Java Teknolojileri ve Programcıları Derneği’nin ev sahipliğinde, Java dergisinin sponsorluğuna gerçekleştirilen “Web Uygulama Güven(siz)liği 2.0″ konulu konferansa ait sunum dosyasına aşağıdaki adresten erişilebilir.

http://www.bga.com.tr/calismalar/web-insecurity.pdf

Etkinlik, sıcak bir yaz akşamı olmasına rağmen beklenmedik bir katılımla gerçekleştirildi. Katılımcıların sıcak kanlılığı ve organizasyonun mükemmel işleyişi sayesinde oldukca güzel bir akşam geçirdik.

Etkinliğie ait fotoğraflara ve yorumlara http://www.jtpd.org/blogs/item/jts-11de-neler-oldu–web-guvensizligi-semineri–huzeyfe-onal adresinden erişebilirsiniz.

Related posts:

1. [Etkinlik] Web uygulama güven(siz)liği 2.0
2. BIMY ’10 sunumu- Siber dünyada web uygulama güven(siz)liği
3. Hping Irc sunumu Loglari

Katılım ücretsizdir.

Not : Etkinliğe gelirken aman bir şey yemeyin, pizza ve içecekler ücretsiz.

Etkinlik Sponsorumuz : Java Dergisi

İşte etkinlik planımız :

19.00 – 19.10 – Hızlı tanışma seansı – Kartvizitlerinizi yanınızda getirmeyi unutmayınız !

19.15 – 19.30 – Pizza partisi

19.35 – 21.00 – Huzeyfe ÖNAL’ın konuşması

Konuşma detayları
Konu : Web uygulama güven(siz)liği 2.0

• • Web uygulamaları ve güvenlik açısından önemi
  • Web uygulama güvenliğinin bağlı olduğu bileşenler
  • Türkiye ve dünyadan web uygulamalarında yaşanan hacking olayları
  • Hackerlar web uygulamalarını nasıl ele geçirirler?
  • Güvenlikciler web uygulamalarını nasıl güvenli hale getirirler?
  • Hackerlar güvenlikcilerin aldıkları önlemleri nasıl aşarlar?

Kaykan: http://www.jtpd.org/blogs/item/11-jts-java-teknoloji-saati

Related posts:

1. Web Uygulama Güven(siz)liği Sunumu
2. Web uygulama güvenlik testleri eğitimi 13 Mart 2010
3. [Etkinlik] DOS, DDOS Atakları ve Korunma Yöntemleri

Çoğu güvenlik uzmanı web uygulama açıklıklarını IPS ile engelleyebileceğini düşünüyor.Bu tamamen olmasa da büyük oranda yanlış bir algı. Web uygulamalarının büyük bir çoğunluğunu IPS ile korunamayacak kadar karışıktır.  Bir şeyi korumak için öncelikle onun nasıl çalıştığını ve korumak istediğiniz nesneye yönelik tehditleri iyi bilmelisiniz.  Bu da ya konuyla ilgili eğitimler alarak ya da konuya özel zaman ayırıp kendinizi geliştirerek olabilir.

Web uygulama güvenliği konusuna ilgi duyan ama  konuya hakim olmadığı için çok zaman harcamadan hazır, pratik ve tecrübeli birilerinden konuyu uygulamalı öğrenmek isteyenler için  ”Web Application Pentest“ eğitimimiz  gelen talepler üzerine Mayıs ayında tekrar açılıyor.  Kariyer ve güvenlik konusunda rakiplerinizden bir adım daha önde olmak için kaçırılmayacak bir eğitim.

Eğitim içeriği ve tüm detaylar http://www.guvenlikegitimleri.com/?p=1321 adresinden edinilebilir.

