Input Validation Cheat Sheet tr - Revision history

Adil Hafa at 10:21, 22 August 2013

2013-08-22T10:21:55Z

Adil Hafa at 10:15, 22 August 2013

2013-08-22T10:15:29Z

Adil Hafa at 14:42, 16 August 2013

2013-08-16T14:42:20Z

Adil Hafa at 18:58, 8 August 2013

2013-08-08T18:58:56Z

Adil Hafa: \.

2013-08-08T18:58:10Z

Adil Hafa at 18:20, 8 August 2013

2013-08-08T18:20:10Z

Adil Hafa at 18:09, 8 August 2013

2013-08-08T18:09:25Z

Adil Hafa: Created page with " == Giriş == Bu makale, uygulamalarınızda kullanılan girdi doğrulama işlevsellikleri için temiz,basit ve dava edilebilir noktalar üzerinde rehber olmaya odaklanmışt..."

2013-08-08T18:07:30Z

Created page with " == Giriş == Bu makale, uygulamalarınızda kullanılan girdi doğrulama işlevsellikleri için temiz,basit ve dava edilebilir noktalar üzerinde rehber olmaya odaklanmışt..."

New page

== Giriş ==

Bu makale, uygulamalarınızda kullanılan girdi doğrulama işlevsellikleri için temiz,basit ve dava edilebilir noktalar üzerinde rehber olmaya odaklanmıştır.

== Girdi Doğrulaması Beyaz Liste ==

Saldırıyı mümkün olduğunca en erken aşamada, kullanıcı/saldırganın isteğini işleme tabi tutma aşamasında önlemek/önlemeye çalışmak tavsiye edilir. Girdi doğrulaması, girdinin uygulama tarafından işlenmesinden hemen önce izin verilmeyen girdileri tespit etmek için kullanılabilir. Yazılım geliştiriciler saldırı karakterlerini ve “'”,”1=1” gibi karakter dizileri yada “<script>” biçimlerini tespit edebilmek için sıklıkla kara liste doğrulamasını uygularlar,fakat bu yöntem tek olarak kullanıldığında saldırgan için kara listede ki filtrelerden kaçınmak için sadece küçük bir test olacağından dolayı tam olarak sağlıklı bir yaklaşım olmaz. Buna artı olarak, bu tür filtreler çoğu zaman “O'Brian” örneğinde olduğu gibi izin verilen girdileri de (kesme işareti) “'” filtrelendiği için engelleyebilmektedir.
Beyaz liste doğrulaması, kullanıcı tarafından sağlanan tüm girdi alanları için uygundur. Beyaz liste doğrulaması tam olarak neye veya nelere izin verileceğinin tanımlarını içerir ve bunların dışında kalan herşey ise yetkilendirilmeyecektir. Eğer girdi veri yapısı düzenli ise (mesela tarihler,sosyal güvenlik numaraları,posta kodları,eposta adresleri gibi) o zaman yazılım geliştirici her girdiyi doğrulamak için genellikle düzenli ifadelere dayalı olarak çok güçlü doğrulama motifleri tanımlayabilir. Eğer girdi alanı aşağı açılan bir listeden veya radyo düğmeleri tanımlanmış mevcut bir kümeden belirleniyorsa, o zaman ilk olarak girdi verisi kullanıcıya sunulan değerlerden biri ile eşleşmelidir. Doğrulaması en zor alanlar “özgür yazım alanları” (free text) olarak da bilinen alanlardır, bloglar gibi. Fakat, bu alanlar belirli bir dereceye kadar doğrulanabilse bile, yazdırılamayan karakterleri çıkarıp girdi alanı için maksimum kapasite tanımlaması yapabilirsiniz.
Düzenli ifadeleri geliştirmek karmaşık olabilir ve bu kılavuz dökümanının içeriğinde değildir. Lakin, internet üzerinde düzenli ifadeleri geliştirebilmek için birçok kaynak bulunabilir http://www.regular-expressions.info/ ve OWASP Validation Regex Repository.

