{"id":43423,"date":"2026-07-18T09:00:43","date_gmt":"2026-07-18T06:00:43","guid":{"rendered":"https:\/\/fatihsoysal.com\/blog\/saldirgan-gozuyle-guvenlik-yazilimci-kilavuzu\/"},"modified":"2026-07-18T09:01:14","modified_gmt":"2026-07-18T06:01:14","slug":"saldirgan-gozuyle-guvenlik-yazilimci-kilavuzu","status":"publish","type":"post","link":"https:\/\/fatihsoysal.com\/blog\/saldirgan-gozuyle-guvenlik-yazilimci-kilavuzu\/","title":{"rendered":"Sald\u0131rgan G\u00f6z\u00fcyle G\u00fcvenlik: Yaz\u0131l\u0131mc\u0131 K\u0131lavuzu"},"content":{"rendered":"

Sald\u0131rgan G\u00f6z\u00fcyle G\u00fcvenlik: Yaz\u0131l\u0131mc\u0131 K\u0131lavuzu<\/h2>\n

G\u00fcvenli kod yazmak i\u00e7in bir hacker gibi d\u00fc\u015f\u00fcnmek gerekir. Bu rehberde, sald\u0131rganlar\u0131n zafiyetleri nas\u0131l buldu\u011funu ve sistemleri nas\u0131l manip\u00fcle etti\u011fini ke\u015ffedin. Yaz\u0131l\u0131m geli\u015ftiriciler olarak g\u00fcn\u00fcm\u00fcz\u00fcn b\u00fcy\u00fck bir k\u0131sm\u0131n\u0131 yeni \u00f6zellikler (feature) in\u015fa etmek, hatalar\u0131 (bug) ay\u0131klamak ve performans\u0131 optimize etmekle ge\u00e7iriyoruz. Ancak, yazd\u0131\u011f\u0131m\u0131z kodlar\u0131n g\u00fcvenli\u011fini sa\u011flama noktas\u0131na geldi\u011fimizde genellikle savunmac\u0131 bir yakla\u015f\u0131m sergiliyoruz. Peki, in\u015fa etti\u011fimiz bu dijital kaleleri y\u0131kmak isteyenler nas\u0131l d\u00fc\u015f\u00fcn\u00fcyor? Bu sorunun cevab\u0131, g\u00fcvenli yaz\u0131l\u0131m geli\u015ftirme ya\u015fam d\u00f6ng\u00fcs\u00fcn\u00fcn en kritik anahtar\u0131d\u0131r.<\/p>\n

Sald\u0131rganlar, bir uygulaman\u0131n tasarland\u0131\u011f\u0131 gibi \u00e7al\u0131\u015f\u0131p \u00e7al\u0131\u015fmad\u0131\u011f\u0131yla ilgilenmezler; aksine, uygulaman\u0131n tasarlanmad\u0131\u011f\u0131 \u015fekillerde nas\u0131l \u00e7al\u0131\u015ft\u0131r\u0131labilece\u011fini ararlar. Bir yaz\u0131l\u0131mc\u0131 olarak bu bak\u0131\u015f a\u00e7\u0131s\u0131n\u0131 kazanmak, zafiyetleri hen\u00fcz kodlama a\u015famas\u0131ndayken engellemenizi sa\u011flar. \u00c7\u00fcnk\u00fc g\u00fcvenli\u011fi sonradan eklenen bir yama de\u011fil, yaz\u0131l\u0131m\u0131n temel bir bile\u015feni olarak ele almak zorunday\u0131z. Bu makalede, sald\u0131rganlar\u0131n zihniyetini analiz edecek ve kodunuza onlar\u0131n g\u00f6z\u00fcnden bakmay\u0131 \u00f6\u011freneceksiniz.<\/p>\n

Sald\u0131rganlar\u0131n Zihniyeti ve Ke\u015fif A\u015famas\u0131 Nas\u0131l \u00c7al\u0131\u015f\u0131r?<\/h2>\n

