G\u00fcvenli olmayan seri durumdan \u00e7\u0131karma, web uygulamalar\u0131nda bulunan ve sald\u0131rganlar\u0131n verileri manip\u00fcle etmesine ve seri durumdan \u00e7\u0131karma s\u00fcrecinden yararlanarak potansiyel olarak rastgele kod \u00e7al\u0131\u015ft\u0131rmas\u0131na olanak tan\u0131yan bir g\u00fcvenlik a\u00e7\u0131\u011f\u0131d\u0131r. Bu g\u00fcvenlik kusuru, bir uygulaman\u0131n seri hale getirilmi\u015f verileri uygun do\u011frulama olmaks\u0131z\u0131n k\u00f6r\u00fc k\u00f6r\u00fcne nesnelere d\u00f6n\u00fc\u015ft\u00fcrmesi durumunda ortaya \u00e7\u0131kar; bu da yetkisiz eri\u015fim, verilere m\u00fcdahale ve uzaktan kod y\u00fcr\u00fctme gibi ciddi sonu\u00e7lara yol a\u00e7ar.<\/p>\n
Serile\u015ftirme kavram\u0131, geli\u015ftiricilerin verileri verimli bir \u015fekilde depolamak ve iletmek i\u00e7in bir yola ihtiya\u00e7 duydu\u011fu bilgi i\u015flemin ilk g\u00fcnlerine kadar uzan\u0131r. G\u00fcvenli olmayan seri durumdan \u00e7\u0131karman\u0131n bir g\u00fcvenlik sorunu olarak ilk s\u00f6z\u00fc, Philippe Delteil ve Stefano Di Paola'n\u0131n 2006 y\u0131l\u0131nda OWASP AppSec konferans\u0131nda yapt\u0131klar\u0131 sunuma kadar uzanabilir. Onlar, seri durumdan \u00e7\u0131karma g\u00fcvenlik a\u00e7\u0131klar\u0131yla ili\u015fkili riskleri vurgulad\u0131lar ve bu konuda daha fazla ara\u015ft\u0131rma ve fark\u0131ndal\u0131\u011f\u0131n \u00f6n\u00fcn\u00fc a\u00e7t\u0131lar. g\u00fcvenlik toplulu\u011fu.<\/p>\n
G\u00fcvenli olmayan seri durumdan \u00e7\u0131karma, bir uygulama genellikle JSON, XML veya PHP'nin yerel serile\u015ftirmesi gibi formatlardaki serile\u015ftirilmi\u015f verileri al\u0131p onu tekrar nesnelere veya veri yap\u0131lar\u0131na d\u00f6n\u00fc\u015ft\u00fcrd\u00fc\u011f\u00fcnde meydana gelir. Sald\u0131rganlar, uygulamay\u0131 rastgele kod y\u00fcr\u00fctmeye y\u00f6nlendirmek i\u00e7in k\u00f6t\u00fc niyetli olarak manip\u00fcle edilmi\u015f serile\u015ftirilmi\u015f veriler i\u015fleyerek bu s\u00fcre\u00e7ten yararlanabilirler.<\/p>\n
Seri durumdan \u00e7\u0131karma i\u015flemi s\u0131ras\u0131nda, uygulama genellikle kar\u015f\u0131l\u0131k gelen s\u0131n\u0131f olu\u015fturucular\u0131n\u0131 veya fabrika y\u00f6ntemlerini \u00e7a\u011f\u0131rarak serile\u015ftirilmi\u015f verilerden nesneleri yeniden olu\u015fturur. Ana sorun, bu s\u00fcre\u00e7 s\u0131ras\u0131nda uygun giri\u015f do\u011frulamas\u0131n\u0131n olmamas\u0131 ve yetersiz g\u00fcvenlik kontrollerinde yatmaktad\u0131r. Sald\u0131rganlar serile\u015ftirilmi\u015f verilere m\u00fcdahale edebilir, zararl\u0131 veriler ekleyebilir veya nesne \u00f6zelliklerini de\u011fi\u015ftirebilir, bu da istenmeyen davran\u0131\u015flara ve hatta uygulaman\u0131n tamamen tehlikeye at\u0131lmas\u0131na yol a\u00e7abilir.<\/p>\n
G\u00fcvenli olmayan seri durumdan \u00e7\u0131karma g\u00fcvenlik a\u00e7\u0131klar\u0131, serile\u015ftirilmi\u015f verilerin i\u015flenme bi\u00e7iminden kaynaklan\u0131r. A\u015fa\u011f\u0131daki ad\u0131mlar nas\u0131l \u00e7al\u0131\u015ft\u0131\u011f\u0131n\u0131 g\u00f6stermektedir:<\/p>\n
