| Directory Browse Açıklığı (CWE-548) | |||||
| Bu makalede "Directory Browse (CWE-548)", yani Dizin Görüntüleme açıklığı anlatılacaktır.
Açıklık Önem Derecesi: Düşük Açıklığın Etkisi: Hassas Dosyaların İfşası Açıklığın Açıklaması: Bir web uygulama dizin listelemeye izin verdiğinde bu durum kullanıcılara uygulama içerisindeki listelenen klasörleri ve dosyaları denetleme imkanı verir. Dizin listelemeyi aktifleştirmek geliştirici ortamında kabul edilebilir olsa da prod ortamda çoğunlukla kabul edilebilir değildir. Çünkü dizin listeleme sunucuda depolanan veriler veya kaynak kodlar gibi hassas bilgileri içerebilen klasörleri, dosyaları ve dosya adlarını ifşa eder. Dizin listeleme ifşası ifşa edilen dizinlere göre çeşitli türlerde saldırılara dönüşebilir. Örneğin uygulama yedekleme işlevi veritabanı yedeklerini uygulama kök dizini altında depoluyorsa saldırganlar dizin listeleme ile yedek sql dosysını görüntüleyebilirler, yedek dosyadan web uygulama parolasını elde edebilirler ve web uygulamayı ele geçirerek defacement (“Hacked by Hackers” şeklinde arayüz tahrifi) uygulayabilirler. İfşa edilen klasör ve dosyalara göre bu v.b. çeşitli sayıda saldırı gerçekleştirilebilir. Bu açıklık ASP.NET web uygulamalar ile örneklenmiştir. ASP.NET - Web.Config - Güvensiz Kod:
<!-- Güvensiz Yapılandırma -->
<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<directoryBrowse enable="true"/>
<!--
...
-->
</configuration>
ASP.NET - Web.Config - Güvenli Kod:
<!-- Güvenli Yapılandırma -->
<?xml version="1.0" encoding="utf-8" ?>
<configuration>
<directoryBrowse enable="false"/>
<!--
...
-->
</configuration>
Açıklığın Önlemi: Eğer dizin listeleme gerekli değilse kullanımından daima kaçınılmalıdır. Yararlanılan Kaynaklar:
|
|||||
Bu yazı 23.10.2025 tarihinde, saat 02:57:51'de yazılmıştır.
|
|||||
|
|||||
| Yorumlar |
|||||
| Henüz yorum girilmemiştir. | |||||
| Yorum Ekle | |||||
|
|
|||
| -> | Genel | ||
| -> | Webgoat Uygulaması | ||
| -> | DVWA Uygulaması | ||
| -> | Çeşitli Sızma Teknikleri | ||
| -> | Siber Güvenlik Araçları | ||
| -> | Linux Temelleri | ||
| -> | Siber Güvenlik Genel Kültür | ||
| -> | Kaynak Kod Analizi | ||
|
|
|||
|
|