Bir sald\u0131rgan\u0131n ilk ad\u0131m\u0131 asla do\u011frudan sisteme sald\u0131rmak de\u011fildir. \u0130lk olarak, hedef sistem hakk\u0131nda olabildi\u011fince \u00e7ok bilgi toplamaya \u00e7al\u0131\u015f\u0131rlar. Bu a\u015famaya siber g\u00fcvenlik literat\u00fcr\u00fcnde Ke\u015fif (Reconnaissance) ad\u0131 verilir. Sald\u0131rganlar, uygulaman\u0131z\u0131n d\u0131\u015f d\u00fcnyaya a\u00e7\u0131k olan t\u00fcm kap\u0131lar\u0131n\u0131, yani sald\u0131r\u0131 y\u00fczeyini (attack surface) haritaland\u0131r\u0131r. Bu s\u00fcre\u00e7te hem pasif hem de aktif y\u00f6ntemler kullan\u0131rlar.<\/p>\n

Pasif ke\u015fif s\u0131ras\u0131nda sald\u0131rganlar do\u011frudan hedef sistemle etkile\u015fime girmezler. \u00d6rne\u011fin, GitHub gibi a\u00e7\u0131k kaynak kod depolar\u0131nda unutulmu\u015f API anahtarlar\u0131n\u0131, e-posta adreslerini veya eski kod bloklar\u0131n\u0131 ararlar. Aktif ke\u015fif a\u015famas\u0131nda ise hedef sisteme istekler g\u00f6ndererek a\u00e7\u0131k portlar\u0131, kullan\u0131lan web sunucusunun versiyonunu ve \u00e7al\u0131\u015fan Framework (yaz\u0131l\u0131m \u00e7er\u00e7evesi) bilgilerini tespit etmeye \u00e7al\u0131\u015f\u0131rlar. Bu bilgiler, sald\u0131rgan\u0131n hangi Exploit (s\u00f6m\u00fcrme kodu) tekni\u011fini kullanaca\u011f\u0131n\u0131 belirlemesine yard\u0131mc\u0131 olur.<\/p>\n

A\u015fa\u011f\u0131daki tabloda, bir geli\u015ftiricinin varsay\u0131m\u0131 ile bir sald\u0131rgan\u0131n bu varsay\u0131m\u0131 nas\u0131l manip\u00fcle etti\u011fi aras\u0131ndaki farklar\u0131 g\u00f6rebilirsiniz:<\/p>\n\n\n\n\n\n\n\n
Geli\u015ftiricinin Varsay\u0131m\u0131<\/th>\nSald\u0131rgan\u0131n Yakla\u015f\u0131m\u0131<\/th>\n<\/tr>\n<\/thead>\n
“Kullan\u0131c\u0131lar form alan\u0131na sadece ge\u00e7erli e-posta adresleri yazacakt\u0131r.”<\/td>\n“Bu alana SQL komutlar\u0131 veya zararl\u0131 JavaScript kodlar\u0131 yazarsam ne olur?”<\/td>\n<\/tr>\n
“API u\u00e7 noktalar\u0131m\u0131z gizli oldu\u011fu i\u00e7in kimse ke\u015ffedemez.”<\/td>\n“JavaScript dosyalar\u0131n\u0131 inceleyerek t\u00fcm gizli API yollar\u0131n\u0131 listeleyebilirim.”<\/td>\n<\/tr>\n
“Kullan\u0131c\u0131 aray\u00fcz\u00fcnde (UI) butonlar\u0131 gizlersem yetkisiz eri\u015fimi engellerim.”<\/td>\n“\u0130stekleri do\u011frudan HTTP seviyesinde manip\u00fcle ederek yetkisiz i\u015flem yapabilirim.”<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n

Bu nedenle, sald\u0131rganlar\u0131n ilk hedefinin sisteminizin mimarisini anlamak oldu\u011funu asla unutmamal\u0131s\u0131n\u0131z. Onlar i\u00e7in her hata mesaj\u0131, her HTTP ba\u015fl\u0131\u011f\u0131 ve her parametre potansiyel bir ipucudur.<\/p>\n

Ger\u00e7ek D\u00fcnya Senaryosu: Basit Bir SQL Enjeksiyonu Nas\u0131l Felakete D\u00f6n\u00fc\u015ft\u00fc?<\/h2>\n