Eğitim içeriği

1. Eğitim Giriş
2. Web Standartları
3. Doğrulama Eğilimi
4. Otomatize Araçlar
5. Arama Motoru Keşif Teknikleri
6. Girdi Noktaları Bulma Teknikleri
7. Yayınlanmış Zafiyet Arama Teknikleri
8. HTTP Bağlantı Güvenliği
9. SSL Zayıflıkları
10. HTTP Metotları Denetimi
11. Kimlik Doğrulama Çeşitleri
12. Kaba Kuvvet Denetimi
13. Güvensiz CAPTCHA
14. Session Fixation
15. CSRF Denetimi
16. Dizin Gezinimi
17. Hak Yükseltme Denetimi
18. İş Mantığı Denetimi
19. Yansıtılan XSS Denetimi
20. Depolanmış XSS Denetimi
21. SQL Enjeksiyonu Denetimi
22. Kod Enjeksiyonu Denetimi
23. İşletim Sistemi Komut Enjeksiyonu Denetimi
24. Web Servis Teknolojisi Giriş
25. WSDL Denetimi
26. Ajax Giriş
27. Ajax Denetimi

Related posts:

1. Web Application Pentest Eğitimi 22 Mayıs 2010
2. Uygulamalı TCP/IP Güvenliği Eğitimi – 19 Haziran 2010
3. Bilişim Güvenliği Günleri – 2 Haziran 2010

Web sunucularının performansını ölçme amaçlı çeşitli araçlar vardır. Bunlar arasında kolay kullanımı ve esnekliğinden dolayı ab(Apache HTTP server benchmarking tool) dikkat çeker.

Ab her ne kadar Apache projesi olsa da herhangi bir web sunucuyu test etme amaçlı kullanılabilir.  Ab ile çeşitli özelliklerde HTTP istekleri göndererek sunucunun işleme kapasitesi ölçülebilir. Ab aynı zamanda basit bir DOS aracıdır, hedef sisteme eş zamanlı yüzlerce HTTP GET/POST/HEAD istekleri göndererek web sunucunun cevap veremez hale gelmesini sağlayabilir.

Basit kullanımı:

# ab -c 900 -n 1000 http://www.sayfa.com/
This is ApacheBench, Version 1.3d <$Revision: 1.73 XXgt; apache-1.3
Copyright (c) 1996 Adam Twiss, Zeus Technology Ltd, http://www.zeustech.net/
Copyright (c) 2006 The Apache Software Foundation, http://www.apache.org/

Benchmarking www.sayfa.com (be patient)
Completed 100 requests
Completed 200 requests
Completed 300 requests
Completed 400 requests
Completed 500 requests
Completed 600 requests
Completed 700 requests
Completed 800 requests
Completed 900 requests
Finished 1000 requests
Server Software:        Apache-Coyote/1.1
Server Hostname:        www.sayfa.com
Server Port:            80

Document Path:          /
Document Length:        4767 bytes

Concurrency Level:      900
Time taken for tests:   6.501 seconds
Complete requests:      1000
Failed requests:        0
Broken pipe errors:     0
Total transferred:      5339849 bytes
HTML transferred:       4893919 bytes
Requests per second:    153.82 [#/sec] (mean)
Time per request:       5850.90 [ms] (mean)
Time per request:       6.50 [ms] (mean, across all concurrent requests)
Transfer rate:          821.39 [Kbytes/sec] received

Connnection Times (ms)
min  mean[+/-sd] median   max
Connect:        7   119  655.6     28  6246
Processing:    28   405  737.2     69  4144
Waiting:       20   405  737.2     69  4144
Total:         28   525 1018.6    101  6419

Percentage of the requests served within a certain time (ms)
50%    101
66%    425
75%    523
80%    602
90%   1192
95%   3197
98%   4177
99%   6236
100%   6419 (last request)
You have new mail in /var/mail/root

Çıktıyı inceleyecek olursak sayfa isteğimiz en hızlı 101, en yavaş 6419 ms sürmüş. Saniyede 153 HTTP GET isteği göndermiş.

Ab parametreleri:

-n parametresi toplamda kaç adet HTTP isteğinin gönderileceğini belirler
-k parametresi HTTP bağlantılarının keepalive kurulacağını belirler
-c parametresi anlık kaç adet HTTP bağlantısı kurulacağını belirler
-t parametresi saniye cinsinden testin ne kadar süreceğini belirler

Ab ile sadece HTTP GET değil, POST istekleri de gönderilebilir. Böylece web sayfası üzerindeki dinamik alanlar  ve dinamik alanlara veri sağlayan veritabanı performansı da test edilmiş olur.