@@ Line 10: / Line 10: @@
 Beyaz liste doğrulaması, kullanıcı tarafından sağlanan tüm girdi alanları için uygundur. Beyaz liste doğrulaması tam olarak neye veya nelere izin verileceğinin tanımlarını içerir ve bunların dışında kalan herşey ise yetkilendirilmeyecektir. Eğer girdi veri yapısı düzenli ise (mesela tarihler,sosyal güvenlik numaraları,posta kodları,eposta adresleri gibi) o zaman yazılım geliştirici her girdiyi doğrulamak için genellikle düzenli ifadelere dayalı olarak çok güçlü doğrulama motifleri tanımlayabilir. Eğer girdi alanı aşağı açılan bir listeden veya radyo düğmeleri tanımlanmış mevcut bir kümeden belirleniyorsa, o zaman ilk olarak girdi verisi kullanıcıya sunulan değerlerden biri ile eşleşmelidir. Doğrulaması en zor alanlar “özgür yazım alanları” (free text) olarak da bilinen alanlardır, bloglar gibi. Fakat, bu alanlar belirli bir dereceye kadar doğrulanabilse bile, yazdırılamayan karakterleri çıkarıp girdi alanı için maksimum kapasite tanımlaması yapabilirsiniz.
-Düzenli ifadeleri geliştirmek karmaşık olabilir ve bu kılavuz dökümanının içeriğinde değildir. Lakin, internet üzerinde düzenli ifadeleri geliştirebilmek için birçok kaynak bulunabilir http://www.regular-expressions.info/ ve [[OWASP Validation Regex Repository]].
+Düzenli ifadeleri geliştirmek karmaşık olabilir ve bu kılavuz dökümanının içeriğinde değildir. Lakin, internet üzerinde düzenli ifadeleri geliştirebilmek için birçok kaynak bulunabilir,,bunlar için http://www.regular-expressions.info/ ve [[OWASP Validation Regex Repository]] adreslerine göz atabilirsiniz.
 Beyaz Liste Regex Örnekleri
@@ Line 18: / Line 18: @@
      ^(AA|AE|AP|AL|AK|AS|AZ|AR|CA|CO|CT|DE|DC|FM|FL|GA|GU|HI|ID|IL|IN|IA|KS|KY|LA|ME|MH|MD|MA|MI|MN|MS|
      MO|MT|NE|NV|NH|NJ|NM|NY|NC|ND|MP|OH|OK|OR|PW|PA|PR|RI|SC|SD|TN|TX|UT|VT|VI|VA|WA|WV|WI|WY)$
 '''Java Regex Kullanım Örnekleri'''
@@ Line 46: / Line 39: @@
 * [http://jakarta.apache.org/commons/validator Apache Commons Validator]
 = Yazar ve Editör =
 Dave Wichers - dave.wichers [at] aspectsecurity.com

@@ Line 25: / Line 25: @@
    Not: Birçok düzenli ifade karakter sınıfları içinde [] kaçışa(escape) .(nokta) ihtiyaç duymaz.
          \. kullanımı "\" ve "." olara iki tam karakter olarak sonuçlanacağından çoğu zaman istenmez.
 '''Java Regex Kullanım Örnekleri'''

@@ Line 22: / Line 22: @@
      ^[a-zA-Z0-9\s._-]+$ 	 (Any number of characters)
      ^[a-zA-Z0-9\s._-]{1-100}$	 (This is better, since it limits this field to 1 to 100 characters)
-   Note: \s alfabe dışı herhangi bir karakteri yakalar (örnek, boşluk, tab, satırbaşı yada satır atlama [ \t\r\n])
+   Not: \s alfabe dışı herhangi bir karakteri yakalar (örnek, boşluk, tab, satırbaşı yada satır atlama [ \t\r\n])
-   Note: Birçok düzenli ifade karakter sınıfları içinde [] kaçışa(escape) .(nokta) ihtiyaç duymaz.
+   Not: Birçok düzenli ifade karakter sınıfları içinde [] kaçışa(escape) .(nokta) ihtiyaç duymaz.
          \. kullanımı "\" ve "." olara iki tam karakter olarak sonuçlanacağından çoğu zaman istenmez.
-   Note: karakter sınıfları içinde [] "-" tire karakterini kullanmak [] düzenli ifadeye bağlıdır, muhtemel çeşitleri: ilk karakterse eğer kaçamaz, son karakterse kaçamaz yada herzaman \- olarak kaçmalıdır.
+   Not: karakter sınıfları içinde [] "-" tire karakterini kullanmak [] düzenli ifadeye bağlıdır, muhtemel çeşitleri: ilk karakterse eğer kaçamaz, son karakterse kaçamaz yada herzaman \- olarak kaçmalıdır.
 '''Java Regex Kullanım Örnekleri'''

