Siteyi çevrimiçi güvenlik denetiminden geçirdim — ciddi zafiyetler çıktı, inanalım mı?

Yavuz D***6 ay önce·41 mesaj·4,7 B görüntülenme#site güvenliği #güvenlik denetimi #zafiyet tarama #açık analizi

Görev: Saha satış temsilcisi
Sektör: Danışmanlık
Yapı: aile şirketi
Katılım: May 2025
Mesaj: 206

6 ay önce#1

Moskova'da tekstil ve toptan giyim üzerine çalışan küçük ölçekli bi e-ticaret sitemiz var. Yılda yaklaşık 1.500 sipariş alıyoruz ve altyapı olarak açık kaynaklı bi e-ticaret yazılımı kullanıyoruz. Geçen gün merak edip internette arattığım popüler ve ücretsiz bi otomatik güvenlik tarayıcısına sitemizin adresini yazdım.

Çıkan raporda iki adet 'Kritik' dört adet de 'Yüksek Seviye' güvenlik açığı olduğu yazıyordu. Özellikle veritabanına doğrudan sızılabileceği ve sunucu başlıklarının eksik olduğu gibi korkutucu maddeler sıralanmış. Kırmızı renkli uyarıları görünce panikledim; bir anda tüm sipariş ve müşteri verilerimiz tehlikedeymiş gibi hissettim.

Dışarıdan bi uzmana sorduğumda detaylı manuel denetim için 45.000 Ruble teklif verdi. Gerçekten bu ücretsiz web araçlarının bulduğu uyarılara güvenmeli miyiz, yoksa sistemleri bizi korkutup hizmet satmaya mı çalışıyor? Hangilerini dikkate almalıyım?

Tuğçe Y***Uzman

Görev: İçerik editörü
Sektör: E-ticaret
Yapı: 20 kişilik firma
Katılım: Eki 2025
Mesaj: 215

6 ay önceEn çok yardımcı olan#2

Kısa cevap: Ücretsiz otomatik tarayıcıların ürettiği raporlara körü körüne inanmamalısınız çünkü bu araçlar derinlemesine bağlamı bilmeden yüzeysel imza eşleştirmesi yapar. Çıkan sonuçların önemli bi kısmı zararsız yapılandırma farklarından doğan asılsız uyarılardır. Ancak veritabanı enjeksiyonu veya açık port gibi uyarıları tamamen yok saymak yerine temel kontrollerle filtrelemeniz gerekir.

Otomatik araçlar çoğunlukla sunucunuzun döndürdüğü HTTP başlıklarına bakar. Örneğin çerçeve kısıtlama başlığı eksikse veya sunucu sürümü gizlenmemişse bunu hemen kritik bir tehdit gibi gösterebilir. Aslında bu eksiklikler tek başına sitenizi patlatmaz, sadece saldırganın işini kolaylaştırabilecek bilgi kırıntılarıdır. Gerçekten tehlikeli olanlar; yönetici paneli şifresiz bırakılmış dizinler, güncellenmemiş eklentiler ve formlar üzerinden veri çekilmesine izin veren komut açıklandır.

Sorunu netleştirmek için şu adımları izleyin: 1) Form alanlarınıza tırnak gibi özel karakterler girerek sistemin hata verip vermediğini manuel test edin, 2) Eklentilerin ve temanın son sürümlerini kontrol edip eksik yamaları kapatın 3) Sunucunuzda kullanılmayan tüm portları kapatın. Eğer sitenizde müşteri kredi kartı bilgileri saklanmıyorsa ve harici ödeme sayfası kullanıyorsanız, 45.000 Ruble harcamadan önce bu temel adımları kendi bünyenizde tamamlayıp ücretsiz taramayı tekrarlayın.