Serile\u015ftirme: Uygulama, depolamay\u0131 veya iletimi kolayla\u015ft\u0131rmak i\u00e7in nesneleri veya veri yap\u0131lar\u0131n\u0131 serile\u015ftirilmi\u015f bir formata (\u00f6rne\u011fin, JSON veya XML) d\u00f6n\u00fc\u015ft\u00fcr\u00fcr.<\/p>\n<\/li>\n
Seri durumdan \u00e7\u0131karma: Uygulama serile\u015ftirilmi\u015f verileri al\u0131r ve orijinal nesneleri veya veri yap\u0131lar\u0131n\u0131 yeniden olu\u015fturur.<\/p>\n<\/li>\n
Do\u011frulama Eksikli\u011fi: G\u00fcvenli olmayan seri durumdan \u00e7\u0131karma, uygulaman\u0131n gelen serile\u015ftirilmi\u015f verileri do\u011frulayamamas\u0131 ve verilerin her zaman g\u00fcvenilir kaynaklardan geldi\u011fini varsayarak ortaya \u00e7\u0131kar.<\/p>\n<\/li>\n
K\u00f6t\u00fc Ama\u00e7l\u0131 Y\u00fckler: Sald\u0131rganlar, manip\u00fcle edilmi\u015f serile\u015ftirilmi\u015f verileri dikkatlice haz\u0131rlar, zararl\u0131 kodlar yerle\u015ftirir veya serile\u015ftirilmi\u015f nesnelerin \u00f6zelliklerini de\u011fi\u015ftirir.<\/p>\n<\/li>\n
Kod Y\u00fcr\u00fctme: De\u011fi\u015ftirilen serile\u015ftirilmi\u015f veriler seri durumdan \u00e7\u0131kar\u0131ld\u0131\u011f\u0131nda, uygulama bilmeden k\u00f6t\u00fc ama\u00e7l\u0131 kodu \u00e7al\u0131\u015ft\u0131r\u0131r ve bu da potansiyel istismarlara yol a\u00e7ar.<\/p>\n<\/li>\n<\/ol>\n
G\u00fcvenli olmayan seri durumdan \u00e7\u0131karman\u0131n temel \u00f6zellikleri a\u015fa\u011f\u0131daki gibi \u00f6zetlenebilir:<\/p>\n
Kullan\u0131m Kolayl\u0131\u011f\u0131<\/strong>: G\u00fcvenli olmayan seri durumdan yararlanman\u0131n istismar edilmesi nispeten kolayd\u0131r, bu da onu sald\u0131rganlar i\u00e7in pop\u00fcler bir hedef haline getirir.<\/p>\n<\/li>\n Gizli Sald\u0131r\u0131lar<\/strong>: Seri durumdan \u00e7\u0131karma g\u00fcvenlik a\u00e7\u0131klar\u0131 herhangi bir dosya y\u00fckleme veya do\u011frudan kod ekleme gerektirmedi\u011finden, sald\u0131rganlar geleneksel g\u00fcvenlik \u00f6nlemlerinden ka\u00e7arak gizlice \u00e7al\u0131\u015fabilir.<\/p>\n<\/li>\n Etkili Sonu\u00e7lar<\/strong>: Ba\u015far\u0131l\u0131 sald\u0131r\u0131lar, yetkisiz eri\u015fime, verilere m\u00fcdahaleye veya uzaktan kod y\u00fcr\u00fct\u00fclmesine neden olabilir ve bu da potansiyel olarak sistemin tamamen tehlikeye girmesine yol a\u00e7abilir.<\/p>\n<\/li>\n Tahmin Edilemeyen Y\u00fckler<\/strong>: Sald\u0131rganlar, uygulamadan benzersiz ve beklenmedik \u015fekillerde yararlanmak i\u00e7in \u00f6zel veriler olu\u015fturabilir.<\/p>\n<\/li>\n<\/ul>\n G\u00fcvenli olmayan seri durumdan \u00e7\u0131karma g\u00fcvenlik a\u00e7\u0131klar\u0131, belirli sald\u0131r\u0131 vekt\u00f6rlerine veya kullan\u0131lan programlama diline ba\u011fl\u0131 olarak farkl\u0131 t\u00fcrlere ayr\u0131labilir. \u0130\u015fte baz\u0131 yayg\u0131n t\u00fcrler:<\/p>\nG\u00fcvenli Olmayan Seriden \u00c7\u0131karma T\u00fcrleri<\/h2>\n