Gelin, T\u00fcrkiye pazar\u0131nda faaliyet g\u00f6steren yerel bir e-ticaret platformunun ya\u015fad\u0131\u011f\u0131 ger\u00e7ek bir siber sald\u0131r\u0131 senaryosunu inceleyelim. Bu platform, kullan\u0131c\u0131lar\u0131n \u00fcr\u00fcn aramas\u0131 yapabilmesi i\u00e7in basit bir arama \u00e7ubu\u011fu sunuyordu. Geli\u015ftiriciler, kullan\u0131c\u0131lar\u0131n sadece \u00fcr\u00fcn isimleri yazaca\u011f\u0131n\u0131 varsayarak girdi kontrol\u00fc yapmam\u0131\u015ft\u0131. Ancak bir sald\u0131rgan, bu arama kutusunun arkas\u0131ndaki veritaban\u0131 sorgusunu tahmin etmeye \u00e7al\u0131\u015ft\u0131.<\/p>\n

Sald\u0131rgan, arama kutusuna normal bir kelime yerine SQL ifadeleri girmeyi denedi. \u0130lk olarak, veritaban\u0131n\u0131n hata verip vermedi\u011fini kontrol etmek i\u00e7in tek t\u0131rnak ('<\/code>) karakterini kulland\u0131. Veritaban\u0131ndan d\u00f6nen detayl\u0131 hata mesaj\u0131, sald\u0131rgana arkada \u00e7al\u0131\u015fan veritaban\u0131 y\u00f6netim sisteminin (DBMS) PostgreSQL oldu\u011funu g\u00f6sterdi. Bu bilgi, sald\u0131rgan\u0131n sonraki ad\u0131mlar\u0131n\u0131 planlamas\u0131 i\u00e7in yeterliydi.<\/p>\n

Daha sonra, sald\u0131rgan arama parametresini \u015fu \u015fekilde manip\u00fcle etti: UNION SELECT<\/code> sorgular\u0131 kullanarak veritaban\u0131ndaki kullan\u0131c\u0131 tablolar\u0131n\u0131 hedef ald\u0131. Sonu\u00e7 olarak, \u015firketin t\u00fcm m\u00fc\u015fteri veritaban\u0131, \u015fifrelenmi\u015f parolalar ve e-posta adresleri sald\u0131rgan\u0131n eline ge\u00e7ti. Bu olay, \u015firketin ciddi bir prestij kayb\u0131 ya\u015famas\u0131na ve KVKK (Ki\u015fisel Verileri Koruma Kanunu) kapsam\u0131nda b\u00fcy\u00fck cezalar almas\u0131na neden oldu. Oysa bu felaketi \u00f6nlemek, sadece parametreli sorgular (parameterized queries) kullanmaktan ibaretti.<\/p>\n

Girdi Do\u011frulama Hatalar\u0131 Nas\u0131l S\u00f6m\u00fcr\u00fcl\u00fcr?<\/h2>\n

Sald\u0131rganlar\u0131n en s\u0131k kulland\u0131\u011f\u0131 y\u00f6ntemlerden biri, uygulamaya g\u00f6nderilen verileri manip\u00fcle etmektir. E\u011fer uygulaman\u0131z kullan\u0131c\u0131dan gelen her veriye g\u00fcveniyorsa, s\u00f6m\u00fcr\u00fclmeye a\u00e7\u0131k demektir. Bu duruma girdi do\u011frulama (input validation) hatalar\u0131 denir. \u00d6zellikle SQL Injection (SQL Enjeksiyonu) ve XSS (Cross-Site Scripting – Siteler Aras\u0131 Betik \u00c7al\u0131\u015ft\u0131rma) bu kategoride yer al\u0131r.<\/p>\n

\u00d6rne\u011fin, g\u00fcvensiz bir Node.js ve Express kodunu ele alal\u0131m. Bu kodda kullan\u0131c\u0131dan al\u0131nan veri do\u011frudan SQL sorgusuna eklenmektedir:<\/p>\n