#ab -n 1000 -T ‘application/x-www-form-urlencoded’ -p post_me.txt http://www.sayfa.com/login.aspx

Ek olarak siege, httperf, httping gibi araçlar da web sunucu performans testlerinde kullanılabilir.

Related posts:

1. Nmap, Unicornscan ve Hping ile performans testleri
2. Web sunuculara latency olcumu
3. Syslog Sunucu Performans Testleri

Çoğu güvenlik uzmanı web uygulama açıklıklarını IPS ile engelleyebileceğini düşünüyor. Bu tamamen olmasa da büyük oranda yanlış bir algı. Web uygulamalarının büyük bir çoğunluğunu IPS ile korunamayacak kadar karışıktır.  Bir şeyi korumak için öncelikle onun nasıl çalıştığını ve korumak istediğiniz nesneye yönelik tehditleri iyi bilmelisiniz.  Bu da ya konuyla ilgili eğitimler alarak ya da konuya özel zaman ayırıp kendinizi geliştirerek olabilir.

Web uygulama güvenliği konusuna ilgi duyan ama  konuya hakim olmadığı için çok zaman harcamadan hazır, pratik ve tecrübeli birilerinden konuyu uygulamalı öğrenmek isteyenler için  “Web Application Pentest” eğitimimiz  gelen talepler üzerine Mayıs ayında tekrar açılıyor.  Kariyer ve güvenlik konusunda rakiplerinizden bir adım daha önde olmak için kaçırılmayacak bir eğitim.

Eğitim içeriği ve tüm detaylar http://www.guvenlikegitimleri.com/new/web-application-pentest-egitimi-22-mayis-2010 adresinden edinilebilir.

Eğitim içeriği

1. Eğitim Giriş
2. Web Standartları
3. Doğrulama Eğilimi
4. Otomatize Araçlar
5. Arama Motoru Keşif Teknikleri
6. Girdi Noktaları Bulma Teknikleri
7. Yayınlanmış Zafiyet Arama Teknikleri
8. HTTP Bağlantı Güvenliği
9. SSL Zayıflıkları
10. HTTP Metotları Denetimi
11. Kimlik Doğrulama Çeşitleri
12. Kaba Kuvvet Denetimi
13. Güvensiz CAPTCHA
14. Session Fixation
15. CSRF Denetimi
16. Dizin Gezinimi
17. Hak Yükseltme Denetimi
18. İş Mantığı Denetimi
19. Yansıtılan XSS Denetimi
20. Depolanmış XSS Denetimi
21. SQL Enjeksiyonu Denetimi
22. Kod Enjeksiyonu Denetimi
23. İşletim Sistemi Komut Enjeksiyonu Denetimi
24. Web Servis Teknolojisi Giriş
25. WSDL Denetimi
26. Ajax Giriş
27. Ajax Denetimi

Related posts:

1. Web Application Pentest Eğitimi 26 Haziran 2010
2. IisShield – Application Layer Firewall
3. Web uygulama güvenlik testleri eğitimi 13 Mart 2010

Bu soruyu Güvenlik bülteninin her sayısında çeşitli uzman arkadaşlara soruyoruz ve oldukca çeşitli cevaplar geliyor, merak edenler sertifika programları hakkındaki sektörün ileri gelenleri tarafından verilen cevaplara röportajlar kısmından ulaşabilir.

Hayatın bir gerçek yüzü bir de yaşanan yüzü vardır, sertifikalara çeşitli açılardan eleştiri getirebilir, hatta gereksiz denilebilir ama sektörün büyük bir kısmında sertifikaların ciddi şekilde değerlendirmeye alındığı gerçeğini değiştiremeyiz. Özellikle herkesin ben herşeyi biliyorum dediği günümüzde  sertifikalar bilgi ölçme aracı olarak kullanılıyor.

Güvenlik sektöründe uzun yıllardır varlığını geliştirerek sürdürmüş çeşitli sertifikalar vardır. Bunların arasında en karizmatik, en fazla para yapanı hiç şüphesiz ISC2 tarafından verilen CISSP sertifikası.  Türkiye’de de bu sertifikaya olan ihtiyaç ve talep gün geçtikce artıyor. Çeşitli arkadaşlarla konuşurken her birinin Cissp ile ilgili çeşitli forum/listelere üye olduğunu gördüm. Değişik ortamlardan edindikleri bilgileri Türkçe olarak tartışmak, paylaşma adına CISSP-TR listesini kurmaya karar verdim.

