25 October 2016 - iscturkey International 9. Cyber Security and Cryptology Conference

1. BGA BANK Ultimate
İSTISMAR EDILEBILIR ÇEVRİM İÇİ BANKACILIK
UYGULAMASI
HARUN TAMOKUR CÜNEYT BAYILMIŞ
FORD OTOMOTIV SAN. A.Ş.,KOCAELI, TÜRKİYE SAKARYA ÜNIVERSITESI, BILGISAYAR VE BILIŞIM BILIMLERI FAKÜLTESI
HTAMOKUR@FORD.COM.TR BILGISAYAR MÜHENDISLIĞI BÖLÜMÜ,SAKARYA, TÜRKİYE
CBAYILMIS@SAKARYA.EDU.TR
HUZEYFE ÖNAL
BGA BILGI GÜVENLIĞI LTD.
İSTANBUL, TÜRKİYE
HUZEYFE.ONAL@BGA.COM.TR

2. Dünyadaki Atak Tiplerinin Dağılımı

3. Web Güvenliği Atak Tiplerinin Dağılımı

4. Ülkemizin Siber Saldırılarda Dünyadaki
Yeri-2015

5. Yüzdelerden Çıkarılacak Sonuçlar
 Giderek artmakta olan siber saldırı olaylarına müdahale anında ve kesin
olmalı
 Daha fazla güvenlik personeline ihtiyaç duyulmaktadır
 Bilgilendirme toplantıları ve eğitim ortamlarına ihtiyaç duyulmaktadır
 Owasp WebGoat, Acunetix Test Pages, bWAPP, DVWA gibi uygulamalara
alternatif olarak gerçek senaryoları barındıran BGA BANK projesi
geliştirilmiştir.

6. BGA BANK
 BGA BANK istismar edilebilir bir bankacılık uygulamasıdır.
 Yurt dışı kaynaklı güvenlik firmalarının da benzeri istismar edilebilir
uygulamaları vardır.
 Projenin onlardan farklı ise gerçek bir bankacılık senaryosu üzerine
kurulmuş olmasıdır.
 Önceki BGA BANK sürümünde tek güvenlik seviyesi-Güvensiz
 Önceki BGA BANK sürümü PHP yazılım dilinde kodlanmıştı

7. BGA BANK Ultimate
 BGA BANK Ultimate 3 aşamalı güvenlik seviyesine sahiptir.
 Güvensiz
 WAF-Web Uygulama Güvenlik Duvarı (Modsecurity)
 Güvenli
 BGA BANK Ultimate ASP.Net platformunda C# yazılım diliyle geliştirilmiştir.
 BGA BANK Ultimate TÜBİTAK 2209-B - Sanayi Odaklı
Lisans Bitirme Tezi Destekleme Programı kapsamında
desteklenmiştir.

8. Uygulamadaki Zayıflık Tipleri

9. Başlangıç Sayfası

10. Anasayfa – Haber Arama Menüsü

11. Başvuru Sayfası

12. Bireysel Giriş-Authentication Bypass
Müşteri Numarası :100001
Şifre: ' or 1=1--

13. Kullanıcı Anasayfası

14. Müşteri Memnuniyeti-Stored XSS
Örnek payload(zararlı kod):
"><script>document.write(document.cookie)
</script>

15. Haber Arama Sayfası-SQL Injection
Açıklığı

16. SQL Injection İstismarı

17. MSSQL Sunucusunda Klasöre Veri
Yazmayı Aktifleştirme
 EXEC sp_configure 'show advanced options', 1
 EXEC sp_configure reconfigure
 EXEC sp_configure 'xp_cmdshell', 1
 EXEC sp_configure reconfigure

18. Veri Yazdırma
 www.bgabank.ultimate.com/g_arama.aspx?kelime=1"' exec xp_cmdshell
'echo veri yazdırılıyor >> c:/inetpub/yeni.txt';-

19. Hesap Özeti

20. IDOR-Güvensiz Doğrudan Nesne
Referansı
 Aynı sayfada farklı bir kullanıcının hesap bilgilerine ulaşılması

21. Sonuçlar
 Yazılımcılar daha uygulamayı kodlama aşamasında açıklıklara karşı gerekli
önlemlerini almalı.
 Bu tür uygulamalar son kullanıcılar, yazılımcılar ve güvenlik araştırmacıları
için tehlikeyi yerinde görmek amacıyla önem arz etmektedir.
 Tehlikeli girdilere karşı gerekli önlemler hem yazılımcı hemde son kullanıcı
tarafından alınmış olmalı.(Tarayıcı özellikleri vb.)
 Kişiler bilgilendirilmeli ve bilgiler her zaman güncellenmelidir.

22. Dinlediğiniz İçin Teşekkürler
 Harun Tamokur
 www.haruntamokur.com
 Twitter: @Haruntamokur
 Github: https://github.com/haruntmkr