asp de güvenlik önlemleri...

**KinG Of DeatH** · 06-24-2009, 10:05 AM

Eğer sitenizde yorum yapma veya herhangi birşey eklettirme

yaptırma gibi isler yapıyorsanız bunlar için bazı kontroller yapmak gerekir.

Mesela ziyaretçinin yorum’unda yazdığı html kod’unu pasif hale getirmeniz lazım.

form = TRIM(Server.HTMLEncode(request.form("form")))

Bu kodda TRIM ile formun basındaki ve sonundakı boslukları kaldırır."HTMLEncode" ise zararlı HTML kodlari ayıklar.

2. yol ise

Eger kullanıcı yorum yerine aaaa aaaaaaa kodu koyarsa sayfaniz belirli bir saniye de yönlendirme ile baska sayfaya gönderilir.Bunun benzeri ASP ile de yapilmaktadir.Response.redirect ile yapılabillir.Bunları önlemek içinde

<%
form = replace(form

"<"

"& lt;")
form = replace(form

">"

"& qt;")
%>

Kodlarını kullanrak açma

kapama kodlarını pasif hale getirirsiniz.
Bunların dışında Replace komutumuzla argo kelimelere sansür koyabilirsiniz.

Not : Eger Html Encode ile ile formu alirsaniz türkçe karakterler gözükmeyecektir.Bu durumda form’u HTML Encode ile almaniz yeterli olacaktir.2. yol da olur.

Ben size ikinci yolu öneriyorum.Neden derseniz örnek vereyim.Mesela formdan aldiginiz "

" smiley(gülücük)’i herhangi bir resimle replace ettirmek isterseniz 2. yolu kullanmalısınız.

Baska bir açıkta üyelik sistemleri gibi form ile giriş yapılan uygulamalarda ’ OR ’ kelimesinin giriş yapmasıdır.Eğer kullanıcı adını yazar ve şifreye bu yazılırsa ve tedbiri alınmamışsa o zaman kullanıcı şifreyi bilmeksizin o kullanıcıyla giriş yapabilir.Bu tehliaaai önlemek içinde

<% form = replace(form

"’"

"") %>

Böylece ’ yazılması birşey idafe etmez.

Buna SQL INJECTıON da dahildir.

Siz bir querystring’i işlettiğiniz sayfada aldığınız querystring’i kontrol etmezseniz ve kişi ’; drop table tablo gibi bir komut yazarsa SQL komutumuz olmadığı halde bu kodu işletir ve o tablo’nun içindeki verilerin tamamını uçurur.
Bunu gene üstteki replace ile engelleyebilirsiniz.

Tavsiyem eğer ID numarası olarak alıyorsanız şu kontrolden geçirmeniz gerekir.

<% IF NOT ISNumeric(form) THEN response.end %>

gibi bir kod kullanmanız yeterli olacaktır.Böylece ID numarası yerine yazı yazıldığı zaman işlemi durdurursunuz ve SQL Injection’ı engellemiş olursunuz.

Bunların hepsi için yazılan şu fonksyonu kullanabilirsiniz.Bu fonksiyon ile bütün Injection açıklarınıda kapatabilirsiniz.Böylece queystring’de bir probleminiz kalmaz.Bu fonksiyon’u sayfanızın en başına koyun.

<%
function security(data)
data = Replace (data

"`"

""

1

-1

1)
data = Replace (data

"="

""

1

-1

1)
data = Replace (data

"&"

""

1

-1

1)
data = Replace (data

"%"

""

1

-1

1)
data = Replace (data

"!"

""

1

-1

1)
data = Replace (data

"#"

""

1

-1

1)
data = Replace (data

"<"

""

1

-1

1)
data = Replace (data

">"

""

1

-1

1)
data = Replace (data

"*"

""

1

-1

1)
data = Replace (data

"/"

""

1

-1

1)
data = Replace (data

"\\"

""

1

-1

1)
data = Replace (data

"And"

""

1

-1

1)
data = Replace (data

"’"

""

1

-1

1)
data = Replace (data

"Chr(34)"

""

1

-1

1)
data = Replace (data

"Chr(39)"

""

1

-1

1)
security=data
end function
%>

Fonksiyonumuz bu.
Querystring’leri alırkende

<% bilgi = security(request.querystring("bilgi")) %>

gibi alırsanız bu fonksiyonun kontrol’ünden geçirerek ve açıkları elemine ederek almış olursunuz.

