SQL Injection

SQL Zafiyet Taraması

Web uygulamalarınızdaki SQL enjeksiyon açıklarını dış saldırganın gözünden tespit eder.

sqlmap: motoru
teyit edilmiş: enjeksiyon noktaları
kanıt ile: raporlanan bulgular
PDF: kanıtlı rapor

Neden önemli

SQL enjeksiyonu, henüz canlı bir tehdittir.

Web uygulamalarının veritabanı katmanı, saldırganlar için en değerli hedef. SQL Injection açığı, saldırganın uygulamanızdan verileri çekmesine, değiştirmesine ve hatta sistemde kod çalıştırmasına izin verebilir. Sonuç: müşteri kayıtları, ödeme bilgileri, gizli veriler ele geçirilebilir. Tehlike o kadar ciddi ki OWASP Top 10 listesinin başında durur ve PCI DSS, KVKK denetimlerinde ilk kontrol noktasıdır.

Uygulamanızın input alanlarından hangisine SQL enjeksiyonu yazılabilir?
Zafiyeti tespit ettiğiniz zaman bu bilgiyi müşteriye veya yönetim ekibine nasıl kanıtlarsınız?
Açığı kapatana kadar uygulamada başka neler risk altındadır?

Ne yapar

Neler sunuyor?

sqlmap ile enjeksiyon noktası teyidi

Her web formu ve parametresi test edilir. Doğrulanmış enjeksiyon noktaları (UNION-based, time-based, Boolean blind) raporlanır. Yanlış pozitif yapılmaz — her bulgu gerçek ve kanıtlanmış açıklıktır.

Veri çekme potansiyelinin gösterimi

Enjeksiyonun kapsamı açıkça anlatılır: veritabanı adı, tablo listesi, sütunlar çekilebilir mi, yönetici hesabı görülebilir mi. Teorik değil, gerçek durum raporlanır.

OWASP eşlemesi

Her bulgu OWASP Top 10 kategorisiyle eşlenir — A03:2021 Injection başta olmak üzere. Müşteri denetim raporunda bu eşlemeyi görebilir.

Düzeltme önerisi detaylı

Sadece 'parametreli sorgu kullanın' demez; uygulamanızın yazıldığı teknolojiye (PHP, Java, Node.js) uygun örnek kod ve en iyi uygulama önerileri eklenir.

Zamanlanmış ve periyodik tarama

Aylık otomatik tarama, yeni eklenen sayfalar ve güncellemeler de tarama kapsamına girer. Bir önceki taramayla karşılaştırılır: yeni mi, kapandı mı, devam mı ediyor gösterilir.

İç ağ uygulamaları da taranabilir

İnternete açık web sitelerinden başlayarak, iç VPN uygulamaları, yönetim panelleri ve mikro-servisler de taranabilir (müşteri ağına erişim gerekir).

Nasıl çalışır

Kurulumdan rapora.

01
Taranacak URL ekleyin

Web uygulamasının kök URL'sini panele girin. Gerekirse kimlik doğrulama (kullanıcı/parola, session token) da tanımlayın — oturum gerektiren sayfalar da taranır.
02
Otomatik keşif

Uygulama tüm linkler takip edilerek gezilir: formlar, arama kutuları, filtreler, sıralama parametreleri keşfedilir. Gizli uç noktalar da bulunabilir.
03
SQL enjeksiyonu taraması

Her parametre sqlmap ile test edilir. Zafiyetin kapsamı (veritabanı türü, sürümü, erişim seviyesi) belirlenir.
04
Bulgu doğrulaması

Her teyit edilen enjeksiyon noktası kanıt (payload ve yanıt görseli) ile raporlanır. Yanlış pozitif filtrelenir.
05
Rapor ve öneriler

Bulgular kritikten kabul edilebilire sıralanır. Düzeltme önerileri ve OWASP eşlemesi PDF'ye yazılır. Sonraki taramada karşılaştırma yapılır.

Teknik ayrıntılar

Teknik künye.

Tarama motoru: sqlmap — en kapsamlı SQL enjeksiyonu tester
Parametre test yöntemi: UNION-based, time-based, Boolean blind, error-based, stacked queries
Desteklenen veritabanı türleri: MySQL, PostgreSQL, Microsoft SQL Server, Oracle, SQLite, MongoDB ve diğerleri
Bulgu kanıtı: Her SQL enjeksiyonu noktası payload, veri tabanı yanıtı ve Türkçe/İngilizce açıklamayla raporlanır
Bulgular: Yalnızca teyit edilmiş ve kanıtlanmış enjeksiyon noktaları raporlanır
OWASP eşlemesi: A03:2021 Injection ve ilişkili kategoriler
Tarama sıklığı: Elle başlatma veya aylık otomatik döngü
Raporlama: PDF, HTML panel, bulgu detayları, düzeltme kodu örnekleri

Sık sorulanlar

Sık sorulan sorular.

Enjeksiyon noktasına erişebiliyor musunuz, veri çekeceğiniz mi?

Hayır. Biz enjeksiyonun varlığını ve kapsamını doğrulayıp raporlarız. Müşteri verisi çekmeyiz — sadece enjeksiyon yapılabileceğini kanıtlarız. Düzeltme sonrasında ikinci tarama ile kapatıldığını doğrularız.

Kimlik doğrulama gerektiren sayfalar da taranabiliyor mu?

Evet. Oturum bilgisi (cookie, token) tanımlarsanız giriş gerektiren alanlar da taranır. İç yönetim panelleri, üye alanları, API uç noktaları dahil.

Tarama web siteme zarar verir mi?

Hayır. sqlmap test parametreleri önceden veri tabanını etkilemeyecek biçimde tanımlanır. Yazma komutu yok, veri değiştirilmez — yalnız bilgi çekilir. Ürün salt-okunur testler yapar.

İlgili hizmetler