Blog
Mert Özen'in yazılım geliştirme, backend, frontend ve DevOps üzerine blog yazıları.
OWASP Top 10:2017: XXE, Insecure Deserialization ve Bugüne Kalan Dersler
OWASP Top 10:2017 listesini, yazıldığı dönemin web'ini ve 2013'ten 2017'ye değişenleri inceliyoruz. XXE'nin .NET 10'da varsayılan olarak nasıl reddedildiğini gerçek bir istekle, BinaryFormatter'ın neden artık derlenmediğini ve çalışmadığını kodla görüyor, XSS'in ayrı kategori olduğu yılları bugünkü listeyle karşılaştırıyoruz.
OWASP A02: Security Misconfiguration — Hata Sayfaları, OpenAPI, Header'lar ve XXE
Kod aynı, ayarlar yanlış: Production'da koşulsuz açılmış developer exception page stack trace'i döküyor, unutulmuş MapOpenApi satırı API'nin bütün haritasını müşteriye veriyor. ProblemDetails, ortam bazında yapılandırma, AllowedHosts, kapatılan Server header'ı, CSP ve nosniff için küçük bir middleware ve HSTS'in localhost'ta neden görünmediğiyle düzeltiyor; son olarak DTD içeren bir XML belgesini reddeden sıkı bir XmlReader kuruyoruz.