Koray E***Uzman

Görev: Yazılım geliştirici
Sektör: Ambalaj
Yapı: zincir mağaza
Katılım: Eyl 2023
Mesaj: 25

6 ay önce#3

Tarayıcılar genelde sadece sunucu başlığındaki Apache ya da Nginx sürüm numarasını okur ve o sürümün genel veritabanındaki tüm eski açıklarını rapora döker. Oysa sunucunuzda o açığın yaması arka planda kurulu olabilir. Sürüm bilgisini dışarıya gizlerseniz raporlardaki uyarıların çoğu kaybolur.

Nuri E***Uzman

Görev: Genel koordinatör
Sektör: Deri
Yapı: bölge bayisi
Katılım: Şub 2023
Mesaj: 386

6 ay önce#4

Ücretsiz tarama yapan sitelerin büyük kısmı pazarlama hunisidir. Önünüze kırmızı logolar ve korkutucu puanlar koyup hemen altta 'Tek tıkla zafiyetleri temizleyin' butonu çıkartırlar. Ortada gerçek bir sızma testi değil hizmet satmak için kurgulanmış bir korku senaryosu var.

Pınar K***KatılımcıTopluluk üyesi

Katılım: Nis 2023
Mesaj: 95

6 ay önce#5

Yıllardır e-ticaret siteleri yönetiyorum; panikle bana gelen müşterilerin raporlarının büyük kısmında gerçek bir risk yoktu. Otomatik araçlar fikir verir ama yol haritası çizemez. Size tavsiyem, sitenin günlük yedekleme sıklığını artırın ve yönetici paneline iki adımlı doğrulama kurun.

Feyza S***Uzman

Görev: İhracat sorumlusu
Sektör: Kozmetik
Yapı: aile şirketi
Katılım: Şub 2024
Mesaj: 99

6 ay önce#6

Hemen bütçe harcamayın. Önce sitenizdeki yönetim paneli bağlantısını varsayılandan farklı bir adrese taşıyın. Ardından sunucu tarafında web güvenlik duvarı aktif mi kontrol edin. Bu iki basit adım dışarıdan gelen otomatik taramaların çoğunu zaten etkisiz kılar.

Emre K***Katılımcı

Görev: Kurye koordinatörü
Sektör: Hukuk
Yapı: kooperatif
Katılım: Şub 2025
Mesaj: 1

6 ay önce#7

Kendi sitemizde benzer bir araç beş kritik açık çıkarmıştı. Yazılımcımıza incelettiğimde dördü asılsız çıktı, yalnızca biri eski bir iletişim formu eklentisiydi. O eklentiyi kaldırıp alternatifini kurmamız yarım saat sürdü ve bütçemizden tek bir Ruble dahi çıkmadı.

Efe Y***Katılımcı

Görev: Şantiye şefi
Sektör: Deri
Yapı: butik ajans
Katılım: Tem 2025
Mesaj: 367

6 ay önce#8

otomatik araçlar genelde robot gibi sadece başlıkları okur geçer. formları tek tek deneyip veri çalabiliyor mu bakmaz... panik yapıp para dökmeden önce ücretsiz açık kaynak kodlu başka bi tarayıcıyla daha deneyin bnc.

Hasan U***KatılımcıTopluluk üyesi

Katılım: May 2024
Mesaj: 41

6 ay önce#9

Sitenizde ödeme adımı nasıl işliyor? Kart bilgilerini doğrudan sitenizdeki formda mı alıyorsunuz yoksa müşteriyi harici bir banka sayfasına mı yönlendiriyorsunuz? Harici ödeme kullanıyorsanız kart sızıntısı riski zaten olmaz, sadece müşteri adres listesi riske girer.

not: bunu kendi deneyimim olarak yazdım, herkeste böyle olmayabilir.

Feyza Y***KatılımcıTopluluk üyesi

Katılım: Oca 2024
Mesaj: 61

6 ay önce#10

Toparlamak gerekirse: Raporlardaki kırmızı uyarılara bakıp hemen 45.000 Ruble harcamayın. Açıkların çoğu sürüm bilgisi ve eksik güvenlik başlıklarından ibarettir. Yazılımlarınızı güncelleyin, iki adımlı doğrulamayı açın ve gerekirse sadece spesifik eklentiler için uzman görüşü alın.