! Bu, Broken Access Control (K\u0131r\u0131k Eri\u015fim Kontrol\u00fc) olarak bilinen yayg\u0131n ve kritik bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131yd\u0131. Kullan\u0131c\u0131 A’n\u0131n, sadece URL’deki bir parametreyi de\u011fi\u015ftirerek Kullan\u0131c\u0131 B’nin hassas verilerine eri\u015febilmesi anlam\u0131na geliyordu. Bu durum, sadece sipari\u015f detaylar\u0131yla s\u0131n\u0131rl\u0131 olmay\u0131p, teorik olarak kullan\u0131c\u0131n\u0131n adresi, telefon numaras\u0131 ve di\u011fer ki\u015fisel verilerine de yetkisiz eri\u015fim sa\u011flanabilece\u011fi potansiyelini ta\u015f\u0131yordu. Bu ke\u015fif, o anki test rutinimin \u00f6tesine ge\u00e7erek, \u015firket i\u00e7in b\u00fcy\u00fck bir riskin kap\u0131s\u0131n\u0131 aralad\u0131\u011f\u0131m\u0131 fark etmemi sa\u011flad\u0131. \u0130\u015fte o an, s\u0131radan bir g\u00fcn\u00fcn, ola\u011fan\u00fcst\u00fc bir g\u00fcvenlik ke\u015ffine d\u00f6n\u00fc\u015ft\u00fc\u011f\u00fc an oldu.<\/p>\n
Bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 aray\u0131\u015f\u0131na girmeden \u00f6nce, sistemin mimarisine ve i\u015f mant\u0131\u011f\u0131na dair derinlemesine bir anlay\u0131\u015f geli\u015ftirmek \u00e7ok \u00f6nemlidir. Bu, sadece “nereye bakmal\u0131” sorusunun de\u011fil, ayn\u0131 zamanda “nas\u0131l bakmal\u0131” sorusunun da cevab\u0131d\u0131r. \u00d6ncelikle, uygulaman\u0131n veri ak\u0131\u015f\u0131n\u0131, kimlik do\u011frulama (authentication) ve yetkilendirme (authorization) s\u00fcre\u00e7lerini kavramaya \u00e7al\u0131\u015ft\u0131m. Kullan\u0131c\u0131lar\u0131n hangi rollerde hangi verilere eri\u015febildi\u011fini, hangi API \u00e7a\u011fr\u0131lar\u0131n\u0131n hangi parametreleri kabul etti\u011fini ve oturum y\u00f6netiminin nas\u0131l sa\u011fland\u0131\u011f\u0131n\u0131 anlamak kritikti. Taray\u0131c\u0131m\u0131n geli\u015ftirici ara\u00e7lar\u0131 (Developer Tools) ve Postman gibi API test ara\u00e7lar\u0131 bu s\u00fcre\u00e7te en b\u00fcy\u00fck yard\u0131mc\u0131lar\u0131md\u0131. A\u011f sekmesindeki istek ve cevap ba\u015fl\u0131klar\u0131n\u0131 inceleyerek, \u00e7erezlerin (cookies) ve oturum belirte\u00e7lerinin (session tokens) nas\u0131l y\u00f6netildi\u011fini anlamaya \u00e7al\u0131\u015ft\u0131m. Ayr\u0131ca, uygulaman\u0131n genelindeki input alanlar\u0131na, formlara ve URL parametrelerine \u00f6zel dikkat g\u00f6sterdim. \u00c7\u00fcnk\u00fc bu noktalar, genellikle Injection (Enjeksiyon), Cross-Site Scripting (XSS) ve Broken Access Control gibi yayg\u0131n zafiyetlerin ilk ortaya \u00e7\u0131kt\u0131\u011f\u0131 yerlerdir.<\/p>\n
