Özel kullanım scripti

b leri ayırmanıza gerek yok OnlineHamza
Şuanda gördüğünüz alertler XSS açığı olduğunu gösterir hocam siz tırnakları engellediğiniz de sadece ' veya " engellemiş olursunuz ve bu bir önlem değildir tek başına. Buda sql sorgusunu yarıda kesip kendi istediğimiz kodları çalıştırabilme imkanı tanır. Yani isteyen bir kişi tablonuzu drop edebilir gibi...

Bundan kaynaklı bir başka sorunla şuanda console.log kullanarak console da da yazı yazdırabilmiş durumdayım.
Bu şu anlama gelir istersem console'a bir script yazdırarak, diğer kullanıcıların oturum ve çerez bilgilerini istediğim gibi alabilirim :) Bir yöneticinin oturum bilgisi değerlidir.
OnlineHamza adlı arkadaşın dediği gibi html etiketlerin girişini engellemelisiniz. Tavsiyem post olan ve get olan değerleri sayfa başında temizleyen bir döngü yazıp bu döngünün ürettiği sonuç üzerinden işlem yapmanız.

Ayrıca DDOS'a karşı sunucular her ne kadar önlemli olsa da upload kısmı gibi yada son kullanıcıya açık post aldığınız sayfalarda özellikle olmak üzere bir DDOS koruması kullanın.
Şuanda upload sayfası gördüğüm o ki korumasız. Yani ben arka arkaya aynı postu atarak sunucuyu rahatça yorabilirim gibi geliyor.

+ olarak xss i kullanarak bir tane cookie atadım :) bu da olayın ciddiyetini daha iyi kavrayabilmemiz için. Chrome'un geliştrici araçlarını kullanarak atanan cookielere bakarsanız şuanda siteye giren herkes için bir cookie var
Burada oturum çalabileceğim gibi şuanda giriş yaptıktan sonra çalıştırdığım js sayesinde session id yi yeniden tanımlayarak (wdrleo diye) böylece giriş yapıp siteyi ziyaret edenlerin oturumlarını da bitirmiş oluyorum :) daha onlar kapatamadan onları devre dışı bırakmış oluyorum.

Dip Not: Sadece PDO kullanıyor olmanız Sql injection gibi açıkları önlemez. PDO'yu sql injection açıklarını önleyeceği şekilde kullanmanız gerekir.
Google'da;
How to make sql injection protect php with pdo
How to make xss protect php
How to make ddos protect php

Şeklinde aratarak özellikle stackoverflow üzerinden bir çok bilgiye ulaşabilirsiniz.
Amacım hataları gün yüzüne ciddiyetleriyle birlikte çıkartmaktı. Bu nedenle de aklımda ki bir iki denemeyi daha yapıp aşağıya sonuçlarını ekleyeceğim.
Başarılar dilerim.

wdrleo arkadaşa kulak verin. Ayrıca b etiketini ayrı yazmamdaki sebep burada yanlış anlaşılmasını önlemekti. Teşekkürler :)

1) Login kontrolünüz sağlam aslında post ları aynı sayfaya yaptığınız için bunu test etmem gereksizdi ancak test ettim. :) Sıkıntı yok.
2) Tekrar vurgulamam gerekecek ki DDOS sorun. Aslında DDOS'ta değil sorun. Formların ard ardı gelen işlemlere açık olmasıyla DDOS benzeri bir saldırıda sunucunun daha çabuk yorulacak olması ve yazılımsal olarak bunun önüne geçilmiyor olması sorun. Bu aynı zamanda brute force atağına yer açıyor.
3) Session güvenliğiniz zayıf. Hata, hatayı doğurur derler ya test ettim :) tamam session'ı okuyabiliyoruz, istediğimizi session'ı atayabiliyoruz ama bütün bunlara rağmen oturum çalınmasını engelleyebilirdiniz. O da Session hijacking saldırısından nasıl korunacağınızı öğrenmeniz ile olur.
Şuanda ben session id yi wdrleo ayarladığım için ve bu siteye ilk girişte olacağı için :) siteye giren ve oradan admin paneline yönelen birisi wdrleo id li session üzerinden işlem yapıyor! yani bu demektir ki giriş yaptığı anda wdrleo session id syle sessiona atanan değerler depolanacak ve bu her giriş yapan için geçerli olacak standart / yönetici kullanıcı ayrımı olduğunu düşünürsek buda benim paneli yeniledikçe :) giriş yapan bir yönetici veya kullanıcının hesabında zahmetsizce olmam demektir.
Tabii ki de bu size yukarıda bahsettiğim xss açığından ve arkadaşın bahsettiği html etiket açığından kaynaklanıyor. Çünkü ben session'ı bu şekilde sabit bir hale getirdim. herkeste aynı olacak bir hale getirdim. Ancak buna rağmen session hijackingi tanırsanız korumayı başlatmış olursunuz.

Arkadaşlar çok teşekkürler mükemmel bilgiler vermişsiniz hepsini araştırıcam. Çok Teşekkürler.