Blog
Mert Özen'in yazılım geliştirme, backend, frontend ve DevOps üzerine blog yazıları.
OWASP Top 10: 2017'den 2021'e, Semptomdan Kök Nedene
2017 listesinin 2021'de nasıl yeniden kurulduğunu inceliyoruz: Sensitive Data Exposure'dan Cryptographic Failures'a, Broken Access Control'ün bir numaraya çıkışı, XSS'in Injection'a katılması, Insecure Design ve SSRF'in gelişi. Küçük bir .NET örneğiyle SQL parametresi ile HTML encoding'in aynı kök nedene verilen cevap olduğunu gösteriyor, 2021 metodolojisini rakamlarıyla anlatıyoruz.
OWASP A05: Injection (1) — SQL Injection ve Command Injection
Aynı kitap arama endpoint'ini string birleştirme, ADO.NET parametresi, Dapper ve EF Core ile yazıyor, ' OR 1=1 -- girdisinin parametreyle nasıl sıradan bir veriye dönüştüğünü görüyoruz. FromSqlRaw ile FromSql farkını EF1002 uyarısı ve ToQueryString ile inceliyor, Process.Start'ta shell yerine ArgumentList ve allowlist kullanıyor, .NET 10'un yerleşik doğrulamasıyla input validation'ın yerini netleştiriyoruz.