G\u00fcvenlik bak\u0131\u015f a\u00e7\u0131s\u0131 geli\u015ftirmek, bir sald\u0131rgan gibi d\u00fc\u015f\u00fcnmeyi \u00f6\u011frenmek anlam\u0131na gelir. “Bu \u00f6zelli\u011fi k\u00f6t\u00fcye kullan\u0131rsam ne olur?”, “Giri\u015f do\u011frulamay\u0131 bypass edebilir miyim?”, “Ba\u015fkas\u0131na ait bir kayna\u011fa eri\u015febilir miyim?” gibi sorular\u0131 s\u00fcrekli sormak gerekir. OWASP Top 10 listesi, bu d\u00fc\u015f\u00fcnce yap\u0131s\u0131n\u0131 \u015fekillendirmek i\u00e7in harika bir referanst\u0131r. Her maddeyi okurken, kendi projenizde benzer bir zafiyetin nerede olabilece\u011fini hayal etmeye \u00e7al\u0131\u015f\u0131n. \u00d6rne\u011fin, Broken Access Control s\u00f6z konusu oldu\u011funda, her bir kullan\u0131c\u0131 ID’sinin veya kaynak ID’sinin ger\u00e7ekten oturum a\u00e7m\u0131\u015f kullan\u0131c\u0131ya ait olup olmad\u0131\u011f\u0131n\u0131 do\u011frulayan bir kontrol olup olmad\u0131\u011f\u0131n\u0131 sorgulamal\u0131s\u0131n\u0131z. Bu zihniyetle hareket etmek, sadece fonksiyonel testler yapman\u0131n \u00f6tesine ge\u00e7menizi ve potansiyel riskleri proaktif bir \u015fekilde tespit etmenizi sa\u011flar.<\/p>\n
Zafiyetin tespiti ve kan\u0131tlanmas\u0131, avc\u0131l\u0131\u011f\u0131n en teknik ve heyecan verici k\u0131sm\u0131d\u0131r. Benim durumumda, Broken Access Control a\u00e7\u0131\u011f\u0131n\u0131 bulmak i\u00e7in basit ama etkili bir metodoloji izledim. \u0130lk olarak, sisteme normal bir kullan\u0131c\u0131 olarak giri\u015f yapt\u0131m ve kendi sipari\u015flerime eri\u015ftim. Taray\u0131c\u0131n\u0131n geli\u015ftirici ara\u00e7lar\u0131n\u0131 kullanarak, sipari\u015f detaylar\u0131n\u0131 getiren API \u00e7a\u011fr\u0131s\u0131n\u0131 ve bu \u00e7a\u011fr\u0131da kullan\u0131lan Parametreyi de\u011fi\u015ftirdi\u011fimde ve iste\u011fi g\u00f6nderdi\u011fimde, sistemin ger\u00e7ekten de bana ba\u015fka bir kullan\u0131c\u0131n\u0131n sipari\u015f bilgilerini sundu\u011funu g\u00f6rd\u00fcm. Bu durum, yetkilendirme kontrol\u00fcn\u00fcn eksik veya hatal\u0131 oldu\u011funu a\u00e7\u0131k\u00e7a g\u00f6steriyordu. Bu a\u015famada, sadece bir \u00f6rnekle kalmay\u0131p, farkl\u0131 orderId de\u011ferleri deneyerek a\u00e7\u0131\u011f\u0131n kapsam\u0131n\u0131 ve tekrarlanabilirli\u011fini test ettim. B\u00f6ylece, bunun m\u00fcnferit bir durum de\u011fil, sistemin genelindeki bir g\u00fcvenlik zafiyeti oldu\u011funu kan\u0131tlad\u0131m. Proof of Concept (PoC) olu\u015fturmak, a\u00e7\u0131\u011f\u0131n varl\u0131\u011f\u0131n\u0131 ve potansiyel etkisini g\u00f6rsel olarak veya ad\u0131m ad\u0131m bir senaryo ile g\u00f6stermektir. Benim PoC’um, iki farkl\u0131 kullan\u0131c\u0131 hesab\u0131n\u0131 kullanarak, birincinin ikincinin sipari\u015flerine nas\u0131l eri\u015febildi\u011fini g\u00f6steren ekran g\u00f6r\u00fcnt\u00fcleri ve k\u0131sa bir video kayd\u0131ndan olu\u015fuyordu. Bu kan\u0131tlar, g\u00fcvenlik ekibinin a\u00e7\u0131\u011f\u0131n ciddiyetini h\u0131zla anlamas\u0131n\u0131 sa\u011flad\u0131 ve herhangi bir \u015f\u00fcpheye yer b\u0131rakmad\u0131. Unutmay\u0131n, iyi bir PoC, raporunuzun en can al\u0131c\u0131 k\u0131sm\u0131d\u0131r ve a\u00e7\u0131\u011f\u0131n giderilmesi s\u00fcrecini h\u0131zland\u0131r\u0131r.