@@ Line 23: / Line 23: @@
      ^[a-zA-Z0-9\s._-]{1-100}$	 (This is better, since it limits this field to 1 to 100 characters)
    Note: \s alfabe dışı herhangi bir karakteri yakalar (örnek, boşluk, tab, satırbaşı yada satır atlama [ \t\r\n])
-   Note: most regular expressions flavors do not need to escape the . (dot) inside character classes []
+   Note: Birçok düzenli ifade karakter sınıfları içinde [] kaçışa(escape) .(nokta) ihtiyaç duymaz.
-         using \. then results in two literal characters \ (backslash) and . (dot) which is most likely not wanted
+         \. kullanımı "\" ve "." olara iki tam karakter olarak sonuçlanacağından çoğu zaman istenmez.
-   Note: the use of - inside character classes [] depends on the regular expressions flavors, possible
+   Note: karakter sınıfları içinde [] "-" tire karakterini kullanmak [] düzenli ifadeye bağlıdır, muhtemel çeşitleri: ilk karakterse eğer kaçamaz, son karakterse kaçamaz yada herzaman \- olarak kaçmalıdır.
 '''Java Regex Kullanım Örnekleri'''
-−
-   Example validating the parameter “zip” using a regular expression.
+   Düzenli ifade kullanarak "zip" parametresinin doğrulanması.
    private static final Pattern zipPattern = Pattern.compile("^\d{5}(-\d{4})?$");
@@ Line 45: / Line 44: @@
+   }
-Some white list validators have also been predefined in various open source packages that you can leverage. Two packages that provide this are:
+Bazı beyaz liste doğrulayıcıları faydalanabilmeniz için çeşitli açık kaynak paketleri içerisinde önceden tanımlanmıştır. Altta bu beyaz listeleri sağlayan iki paketi görebilirsiniz.
 * [http://jakarta.apache.org/commons/validator Apache Commons Validator]
 * [[ESAPI | OWASP ESAPI Validators]]
-It is recommended that you use ESAPI to assist with your input validation needs, rather than writing your own validation routines. The [[ESAPI | OWASP Enterprise Security API (ESAPI)]] project has predefined validators defined in the org.owasp.esapi.Validator interface and implemented in the DefaultValidator reference implementation. These include:
 * getValidDate()
 * getValidSafeHTML()
@@ Line 56: / Line 59: @@
 * getValidRedirectLocation()
-With ESAPI, the previous example can be rewritten as follows:
+ESAPI ile bir önce ki örnek altta ki gibi tekrar yazılabilir:
-   Example validating the parameter “zip” with generic ESAPI input validator.
+   Genel ESAPI girdi doğrulayıcısı kullanarak düzenli ifade ile "zip" parametresinin doğrulanması
    public void doPost( HttpServletRequest request, HttpServletResponse response) {
@@ Line 77: / Line 80: @@
    // it even simpler for your developers to use.
-* The overall [http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/index.html javadoc for ESAPI is here]
+* Tam ESAPI [http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/index.html javadoc for ESAPI is here]
-* And the [http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Validator.html javadoc for this specific interface is here].
+* Ve bu spesifik arayüz için java dökümanı: [http://owasp-esapi-java.googlecode.com/svn/trunk_doc/latest/org/owasp/esapi/Validator.html]
-= Authors and Primary Editors  =
+= Yazar ve Editör =
 Dave Wichers - dave.wichers [at] aspectsecurity.com

