JavaScript İle Sık Yapılan Güvenlik Hataları Nelerdir?

Adı : JavaScript İle Sık Yapılan Güvenlik Hataları Nelerdir?

JavaScript, günümüzde web geliştirme işlemlerinin vazgeçilmez bir bileşenidir. Ancak, JavaScript uygulamaları sık sık güvenlik açıklarına neden olur. Bu nedenle, Javascript uygulama geliştiren programcıların, güvenlik sorunlarına karşı uyanık olmaları gerekmektedir.

İşte, JavaScript uygulama geliştirmeleri sırasında sıkça yapılan güvenlik hataları:

1. Cross-Site Scripting (XSS)

En sık karşılaşılan JavaScript güvenlik açıklarından biri, Cross-Site Scripting olarak bilinir. XSS, bir saldırganın, bir web sayfasındaki bir form ya da yorum gibi bir etkileşimli alan aracılığıyla bir JavaScript kodu enjekte etmesiyle gerçekleşir. Bu, site ziyaretçilerinin kişisel bilgilerini çalmak veya kötü amaçlı yazılımlar yüklemek gibi zararlı işlemlere neden olabilir.

Örnek: Bir forum sitesinde, kullanıcıların yaptığı yorumların altında, kullanıcılardan alınan verileri JS kodu içerisinde aşağıdaki gibi yazmak, XSS açığına neden olabilecektir.

```

```

Yukarıdaki kod bloğu, kullanıcının ismini ve bir mesajı gösterirken, bir saldırganın da buraya zararlı bir kod enjekte etmesine neden olabilir.

2. Cross-Site Request Forgery (CSRF)

Cross-Site Request Forgery (CSRF), bir saldırganın, kullanıcının kimlik doğrulama bilgisi olmadan bir web sitesinde istekte bulunmasına neden olan bir güvenlik açığıdır. Bir saldırgan, kullanıcının oturum açtığı bir web sitesinde, önceden hazırlanmış bir bağlantı veya form aracılığıyla, kullanıcının bilgisi olmadan istek yapabilir. CSRF, bir kullanıcının hesabındaki bilgileri çalmak veya kullanıcı adı ve parolaları değiştirmek gibi zararlı amaçlar için kullanılabilir.

Örnek: Kullanıcının hesabı üzerinde işlem yapabilen bir formda; saldırgan, isteği kendisi yapmasa bile formdaki tuşların isimlerini değiştirerek, arka planda oluşturduğu formu da tetikleyerek kullanıcının hesabında istemediği bir işlemi yapmasına yol açabilir.

3. Sağlama yok

Sağlamadan yoksun JavaScript koda, bir girişe göre işlem yapması talimatı verildiği için sıkça kullanılan bir güvenlik açığıdır. Örneğin, bir sayfada kullanıcının ismini almak için kodlanmış bir alan varsa, kullanıcının burada girdiği verinin zararlı olup olmadığı kontrol edilmeden işleme konulması, istenmeyen sonuçları Tetikleyebilir.

Örnek:

```
let name = document.getElementById('name').value;
alert('Hoş geldiniz, ' + name + '!');
```

Yukarıdaki örnekte, kullanıcının girişinin güvenli olup olmadığı kontrol edilmediğinden, JavaScript kodu, sağlamadan yoksun olarak doğrudan kontrol edilmeksizin çalıştırılır.

4. Cookie Manipülasyonu

Web sitelerinde tutulan çerezler, kullanıcıya özgü verileri işaretlemek veya depolamak için kullanılır. Ancak, bir saldırgan, kullanıcının çerezlerini manipüle ederek kullanıcının oturumunu ele geçirebilir. Bu, bir saldırganın, kullanıcının hesabına erişerek, hesaptan para çekme veya kişisel bilgilere erişme gibi zararlı işlemler yapmasına neden olabilir.

Örnek:

```
document.cookie = \"username=smith; expires=Thu, 18 Dec 2023 12:00:00 UTC; path=/\";
```

Yukarıdaki örnekte, Javascript ile oluşturulan bir cookie, sağlamadan yoksun olarak doğrudan oluşturulduğunda, bir saldırganın, bu verileri manipüle ederek, kullanıcının hesabına erişebilmesine neden olabilir.

Sık Sorulan Sorular

S: JavaScript kodlarına neden güvenlik açıkları eklenebilir?

C: JavaScript; kullanıcı girdilerini doğrudan işleyen ve/veya verilerin doğruluğunu kontrol etmek için ya da verilerin güvenli bir şekilde işlenmesi için istemci taraflı işlemler yapabilen bir dildir. Bu nedenle, girişler, doğrulama veya verilerin doğru şekilde işlenmesi gibi konularda yapılan güvenlik hataları, sorunlara neden olabilir.

S: Cross-Site Scripting (XSS) ne anlama gelir?

C: Cross-Site Scripting (XSS), bir saldırganın, bir web sayfasındaki bir form veya yorum gibi bir etkileşimli alan aracılığıyla bir JavaScript kodu enjekte etmesiyle gerçekleşir. Bu, site ziyaretçilerinin kişisel bilgilerini çalmak veya kötü amaçlı yazılımlar yüklemek gibi zararlı işlemlere neden olabilir.

S: Sağlama denetimi nedir?

C: Sağlama denetimi, veri girişinin doğruluğunu kontrol etmeye yönelik bir işlemdir. JavaScript uygulamalarında, kullanıcıdan alınan verilerin doğruluğunu kontrol etmek, güvenlik hatalarını önlemeye yardımcı olur.

S: Cookie Manipülasyonu nedir?

C: Web sitelerinde tutulan çerezler, kullanıcıya özgü verileri işaretlemek veya depolamak için kullanılır. Ancak, bir saldırgan, kullanıcının çerezlerini manipüle ederek kullanıcının oturumunu ele geçirebilir. Bu, bir saldırganın, kullanıcının hesabına erişerek, hesaptan para çekme veya kişisel bilgilere erişme gibi zararlı işlemler yapmasına neden olabilir."