Business Logic Vulnerabilities

İş mantığı güvenlik açıkları, modern web uygulamalarında en yaygın ancak en az anlaşılan güvenlik problemlerinden biridir. Bu açıklar, uygulamanın tasarım ve implementasyon hatalarından kaynaklanır ve saldırganlara istenmeyen davranışları tetikleme imkanı sağlar.

İş mantığı açıkları, uygulamanın tasarım ve implementasyonundaki hatalardan kaynaklanan ve saldırganlara istenmeyen davranışları tetikleme imkanı sağlayan güvenlik açıklarıdır.

// Güvensiz kod örneği
function calculateTotal(price, quantity) {
    return price * quantity; // Negatif quantity kontrolü yok!
}

// Saldırı: quantity = -1, price = 100
// Sonuç: total = -100 (sistem kullanıcıya para öder!)

İş mantığı açıkları genellikle tasarım ve geliştirme ekiplerinin kullanıcı davranışları hakkında yanlış varsayımlar yapmasından kaynaklanır.

İş mantığı açıklarının etkisi değişken olabilir, ancak doğru şekilde istismar edildiğinde ciddi güvenlik ihlallerine yol açabilir.

İş mantığı açıklarını daha iyi anlamak için gerçek hayattan örneklere bakalım:

• Yüksek Fiyat Manipülasyonu: Negatif miktarlar ile para kazanma
• Kritik Authentication Bypass: Çok adımlı doğrulamayı atlama
• Orta Race Conditions: Eşzamanlı işlemlerle limit aşma
• Yüksek Workflow Bypass: İş akışı adımlarını atlama
• Orta Parameter Pollution: Aynı parametreyi birden fazla gönderme

Kimlik doğrulama süreçlerindeki mantık hataları, saldırganlara sistem kontrolü ele geçirme imkanı sağlayabilir.

// Güvensiz 2FA implementasyonu
function login(username, password) {
    if (validateCredentials(username, password)) {
        if (user.has2FA) {
            // 2FA sayfasına yönlendir
            redirect('/2fa-verification');
        } else {
            // Direkt giriş yap
            createSession(user);
            redirect('/dashboard');
        }
    }
}

// Saldırı: 2FA sayfasından /dashboard'a direkt git

Yetkilendirme mantık hatalarında saldırganlar, sahip olmadıkları yetkilere erişim sağlayabilir.

// Güvensiz yetkilendirme
function deleteUser(userId, currentUserId) {
    // Sadece kendi hesabını silebilir varsayımı
    if (userId === currentUserId) {
        database.deleteUser(userId);
        return "success";
    }
    return "unauthorized";
}

// Saldırı: Admin panelinden başkasının ID'si ile istek gönder

Race condition saldırıları, eşzamanlı istekler göndererek uygulamanın tutarlılık kontrollerini aşmaya çalışır.

// Güvensiz bakiye kontrolü
function transferMoney(fromAccount, toAccount, amount) {
    // Kontrol noktası
    if (getBalance(fromAccount) >= amount) {
        // VULNERABILITY WINDOW - Eşzamanlı istekler burada!
        sleep(100); // Network delay simulation
        
        // Para transferi
        setBalance(fromAccount, getBalance(fromAccount) - amount);
        setBalance(toAccount, getBalance(toAccount) + amount);
    }
}

E-ticaret uygulamalarında en yaygın görülen iş mantığı açıklarından biri fiyat manipülasyonudur.

// Güvensiz fiyat hesaplaması
POST /checkout
{
    "items": [
        {"id": 123, "price": 99.99, "quantity": -1},
        {"id": 124, "price": 50.00, "quantity": 2}
    ]
}

// Sonuç: Total = -99.99 + 100.00 = $0.01

Çok adımlı iş süreçlerinde adımların atlanması veya sıranın değiştirilmesi yoluyla yapılan saldırılardır.

// Güvensiz checkout process
// Adım 1: /cart
// Adım 2: /shipping
// Adım 3: /payment
// Adım 4: /confirmation

// Saldırı: Direkt /confirmation'a git
GET /confirmation?order_id=12345

İş mantığı açıklarını önlemek için sistematik bir yaklaşım benimsenmelidir.

İş mantığı açıkları genellikle manuel test yöntemleriyle tespit edilir.

İş mantığı açıklarını önlemek ve tespit etmek için en etkili yöntemler: