Blog
Mert Özen'in yazılım geliştirme, backend, frontend ve DevOps üzerine blog yazıları.
OWASP A04: Cryptographic Failures (1) — Encoding, Hashing, Encryption ve HTTPS
Base64 neden şifreleme değil, hash ile encryption arasındaki fark ne? AES-GCM ile değiştirilen veriyi yakalıyor, parola sıfırlama kodunda Random yerine RandomNumberGenerator kullanıyor, MD5'in parola için neden yanlış olduğunu görüyor, CA5351 ve CA5394 analyzer'larını açıyor, ASP.NET Core'da HTTPS yönlendirmesi ve HSTS varsayılanlarını curl ile inceliyoruz.
OWASP A03: Software Supply Chain Failures — NuGetAudit, npm audit ve SRI
A03:2025 Software Supply Chain Failures neden ayrı bir kategori? event-stream, Log4Shell, xz, polyfill.io ve 2025 npm olaylarından dersler; net10.0'da transitive bağımlılıkları da tarayan NuGetAudit, build'i kıran uyarılar, lock dosyaları, npm audit ve npm ci, CDN script'i için SRI, CycloneDX ile SBOM, provenance ve Dependabot.
OWASP A02: Security Misconfiguration — Hata Sayfaları, OpenAPI, Header'lar ve XXE
Kod aynı, ayarlar yanlış: Production'da koşulsuz açılmış developer exception page stack trace'i döküyor, unutulmuş MapOpenApi satırı API'nin bütün haritasını müşteriye veriyor. ProblemDetails, ortam bazında yapılandırma, AllowedHosts, kapatılan Server header'ı, CSP ve nosniff için küçük bir middleware ve HSTS'in localhost'ta neden görünmediğiyle düzeltiyor; son olarak DTD içeren bir XML belgesini reddeden sıkı bir XmlReader kuruyoruz.
OWASP A01: Broken Access Control (2) — Path Traversal, CORS ve SSRF
Dosya adını istemciden alan bir indirme endpoint'i, her origin'i geri yazan bir CORS policy'si ve verilen URL'ye istek atan bir kapak indirme kodu. Üç zafiyetli kalıbı inceleyip kanonik yol kontrolü, origin'leri tek tek listeleyen bir policy ve allowlist, kapalı yönlendirme ve ConnectCallback ile IP kontrolü yapan bir HttpClient ile kapatıyor; düzeltilmiş kodun kötü girdiyi nasıl reddettiğini lab'da görüyoruz.
OWASP A01: Broken Access Control (1) — IDOR, Admin Endpoint'leri ve ASP.NET Core'da Yetkilendirme
Giriş yapmış Alan, sipariş numarasını değiştirerek Grace'in siparişini okuyor ve rol kontrolü unutulmuş admin endpoint'inden bütün kullanıcıları alıyor. İki açığı lab'da gösterip policy'ler, IAuthorizationService ile resource-based authorization ve fallback policy ile deny by default yaklaşımıyla kapatıyor, 403 ile 404 arasındaki seçimi ve .NET 10'un cookie yönlendirme değişikliğini konuşuyoruz.
Güvenlik Laboratuvarı: ASP.NET Core 10 ile Bookstore API ve HTTP'yi curl ile Okumak
Serinin geri kalanında kullanacağımız lab'ı kuruyoruz: SQLite kullanan bir ASP.NET Core 10 minimal API. curl -i ile method, status code, header ve cookie'leri güvenlik gözüyle okuyor, aynı hatanın Development ve Production'da istemciye nasıl farklı döndüğünü, HTTPS geliştirme sertifikasını ve lab kurallarını görüyoruz.
Web Güvenliğine Giriş: OWASP Top 10:2025 Nedir, Nasıl Okunur?
Güvenlik neden sonradan eklenen bir özellik olamaz? Başka bir müşterinin siparişini döndüren küçük bir endpoint'le başlıyor, CIA üçlüsünü ve saldırı yüzeyini, OWASP'ı ve Top 10'un neden bir standart değil farkındalık belgesi olduğunu, listenin veri ve anketle nasıl hazırlandığını ve 2025 listesinin on kategorisini görüyoruz.