<\/p>\n Bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulmak harika bir ba\u015far\u0131d\u0131r, ancak bu ke\u015ffi do\u011fru bir \u015fekilde raporlamak en az bulmak kadar \u00f6nemlidir. Etkili bir raporlama, hem a\u00e7\u0131\u011f\u0131n h\u0131zla giderilmesini sa\u011flar hem de sizin bu konudaki profesyonelli\u011finizi ve ciddiyetinizi ortaya koyar. Raporumu haz\u0131rlarken, bir dizi \u00f6nemli noktay\u0131 g\u00f6z \u00f6n\u00fcnde bulundurdum. \u00d6ncelikle, a\u00e7\u0131\u011f\u0131n teknik detaylar\u0131n\u0131 net ve anla\u015f\u0131l\u0131r bir dille a\u00e7\u0131klad\u0131m. “Broken Access Control” terimini kulland\u0131m ve bunun ne anlama geldi\u011fini, hangi senaryolarda ortaya \u00e7\u0131kt\u0131\u011f\u0131n\u0131 detayland\u0131rd\u0131m. Ard\u0131ndan, a\u00e7\u0131\u011f\u0131n potansiyel etkilerini ve risklerini belirttim. Veri s\u0131z\u0131nt\u0131s\u0131, m\u00fc\u015fteri g\u00fcveninin kayb\u0131, yasal yapt\u0131r\u0131mlar gibi olumsuz senaryolar\u0131 vurgulayarak, a\u00e7\u0131\u011f\u0131n sadece teknik bir hata olmad\u0131\u011f\u0131n\u0131, ayn\u0131 zamanda ciddi i\u015f riskleri ta\u015f\u0131d\u0131\u011f\u0131n\u0131 g\u00f6sterdim.<\/p>\n Raporumun en kritik k\u0131sm\u0131, elbette Proof of Concept (PoC) b\u00f6l\u00fcm\u00fcyd\u00fc. Daha \u00f6nce bahsetti\u011fim gibi, ekran g\u00f6r\u00fcnt\u00fcleri ve ad\u0131m ad\u0131m talimatlarla a\u00e7\u0131\u011f\u0131n nas\u0131l tekrarlanabilece\u011fini g\u00f6sterdim. Bu, g\u00fcvenlik ekibinin sorunu kendi ortamlar\u0131nda kolayca reproduce etmesini sa\u011flad\u0131. Ayr\u0131ca, sadece sorunu belirtmekle kalmay\u0131p, olas\u0131 \u00e7\u00f6z\u00fcm \u00f6nerilerini de ekledim. \u00d6rne\u011fin, her sipari\u015f iste\u011finde kullan\u0131c\u0131n\u0131n oturum kimli\u011fi ile istenen sipari\u015fin sahibi kimli\u011finin kar\u015f\u0131la\u015ft\u0131r\u0131lmas\u0131 gibi somut bir yetkilendirme kontrol mekanizmas\u0131n\u0131n eklenmesini \u00f6nerdim. Bu proaktif yakla\u015f\u0131m, sadece bir sorun bildiricisi de\u011fil, ayn\u0131 zamanda bir \u00e7\u00f6z\u00fcm orta\u011f\u0131 oldu\u011fumu g\u00f6sterdi. Raporumu, do\u011frudan g\u00fcvenlik liderimize ve proje y\u00f6neticime ilettim. \u0130lk etapta baz\u0131 sorular ve detayland\u0131rma talepleri oldu, ancak haz\u0131rl\u0131kl\u0131 oldu\u011fum i\u00e7in bu sorular\u0131 kolayca yan\u0131tlayabildim. Unutmay\u0131n, bu s\u00fcre\u00e7te d\u00fcr\u00fcst, \u015feffaf ve \u00e7\u00f6z\u00fcm odakl\u0131 olmak, ekiple aran\u0131zda g\u00fcven in\u015fa etmenin temelidir.