@@ Line 10: / Line 10: @@
 Beyaz liste doğrulaması, kullanıcı tarafından sağlanan tüm girdi alanları için uygundur. Beyaz liste doğrulaması tam olarak neye veya nelere izin verileceğinin tanımlarını içerir ve bunların dışında kalan herşey ise yetkilendirilmeyecektir. Eğer girdi veri yapısı düzenli ise (mesela tarihler,sosyal güvenlik numaraları,posta kodları,eposta adresleri gibi) o zaman yazılım geliştirici her girdiyi doğrulamak için genellikle düzenli ifadelere dayalı olarak çok güçlü doğrulama motifleri tanımlayabilir. Eğer girdi alanı aşağı açılan bir listeden veya radyo düğmeleri tanımlanmış mevcut bir kümeden belirleniyorsa, o zaman ilk olarak girdi verisi kullanıcıya sunulan değerlerden biri ile eşleşmelidir. Doğrulaması en zor alanlar “özgür yazım alanları” (free text) olarak da bilinen alanlardır, bloglar gibi. Fakat, bu alanlar belirli bir dereceye kadar doğrulanabilse bile, yazdırılamayan karakterleri çıkarıp girdi alanı için maksimum kapasite tanımlaması yapabilirsiniz.
-Düzenli ifadeleri geliştirmek karmaşık olabilir ve bu kılavuz dökümanının içeriğinde değildir. Lakin, internet üzerinde düzenli ifadeleri geliştirebilmek için birçok kaynak bulunabilir http://www.regular-expressions.info/ ve  OWASP Validation Regex Repository.
+Düzenli ifadeleri geliştirmek karmaşık olabilir ve bu kılavuz dökümanının içeriğinde değildir. Lakin, internet üzerinde düzenli ifadeleri geliştirebilmek için birçok kaynak bulunabilir http://www.regular-expressions.info/ ve [[OWASP Validation Regex Repository]].
-White List Regex Examples
+Beyaz Liste Regex Örnekleri
-   Validating Data from Free Form Text Field for Zip Code (5 digits plus optional -4) ^\d{5}(-\d{4})?$
+   Posta kodları için özgür yazım alanı doğrulaması (5 basamaklı artı opsiyonel -4) ^\d{5}(-\d{4})?$
-   Validating Data from Fixed List Drop-Down Box For U.S. State Selection
+   Aşağı açılan sabit listeden ABD eyalet seçimi veri doğrulaması
      ^(AA|AE|AP|AL|AK|AS|AZ|AR|CA|CO|CT|DE|DC|FM|FL|GA|GU|HI|ID|IL|IN|IA|KS|KY|LA|ME|MH|MD|MA|MI|MN|MS|
      MO|MT|NE|NV|NH|NJ|NM|NY|NC|ND|MP|OH|OK|OR|PW|PA|PR|RI|SC|SD|TN|TX|UT|VT|VI|VA|WA|WV|WI|WY)$
-   Validating a Free Form Text Field for allowed chars (numbers, letters, whitespace, .-_)
+   Özgür yazım alanı içinde izin verilen karakterlerin doğrulaması (rakamlar, harfler, boşluklar, .-_)
      ^[a-zA-Z0-9\s._-]+$ 	 (Any number of characters)
      ^[a-zA-Z0-9\s._-]{1-100}$	 (This is better, since it limits this field to 1 to 100 characters)
-   Note: \s matches any whitespace character (i.e., space, tab, carriage return, or linefeed, [ \t\r\n])
+   Note: \s alfabe dışı herhangi bir karakteri yakalar (örnek, boşluk, tab, satırbaşı yada satır atlama [ \t\r\n])
    Note: most regular expressions flavors do not need to escape the . (dot) inside character classes []
          using \. then results in two literal characters \ (backslash) and . (dot) which is most likely not wanted
@@ Line 28: / Line 28: @@
          variants are: unescaped if first character, unescaped if last character or must be always escaped as \-
-'''Java Regex Usage Example'''
+'''Java Regex Kullanım Örnekleri'''
    Example validating the parameter “zip” using a regular expression.

@@ Line 4: / Line 4: @@
 Bu makale, uygulamalarınızda kullanılan girdi doğrulama işlevsellikleri için temiz,basit ve dava edilebilir noktalar üzerinde rehber olmaya odaklanmıştır.
-== Girdi Doğrulaması Beyaz Liste ==
+== Beyaz Liste Girdi Doğrulaması ==
 Saldırıyı mümkün olduğunca en erken aşamada, kullanıcı/saldırganın isteğini işleme tabi tutma aşamasında önlemek/önlemeye çalışmak tavsiye edilir. Girdi doğrulaması, girdinin uygulama tarafından işlenmesinden hemen önce izin verilmeyen girdileri tespit etmek için kullanılabilir. Yazılım geliştiriciler saldırı karakterlerini ve “'”,”1=1” gibi karakter dizileri yada “<script>” biçimlerini tespit edebilmek için sıklıkla kara liste doğrulamasını uygularlar,fakat bu yöntem tek olarak kullanıldığında saldırgan için kara listede ki filtrelerden kaçınmak için sadece küçük bir test olacağından dolayı tam olarak sağlıklı bir yaklaşım olmaz. Buna artı olarak, bu tür filtreler çoğu zaman “O'Brian” örneğinde olduğu gibi izin verilen girdileri de (kesme işareti) “'” filtrelendiği için  engelleyebilmektedir.