Yukarıdaki ekran görüntüsü alabilmek için form method değerini Firebug ile GET yaptım. Konuyla ilgili geridönüş olursa durumu bu yazıyı güncelleyerek size ileteceğim.

Güncelleme: Aşağıdaki yorumda Bahadır Bey’in belirttiğine göre açık kapatılmış

McAfee’nin yeni ürünü SiteAdvisor, internetteki siteleri güvenlik testlerine tabi tutarak, manuel analizler yaparak ve kullanıcılardan gelen yorumlar sayesinde kullandığımız tarayıcı aracılığyla bizi casus yazılım, spam, virus ve aldatmacalara (phishing) karşı uyaran üzcretsiz bir uygulama.

Firefox ve Internet Explorer’a eklenti şekline yüklenebiliyor. Bana ilginç gelen bir nokta ise bilgisayarımda yüklü olan AVG-AntiVirus’un de benzer bir özelliğinin olduğu ve arama sonuçlarında AVG’nin güvenli olarak gördüğü siteler’in bazılarının SiteAdvisor tarafından güvensiz olarak işaretlenmesi

Bugün Arslan’nın farkettiği ve bana ilettiği bir açığı sizinle paylaşmak istiyorum. Sadece Firefox’ta çalışan bu açık sayesinde adres satırına http://www.finansbank.com.tr den sonra bir “.” (nokta) koyduğumuz zaman JSP kaynak kodu görülebiliyor (Ör; http://www.finansbank.com.tr./SearchResults.jsp). Bu açık sayesinde bu alan adındaki tüm jsp ve include dosyalarının kaynak kodunu görmek mümkün. Ancak aynı açık https‘den çalışan, bireysel bankacılık giriş adresi olan https://intbank.finansbank.com.tr alt alanadı için geçerli değil. Çok ciddi bir açık, konuyu ilgililere bir an önce ileteceğiz.

Güncelleme: Finansbank yetkilisi Gülay Şahin beni aradı ve durumu kendisine anlattım ve yazılım ekibine iletmesi için örnekler içeren bir email attım. Kısa süre sonra baktığımda artık kaynak kodu yerine “Not Found” sayfasını gördüm. Sorun düzeldikten sonra da bir teşekkür telefonu aldım.

Bugün Türkiye’nin popüler alışveriş sitesi Teketek.com‘da ürünlere gözatarken, XSS‘i (Cross-Site Scripting) test amacıyla arama kutusuna JavaScript kodu yazdım ve çalıştı
İşini ciddiye alan bir alışveriş sitesinden böyle ciddi bir açık beklemediğim için önce şaşırdım, daha sonra bu konuyu yetkililere email ile ilettim. XSS için filtreleme sağlayan PHP Input Filter Class‘ını önerdim. (Bu arada ASP.NET (2.0, 1.1) kullanan web siteleri ise XSS’e karşı Anti-XSS Library 1.5‘i indirip kullanabilirler).

Umarım bu açık ciddi suistimallere neden olmadan çabucak kapatılır.

Güncelleme (18.03.2008): Bugün Teketek Mağaza Müdürü Ferhat Sarıhan’dan aldığım email’e göre açık kapatılmış. Mutlu son .