<\/p>\n G\u00fcvenlik a\u00e7\u0131\u011f\u0131 raporumu sunduktan ve ekibin a\u00e7\u0131\u011f\u0131 do\u011frulamas\u0131ndan sonra s\u00fcre\u00e7 h\u0131zla ilerledi. Geli\u015ftirme ekibi, \u00f6nerdi\u011fim \u00e7\u00f6z\u00fcmleri de dikkate alarak a\u00e7\u0131\u011f\u0131 h\u0131zla giderdi. Bu s\u00fcre\u00e7te, ben de onlara teknik destek verdim ve \u00e7\u00f6z\u00fcm\u00fcn do\u011fru uyguland\u0131\u011f\u0131ndan emin olmak i\u00e7in testlere kat\u0131ld\u0131m. A\u00e7\u0131k kapat\u0131ld\u0131ktan sonra, g\u00fcvenlik liderimiz ve \u0130nsan Kaynaklar\u0131 departman\u0131 benimle ileti\u015fime ge\u00e7ti. \u015eirketimizde resmi bir “bug bounty” program\u0131 olmamas\u0131na ra\u011fmen, bu kritik a\u00e7\u0131\u011f\u0131n tespiti ve proaktif raporlamam, \u015firket i\u00e7in potansiyel b\u00fcy\u00fck bir zarar\u0131 \u00f6nledi\u011fi gerek\u00e7esiyle bana \u00f6zel bir “ba\u015far\u0131 bonusu” verilece\u011fini bildirdiler. Bu, sadece finansal bir \u00f6d\u00fcl de\u011fil, ayn\u0131 zamanda \u015firketimin g\u00fcvenlik k\u00fclt\u00fcr\u00fcne verdi\u011fim de\u011ferin ve \u00e7abam\u0131n takdir edildi\u011finin somut bir g\u00f6stergesiydi.<\/p>\n Bonus elbette ho\u015f bir jestti, ancak bu deneyimin kariyerime olan etkileri \u00e7ok daha de\u011ferliydi. Birincisi, \u015firket i\u00e7inde siber g\u00fcvenlik konusundaki bilgi birikimim ve uzmanl\u0131\u011f\u0131m tan\u0131nd\u0131. Bu olaydan sonra, di\u011fer projelerde de g\u00fcvenlik dan\u0131\u015fmanl\u0131\u011f\u0131 rol\u00fc \u00fcstlenmeye ba\u015flad\u0131m. Ekip i\u00e7inde ve y\u00f6netim nezdinde “g\u00fcvenlik konusunda ba\u015fvurulacak ki\u015fi” olarak konumland\u0131m. \u0130kincisi, bu s\u00fcre\u00e7 beni siber g\u00fcvenlik alan\u0131nda daha derinlemesine bilgi edinmeye te\u015fvik etti. Farkl\u0131 zafiyet t\u00fcrlerini, s\u0131zma testi metodolojilerini ve g\u00fcvenlik ara\u00e7lar\u0131n\u0131 ara\u015ft\u0131rmaya ba\u015flad\u0131m. Kendi kendime \u00f6\u011frenme yolculu\u011fumda \u00f6nemli bir d\u00f6n\u00fcm noktas\u0131 oldu. \u00dc\u00e7\u00fcnc\u00fcs\u00fc, bu deneyim bana problem \u00e7\u00f6zme ve analitik d\u00fc\u015f\u00fcnme yeteneklerimi geli\u015ftirme f\u0131rsat\u0131 sundu. Bir sald\u0131rgan\u0131n zihniyetini anlamak, daha sa\u011flam ve g\u00fcvenli kod yazmam\u0131 sa\u011flad\u0131. K\u0131sacas\u0131, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulmak ve raporlamak, sadece bir bonus kazanmam\u0131 sa\u011flamakla kalmad\u0131, ayn\u0131 zamanda kariyerimde yeni bir kap\u0131 aralad\u0131 ve beni daha donan\u0131ml\u0131 bir yaz\u0131l\u0131mc\u0131 yapt\u0131.<\/p>\n Siber g\u00fcvenlik, s\u00fcrekli de\u011fi\u015fen ve geli\u015fen bir aland\u0131r. Bug\u00fcn ge\u00e7erli olan bir sald\u0131r\u0131 vekt\u00f6r\u00fc veya savunma mekanizmas\u0131, yar\u0131n eskimi\u015f olabilir. Bu nedenle, bir g\u00fcvenlik bilinci geli\u015ftirmek ve bu alandaki bilgileri s\u00fcrekli g\u00fcncel tutmak hayati \u00f6nem ta\u015f\u0131r. Peki, bu yolculu\u011fa nereden ba\u015flamal\u0131 ve nas\u0131l devam etmeli? \u00d6ncelikli olarak, OWASP Top 10<\/strong> listesi gibi kaynaklar\u0131 d\u00fczenli olarak incelemek, en yayg\u0131n ve kritik web uygulamas\u0131 zafiyetleri hakk\u0131nda bilgi edinmek i\u00e7in harika bir ba\u015flang\u0131\u00e7 noktas\u0131d\u0131r. Her bir maddeyi derinlemesine anlamaya \u00e7al\u0131\u015f\u0131n ve kendi projelerinizde benzer zay\u0131fl\u0131klar\u0131n olup olmad\u0131\u011f\u0131n\u0131 sorgulay\u0131n. Ayr\u0131ca, PortSwigger’\u0131n Web Security Academy<\/strong> gibi \u00fccretsiz online e\u011fitim platformlar\u0131, pratik laboratuvarlarla ger\u00e7ek d\u00fcnya senaryolar\u0131 \u00fczerinde deneyim kazanman\u0131z\u0131 sa\u011flar.<\/p>\n S\u00fcrekli geli\u015fim i\u00e7in bir di\u011fer \u00f6nemli ad\u0131m, g\u00fcvenlik odakl\u0131 topluluklara kat\u0131lmakt\u0131r. Twitter’daki siber g\u00fcvenlik uzmanlar\u0131n\u0131 takip etmek, LinkedIn gruplar\u0131nda tart\u0131\u015fmalara kat\u0131lmak veya yerel siber g\u00fcvenlik bulu\u015fmalar\u0131na (meetup) kat\u0131lmak, en son tehditler, ara\u00e7lar ve teknikler hakk\u0131nda bilgi edinmenize yard\u0131mc\u0131 olur. Ayr\u0131ca, Capture The Flag (CTF)<\/strong> yar\u0131\u015fmalar\u0131na kat\u0131lmak veya Hack The Box<\/strong>, TryHackMe<\/strong> gibi platformlardaki sanal laboratuvarlarda pratik yapmak, teorik bilginizi ger\u00e7ek becerilere d\u00f6n\u00fc\u015ft\u00fcrmenin en e\u011flenceli yollar\u0131ndand\u0131r. Unutmay\u0131n, bir yaz\u0131l\u0131mc\u0131 olarak sadece kod yazmak de\u011fil, ayn\u0131 zamanda yazd\u0131\u011f\u0131n\u0131z kodun ne kadar g\u00fcvenli oldu\u011funu bilmek de sizin sorumlulu\u011funuzdad\u0131r. Bu s\u00fcrekli \u00f6\u011frenme ve sorgulama d\u00f6ng\u00fcs\u00fc, sizi sadece daha iyi bir yaz\u0131l\u0131mc\u0131 yapmakla kalmaz, ayn\u0131 zamanda teknolojinin bu h\u0131zla de\u011fi\u015fen d\u00fcnyas\u0131nda paha bi\u00e7ilmez bir uzmanl\u0131k alan\u0131na sahip olman\u0131z\u0131 sa\u011flar. G\u00fcvenlik, bir \u00f6zellik de\u011fil, bir zihniyettir ve bu zihniyeti geli\u015ftirmek her zaman de\u011ferlidir.<\/p>\n Bu makalede payla\u015ft\u0131\u011f\u0131m deneyimimle g\u00f6rd\u00fc\u011f\u00fcn\u00fcz gibi, bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulmak ve bunu \u015firketinize raporlamak, sadece siber g\u00fcvenlik alan\u0131nda uzmanla\u015fm\u0131\u015f ki\u015filerin tekelinde de\u011fildir. Herhangi bir yaz\u0131l\u0131mc\u0131, teknik merakl\u0131 veya freelance \u00e7al\u0131\u015fan, do\u011fru bak\u0131\u015f a\u00e7\u0131s\u0131, biraz sab\u0131r ve ara\u015ft\u0131rmac\u0131 bir ruhla bu alanda de\u011ferli katk\u0131lar sa\u011flayabilir. Bu s\u00fcre\u00e7, sadece \u015firketleri potansiyel zararlardan korumakla kalmaz, ayn\u0131 zamanda ki\u015fisel ve mesleki geli\u015fiminiz i\u00e7in de e\u015fsiz bir f\u0131rsat sunar. Kariyerinizde yeni kap\u0131lar a\u00e7ar, problem \u00e7\u00f6zme yeteneklerinizi keskinle\u015ftirir ve sizi sekt\u00f6rde daha de\u011ferli bir profesyonel haline getirir. \u00d6nemli olan, “Acaba bu nas\u0131l \u00e7al\u0131\u015f\u0131r?” veya “Burada bir a\u00e7\u0131k olabilir mi?” gibi sorular\u0131 sormaktan \u00e7ekinmemek ve buldu\u011funuz zafiyetleri etik kurallar \u00e7er\u00e7evesinde, profesyonel bir \u015fekilde raporlamakt\u0131r.<\/p>\n Unutmay\u0131n, her sat\u0131r kod, bir g\u00fcvenlik riski ta\u015f\u0131yabilir. Bu riskleri azaltmak ve sistemlerimizi daha g\u00fcvenli hale getirmek hepimizin sorumlulu\u011fundad\u0131r. Bu sorumlulu\u011fu \u00fcstlenmek, teknolojinin gelece\u011fini \u015fekillendirme ve daha g\u00fcvenli bir dijital d\u00fcnya in\u015fa etme \u00e7abas\u0131na katk\u0131da bulunmakt\u0131r. \u0130ster bir stajyer olun, ister k\u0131demli bir tak\u0131m lideri, g\u00fcvenlik a\u00e7\u0131\u011f\u0131 avc\u0131l\u0131\u011f\u0131 sizin i\u00e7in de hem ki\u015fisel tatmin hem de mesleki ba\u015far\u0131 a\u00e7\u0131s\u0131ndan harika bir yol olabilir. Bu nedenle, klavyenizin ba\u015f\u0131na ge\u00e7in, sistemlerinizi sorgulay\u0131n ve belki de bir sonraki “bonusluk” a\u00e7\u0131\u011f\u0131 siz ke\u015ffedersiniz. Son olarak, mobil uyumluluk gibi g\u00fcncel konulara da de\u011finmek gerekirse, g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131n mobil uygulamalarda da yayg\u0131n oldu\u011funu unutmay\u0131n. Mobil uygulamalarda da API isteklerini incelemek, yetkilendirme kontrollerini test etmek benzer sonu\u00e7lar verebilir. Ek olarak, web uygulamalar\u0131n\u0131n mobil cihazlarda d\u00fczg\u00fcn g\u00f6r\u00fcnt\u00fclenmesi i\u00e7in CSS media query’lerinin kullan\u0131m\u0131 ( G\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulma ve raporlama s\u00fcreci hakk\u0131nda akl\u0131n\u0131zda kalan baz\u0131 sorular olabilir. \u0130\u015fte en yayg\u0131n olanlar\u0131:<\/p>\n Hay\u0131r, kesinlikle de\u011fil. Benim hikayem de g\u00f6steriyor ki, yaz\u0131l\u0131m geli\u015ftirme bilgisi ve merakl\u0131 bir bak\u0131\u015f a\u00e7\u0131s\u0131yla herkes g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulabilir. \u00d6nemli olan, temel g\u00fcvenlik prensiplerini anlamak, sistemin i\u015fleyi\u015fine h\u00e2kim olmak ve bir sald\u0131rgan gibi d\u00fc\u015f\u00fcnebilmektir. Uzmanl\u0131k, derinlemesine analiz i\u00e7in faydal\u0131d\u0131r ancak ba\u015flang\u0131\u00e7 i\u00e7in \u015fart de\u011fildir.<\/p>\n<\/li>\n Hay\u0131r, aksine bildirmeniz gerekir! \u00c7o\u011fu \u015firket, \u00e7al\u0131\u015fanlar\u0131n\u0131n g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 bulup raporlamas\u0131n\u0131 takdir eder. Bu, potansiyel b\u00fcy\u00fck zararlar\u0131 \u00f6nler ve \u015firketin g\u00fcvenlik duru\u015funu g\u00fc\u00e7lendirir. A\u00e7\u0131\u011f\u0131 gizlemek veya k\u00f6t\u00fcye kullanmak yasal ve etik sorunlara yol a\u00e7abilir. Daima \u015feffaf ve sorumlu davran\u0131n.<\/p>\n<\/li>\n Ba\u015flang\u0131\u00e7 i\u00e7in taray\u0131c\u0131n\u0131z\u0131n geli\u015ftirici ara\u00e7lar\u0131 (Chrome DevTools, Firefox Developer Tools) yeterlidir. API testleri i\u00e7in Postman veya Insomnia gibi ara\u00e7lar kullanabilirsiniz. Daha ileri seviye manuel testler i\u00e7in Burp Suite Community Edition gibi web proxy ara\u00e7lar\u0131 \u00e7ok i\u015finize yarayacakt\u0131r. Otomatik taray\u0131c\u0131lar (\u00f6rne\u011fin OWASP ZAP) da genel zafiyet taramalar\u0131 i\u00e7in faydal\u0131 olabilir.<\/p>\n<\/li>\n Bu, \u015firketin politikas\u0131na, a\u00e7\u0131\u011f\u0131n ciddiyetine ve potansiyel etkisine ba\u011fl\u0131 olarak de\u011fi\u015fir. Baz\u0131 \u015firketlerin resmi “bug bounty” programlar\u0131 varken, baz\u0131lar\u0131nda benim \u00f6rne\u011fimdeki gibi takdir ama\u00e7l\u0131 \u00f6zel bonuslar verilebilir. \u00d6d\u00fcl beklentisinden ziyade, g\u00fcvenlik bilincine katk\u0131da bulunma ve \u015firketi koruma motivasyonuyla hareket etmek daha sa\u011fl\u0131kl\u0131d\u0131r.<\/p>\n<\/li>\n G\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 \u00f6nlemek i\u00e7in kodunuzu yazarken g\u00fcvenlik en iyi uygulamalar\u0131n\u0131 takip edin. Input validasyonunu asla atlamay\u0131n, yetkilendirme kontrollerini her zaman uygulay\u0131n, g\u00fcvenli \u015fifreleme algoritmalar\u0131 kullan\u0131n, g\u00fcncel k\u00fct\u00fcphaneler ve framework’ler kullan\u0131n ve d\u00fczenli g\u00fcvenlik denetimleri yap\u0131n. “Default-deny” (varsay\u0131lan olarak eri\u015fimi engelleme) prensibini benimsemek ve en az ayr\u0131cal\u0131k ilkesiyle hareket etmek de \u00f6nemlidir.