\n
\/\/ G\u00dcVENS\u0130Z KOD \u00d6RNE\u011e\u0130\napp.get('\/api\/users', (req, res) => {\n    const userId = req.query.id;\n    const query = SELECT * FROM users WHERE id = ${userId}<\/code>;\n    \n    db.query(query, (err, result) => {\n        if (err) throw err;\n        res.send(result);\n    });\n});<\/code><\/pre>\n<\/div>\n
Bu kodda, kullan\u0131c\u0131dan al\u0131nan userId<\/code> parametresi do\u011frudan SQL sorgusuna eklenmektedir. Sald\u0131rgan, id<\/code> de\u011ferini 1 OR 1=1<\/code> olarak g\u00f6nderdi\u011finde, sorgu her zaman do\u011fru (true) d\u00f6necek ve t\u00fcm kullan\u0131c\u0131 verileri listelenecektir. Bu durumu engellemek i\u00e7in her zaman parametreli sorgular kullanmal\u0131s\u0131n\u0131z.<\/p>\n
\u015eimdi bu zafiyeti nas\u0131l g\u00fcvenli hale getirece\u011fimize bakal\u0131m:<\/p>\n
\n
\/\/ G\u00dcVENL\u0130 KOD \u00d6RNE\u011e\u0130\napp.get('\/api\/users', (req, res) => {\n    const userId = req.query.id;\n    const query = 'SELECT * FROM users WHERE id = ?';\n    \n    db.query(query, [userId], (err, result) => {\n        if (err) throw err;\n        res.send(result);\n    });\n});<\/code><\/pre>\n<\/div>\n
G\u00f6rd\u00fc\u011f\u00fcn\u00fcz gibi, parametreli sorgu kullanarak kullan\u0131c\u0131n\u0131n girdisini do\u011frudan SQL komutu olarak \u00e7al\u0131\u015ft\u0131rmak yerine sadece bir veri (data) olarak ele ald\u0131k. Sald\u0131rganlar bu t\u00fcr engellerle kar\u015f\u0131la\u015ft\u0131klar\u0131nda genellikle daha kolay hedeflere y\u00f6nelirler. Bu nedenle, girdi do\u011frulamay\u0131 hem istemci (client) hem de sunucu (server) taraf\u0131nda \u00e7ift katmanl\u0131 olarak uygulamal\u0131s\u0131n\u0131z.<\/p>\n
Mant\u0131ksal Hatalar ve Yetkilendirme Zafiyetleri Nas\u0131l Tespit Edilir?<\/h2>\n
Otomatik zafiyet taray\u0131c\u0131lar kod yap\u0131s\u0131 hatalar\u0131n\u0131 bulabilir, ancak i\u015f mant\u0131\u011f\u0131 (business logic) hatalar\u0131n\u0131 tespit edemezler. Sald\u0131rganlar tam da bu noktada devreye girer. Onlar, uygulaman\u0131n ak\u0131\u015f \u015femas\u0131ndaki mant\u0131ksal bo\u015fluklar\u0131 ararlar. Bu t\u00fcr zafiyetlerin en pop\u00fcler olan\u0131 IDOR (Insecure Direct Object Reference – G\u00fcvensiz Do\u011frudan Nesne Referans\u0131) olarak bilinir.<\/p>\n
Bir kullan\u0131c\u0131n\u0131n kendi profil bilgilerini d\u00fczenledi\u011fi veya g\u00f6r\u00fcnt\u00fcledi\u011fi bir API u\u00e7 noktas\u0131n\u0131 (endpoint) d\u00fc\u015f\u00fcnelim. \u0130stek \u015fu \u015fekilde g\u00f6r\u00fcnebilir:<\/p>\n
\n
GET \/api\/users\/profile?id=4502<\/code><\/pre>\n<\/div>\n
Bir sald\u0131rgan, bu iste\u011fi yakalayarak id<\/code> de\u011ferini 4503<\/code> olarak de\u011fi\u015ftirir. E\u011fer sunucu taraf\u0131nda iste\u011fi yapan kullan\u0131c\u0131n\u0131n oturum bilgisi (session) ile talep edilen id<\/code> de\u011ferinin e\u015fle\u015fip e\u015fle\u015fmedi\u011fi kontrol edilmiyorsa, sald\u0131rgan ba\u015fka bir kullan\u0131c\u0131n\u0131n hassas verilerine eri\u015fmi\u015f olur. Bu durum, tamamen mant\u0131ksal bir yetkilendirme hatas\u0131d\u0131r.<\/p>\n
Sald\u0131rganlar bu t\u00fcr a\u00e7\u0131klar\u0131 bulmak i\u00e7in taray\u0131c\u0131 geli\u015ftirici ara\u00e7lar\u0131n\u0131 (developer tools) ve proxy (vekil sunucu) ara\u00e7lar\u0131n\u0131 s\u0131kl\u0131kla kullan\u0131rlar. Bu t\u00fcr mant\u0131ksal hatalar\u0131 \u00f6nlemek i\u00e7in \u015fu kurallara dikkat etmelisiniz:<\/p>\n