06-24-2009, 10:05 AM	#1 (permalink)
KinG Of DeatH Pastafaryan Avcısı	asp de güvenlik önlemleri... Eğer sitenizde yorum yapma veya herhangi birşey eklettirme yaptırma gibi isler yapıyorsanız bunlar için bazı kontroller yapmak gerekir. Mesela ziyaretçinin yorum’unda yazdığı html kod’unu pasif hale getirmeniz lazım. form = TRIM(Server.HTMLEncode(request.form("form"))) Bu kodda TRIM ile formun basındaki ve sonundakı boslukları kaldırır."HTMLEncode" ise zararlı HTML kodlari ayıklar. 2. yol ise Eger kullanıcı yorum yerine aaaa aaaaaaa kodu koyarsa sayfaniz belirli bir saniye de yönlendirme ile baska sayfaya gönderilir.Bunun benzeri ASP ile de yapilmaktadir.Response.redirect ile yapılabillir.Bunları önlemek içinde <% form = replace(form "<" "& lt;") form = replace(form ">" "& qt;") %> Kodlarını kullanrak açma kapama kodlarını pasif hale getirirsiniz. Bunların dışında Replace komutumuzla argo kelimelere sansür koyabilirsiniz. Not : Eger Html Encode ile ile formu alirsaniz türkçe karakterler gözükmeyecektir.Bu durumda form’u HTML Encode ile almaniz yeterli olacaktir.2. yol da olur. Ben size ikinci yolu öneriyorum.Neden derseniz örnek vereyim.Mesela formdan aldiginiz "" smiley(gülücük)’i herhangi bir resimle replace ettirmek isterseniz 2. yolu kullanmalısınız. Baska bir açıkta üyelik sistemleri gibi form ile giriş yapılan uygulamalarda ’ OR ’ kelimesinin giriş yapmasıdır.Eğer kullanıcı adını yazar ve şifreye bu yazılırsa ve tedbiri alınmamışsa o zaman kullanıcı şifreyi bilmeksizin o kullanıcıyla giriş yapabilir.Bu tehliaaai önlemek içinde <% form = replace(form "’" "") %> Böylece ’ yazılması birşey idafe etmez. Buna SQL INJECTıON da dahildir. Siz bir querystring’i işlettiğiniz sayfada aldığınız querystring’i kontrol etmezseniz ve kişi ’; drop table tablo gibi bir komut yazarsa SQL komutumuz olmadığı halde bu kodu işletir ve o tablo’nun içindeki verilerin tamamını uçurur. Bunu gene üstteki replace ile engelleyebilirsiniz. Tavsiyem eğer ID numarası olarak alıyorsanız şu kontrolden geçirmeniz gerekir. <% IF NOT ISNumeric(form) THEN response.end %> gibi bir kod kullanmanız yeterli olacaktır.Böylece ID numarası yerine yazı yazıldığı zaman işlemi durdurursunuz ve SQL Injection’ı engellemiş olursunuz. Bunların hepsi için yazılan şu fonksyonu kullanabilirsiniz.Bu fonksiyon ile bütün Injection açıklarınıda kapatabilirsiniz.Böylece queystring’de bir probleminiz kalmaz.Bu fonksiyon’u sayfanızın en başına koyun. <% function security(data) data = Replace (data "`"""1-11) data = Replace (data "="""1-11) data = Replace (data "&"""1-11) data = Replace (data "%"""1-11) data = Replace (data "!"""1-11) data = Replace (data "#"""1-11) data = Replace (data "<"""1-11) data = Replace (data ">"""1-11) data = Replace (data "*"""1-11) data = Replace (data "/"""1-11) data = Replace (data "\\"""1-11) data = Replace (data "And"""1-11) data = Replace (data "’"""1-11) data = Replace (data "Chr(34)"""1-11) data = Replace (data "Chr(39)"""1-11) security=data end function %> Fonksiyonumuz bu. Querystring’leri alırkende <% bilgi = security(request.querystring("bilgi")) %> gibi alırsanız bu fonksiyonun kontrol’ünden geçirerek ve açıkları elemine ederek almış olursunuz.

Seçenekler
Yazdırılabilir şekli göster Sayfayı E-Mail olarak gönder
Stil
Normal Hybrid-Şeklinde gösterime geç Ağaç şeklinde gösterime geç

Benzer Konular
Konu	Konuyu Başlatan	UslanmaM	Cevaplar	Son Mesaj
Hacda Büyük Güvenlik önlemleri	MaRVel	Dünyadan Haberler	0	12-21-2007 12:34 AM
Bursa'da güvenlik önlemleri	MaRVel	Diğer Takımlar	0	11-29-2007 08:46 PM
PHP \| Güvenlik Önlemleri	sessizcocuk	ASP, Perl, Php, Html	0	09-02-2007 02:24 AM
Güvenlik önlemleri trafiği yavaşlattı	USLANMAM	Güncel HABERLER	0	05-03-2007 12:00 PM

Konuyu Toplam 1 Üye okuyor. (0 Kayıtlı üye ve 1 Misafir)