<\/p>\n<\/li>\n<\/ol>\n <\/body><\/p>\n","protected":false},"excerpt":{"rendered":"Bir yaz\u0131l\u0131mc\u0131 olarak kod yazmak, yeni \u00f6zellikler geli\u015ftirmek ve projeleri hayata ge\u00e7irmek ku\u015fkusuz heyecan verici. Ancak ya bu…","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"csco_page_header_type":"","csco_page_load_nextpost":"","csco_page_subscribe_form":"","csco_page_contact_form":"","footnotes":""},"categories":[1513,1],"tags":[],"class_list":{"0":"post-34039","1":"post","2":"type-post","3":"status-publish","4":"format-standard","6":"category-dusunsel-ve-kisisel","7":"category-genel","8":"cs-entry","9":"cs-video-wrap"},"yoast_head":"\norderId<\/code> parametresini izledim. Ard\u0131ndan, bu orderId<\/code> de\u011ferini, tamamen rastgele veya sistemdeki ba\u015fka bir kullan\u0131c\u0131ya ait olabilece\u011fini d\u00fc\u015f\u00fcnd\u00fc\u011f\u00fcm ard\u0131\u015f\u0131k ba\u015fka bir say\u0131 ile de\u011fi\u015ftirdim. \u0130stekleri manuel olarak d\u00fczenlemek i\u00e7in genellikle Burp Suite gibi proxy ara\u00e7lar\u0131 kullan\u0131l\u0131r, ancak bazen taray\u0131c\u0131n\u0131n adres \u00e7ubu\u011fu veya geli\u015ftirici ara\u00e7lar\u0131ndaki a\u011f sekmesi de yeterli olabilir. Benzer bir \u00f6rnek, bir sosyal medya uygulamas\u0131ndaki profil ID’sini de\u011fi\u015ftirerek ba\u015fka bir kullan\u0131c\u0131n\u0131n profilini gizli bilgilerle g\u00f6r\u00fcnt\u00fcleyebilme durumudur. Yani example.com\/profile?id=123<\/code> yerine example.com\/profile?id=456<\/code> yazmak gibi.<\/p>\n\u015eirkete Raporlama S\u00fcreci: Etkili \u0130leti\u015fim ve G\u00fcven Olu\u015fturman\u0131n Anahtarlar\u0131<\/h2>\n
G\u00fcvenlik Katk\u0131m\u0131n Kar\u015f\u0131l\u0131\u011f\u0131: Bonus ve Kariyerime Etkileri<\/h2>\n
Siber G\u00fcvenlikte S\u00fcrekli Geli\u015fim: Nereden Ba\u015flamal\u0131 ve Nas\u0131l Devam Etmeli?<\/h2>\n
Sonu\u00e7: G\u00fcvenlik A\u00e7\u0131\u011f\u0131 Avc\u0131l\u0131\u011f\u0131 Herkes \u0130\u00e7in Bir F\u0131rsat M\u0131?<\/h2>\n
@media (max-width: 768px) { .header { flex-direction: column; } }<\/code> gibi) sadece kullan\u0131c\u0131 deneyimi i\u00e7in de\u011fil, tutarl\u0131 g\u00fcvenlik kontrollerinin farkl\u0131 ekran boyutlar\u0131nda da do\u011fru \u00e7al\u0131\u015fmas\u0131 i\u00e7in \u00f6nemlidir, aksi takdirde Responsive Design hatalar\u0131 yeni g\u00fcvenlik zafiyetlerine yol a\u00e7abilir.<\/p>\nS\u0131k\u00e7a Sorulan Sorular (SSS)<\/h3>\n
\n
Bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131 bulmak i\u00e7in siber g\u00fcvenlik uzman\u0131 olmam \u015fart m\u0131?<\/h4>\n
\u015eirketime a\u00e7\u0131\u011f\u0131 bildirmekten \u00e7ekinmeli miyim?<\/h4>\n
Hangi ara\u00e7lar\u0131 kullanmal\u0131y\u0131m?<\/h4>\n
A\u00e7\u0131k buldu\u011fumda ne kadar bonus beklemeliyim?<\/h4>\n
Kendi projelerimde g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 nas\u0131l \u00f6nleyebilirim?<\/h4>\n