SİBERSALDİRİ.COM · KONU ODAKLI DERS
Bu derste kazanacaklarınız
- XML verisi ile Güvenli ayrıştırıcı arasındaki ilişkiyi açıklamak.
- “Sadece HTTP çıkışını engellemek yeterli midir?” sorusuna gerekçeli yanıt vermek.
- Örneği değiştirip beklenen ve gözlenen davranışı karşılaştırmak.
Çalışma mantığı ve güven sınırı
İhtiyaç olmayan DTD ve dış varlık çözümlemeyi kapatın; dil ve kütüphaneye özgü güvenli ayarları doğrulayın. Yalnızca dış ağ erişimini kesmek yerel dosya riskini tek başına çözmeyebilir. Boyut, derinlik ve işlem süresi sınırları ek kaynak koruması sağlar. Örnek ders dış kaynak çözümleyen bir yük çalıştırmaz.
Açıklamalı örnek
Aşağıdaki parça kavramı görünür kılar. Komut veya kod içeren örnekleri üretim sisteminde değil, size ait ayrı deneme ortamında değerlendirin. Mimari şema ve politika örnekleri çalıştırılabilir program değildir.
Ayrıştırma politikası:
DTD: gerekmiyorsa kapalı
Dış varlık: kapalı
Ağ erişimi: minimum
Boyut/derinlik: sınırlı
Hata yanıtı: iç yol içermeyenBeklenen sonuç ve yorumu
Politika XML verisini uygulama kaynaklarına erişim talimatından ayırır.
Karşılaştırmalı durumlar
| Durum | Beklenen yaklaşım | Neden? |
|---|---|---|
| DTD gerekmiyor | Kapat | Gereksiz yetenek kaldırılır |
| Ağ kapalı | Dosya ve kaynak riskini de incele | Tek etki türü değildir |
| Büyük XML | Sınır uygula | Ayrıştırma maliyeti korunur |
Uygulama görevi
Kullandığınız ayrıştırıcıda güvenli varsayılanları ve açıkça seçilen seçenekleri ayrı listeleyin.
- İşlemden önce beklenen sonucu ve kabul koşulunu yazın.
- Tek bir değişkeni değiştirin; gözlemi ve kullandığınız ortamı kaydedin.
- Sonucu yukarıdaki karşılaştırma tablosuyla değerlendirin. Uymayan durumda hangi varsayımın yanlış olabileceğini açıklayın.
Sık yapılan hata ve düzeltme yönü
Bütün XML kütüphanelerinin aynı varsayılanlarla çalıştığını varsaymayın.
Kendinizi sınayın
Sadece HTTP çıkışını engellemek yeterli midir?
Açıklamalı yanıt: Hayır. Yerel dosya erişimi ve kaynak tüketimi gibi ayrı etkiler de değerlendirilmelidir.
İlgili derslerle ilerleyin
- Dosya yükleme: İçerik, depolama ve çalıştırma sınırı
- SSRF: Sunucunun erişebildiği hedefleri sınırlandırma
- Güvenli kodlama: Güven sınırına göre kontrol
- API güvenliği: Nesne, işlem ve alan yetkisi
Teknik başvuru
Bu dersin anlatımı ve örnekleri akademi için yeniden hazırlanmıştır. Aşağıdaki bağlantı, kullanılan teknoloji veya güvenlik yaklaşımının ayrıntılarını doğrulamak için teknik başvurudur.