Liste kısaca Türkiye’de  Cissp sınavına hazırlananlar için aşağıdaki işlevleri yerine getirme amacı taşımaktadır:

• Kaynak paylaşımı
• Sertifika sınavları hakkında tecrübe paylaşımı
• Çalışma gruplarının kurulması ve yönetimi
• Ücretli/ücretsiz eğitim duyurularının paylaşılması

Liste arşivi sadece üyelere açık olacaktır.

Üye olmak için:

cissp-tr+subscribe@googlegroups.com  adresine boş bir e-posta gönderebilir
ya da
http://groups.google.com/group/cissp-tr adresine giderek Google hesabınızla listeye kayıt olabilirsiniz.

 Liste yönetimi adına <Huzeyfe ÖNAL>

Related posts:

1. Ag ve Guvenlik E-posta listesi acildi..
2. OpenSSL ile wildcard sertifika üretimi
3. Takip edilesi e-posta listeleri(güvenlik amaçlı)

Eğitimler hakkında detay bilgi için http://www.guvenlikegitimleri.com sayfasını ziyaret edebilirsiniz.

Related posts:

1. Web uygulama güvenlik testleri eğitimi 13 Mart 2010
2. Beyaz Şapkalı Hacker Eğitimi 3-24 Nisan 2010
3. Beyaz Şapkalı Hacker Eğitimi – 6 Şubat 2010

Eğitimlerde uygulamalar Netsparker kullanılarak gerçekleştirilecektir.

Erken kayıtlarda %20 indirim uygulanıyor

Related posts:

1. Mart 2010 Güvenlik Eğitimleri
2. Beyaz Şapkalı Hacker Eğitimi 3-24 Nisan 2010
3. [Etkinlik] Web uygulama güven(siz)liği 2.0

Türkiye’de iş yapan domain kayıt/hosting firmalarına güvenim azdı ama bu kadarını da tahmin etmiyordum. Müşterilerden aldığı tüm verileri veritabanına kabak gibi açık şekilde yazarak millete davetiye çıkarıyorlar. Sonra uyardığınızda siz mailinizi hacklettirmissiniz, sorun sizde diyip sorundan yırttıklarını sanıyorlar. Aşağıdaki ekran görüntüleri turkticaret.net’in kullanıcı bilgilerini veritabanında şifrelemeden tuttuğunu basit göstergesi, üye olduğunuz hesabın şifresini istediğinizde size aynı şifreyi defalarca gönderiyor.

Başka açıklıkları da var, onları da sistemi kurcalayan çeşitli arkadaşlara rica edip firmayı uyardım ama yok akıllanmıyorlar, sanırım haberlerde şöyle bir manşet bekliyorlar” Türkticaret.net’in tüm şifreleri çalındı”. Bundan sonra kesin harekete geçerler.

Ben açıkcası katıldığım tüm etkinliklerde,  sözümün geçebildiği her ortamda -her ne kadar firma ismi belirterek kötüleme yapmak huyum olmasa da- TurkTicaret ve benzeri firmaları olabildiğince açığa çıkaracağım. Belki bu şekilde biraz daha güvenliğe önem vermeleri gerektiğini anlarlar.

Ben karalistemi oluşturmaya başladım:

1) TurkTicaret.net

2) Markom

3) İsimtescil

varsa kötü tecrübeleriniz buradan ekleme yapabilirim.

Related posts:

1. Hosting firmaniz ne kadar guvenli?

http://dergi.webguvenligi.org/ adresinden okuyabilirsiniz.

Dergiden konu başlıkları;

• Web Güvenlik Tarayıcılarının Evrimi
• WGT Capture the Flag
• Güven Veren Kod Yazmak
• Damn Vulnerable Web App
• Web Sunuculara Yönelik DOS ve DDOS Saldırıları
• Yetersiz Şifre Politikasının Sonuçları
• Nerdesin Ey Referer
• ASP.NET Header Bilgileri

Related posts:

1. Hack To Learn or Learn to Hack – Damnvulnerablelinux
2. Web Güvenliği Üzerine E-dergi