owasp

Bir saldırganın parolanızı bilmesi gerekmiyor; yeterince deneme hakkı olması yetiyor. Kaba kuvvet saldırısının mantığı tam olarak bu: zekâ değil, tekrar. Bu yazı brute force'un tanımını, sözlük saldırısıyla farkını, hangi durumlarda gerçekten işe yaradığını ve deneme hakkının neden kritik...

Güvenlik konuşmalarında en çok geçen ama en az tanımlanan kelime "zafiyet". Bir tarama aracı otuz satır zafiyet listeliyor, haberlerde yeni bir zafiyetten söz ediliyor, sağlayıcınız zafiyet kapatmak için bakıma giriyor. Hepsi aynı şeyi mi anlatıyor? Bu yazı kavramın kurumsal tanımını, uygulama...

Bir hava durumu servisinden ya da harita API'sinden aldığınız anahtarı, en hızlı çalışan yol olduğu için doğrudan tarayıcıda çalışan ön uç koduna yapıştırmak cazip gelir. Sayfa çalışır, istek gider, sonuç gelir; sorun görünürde yoktur. Ama o anahtar artık sayfanın kaynak kodunda herkesin...

Bir SQL injection tarama aracını indirip kendi canlı sitenize yöneltmeden önce duraksamak makul bir refleks: yanlış yapılandırılmış bir tarama, üretim veritabanınızda gerçek veriyi bozabilir ya da sunucuyu geçici olarak devre dışı bırakabilir. Ama testi hiç yapmamak da açığı üretimde bırakmak...