Oturum Sabitleme (Session Fixation)

SSL Sertifika Analizi Açık Port Tespiti Web Uygulama Tarama DNS Güvenlik Denetimi HTTP Başlık Analizi Yanlış Yapılandırma Tespiti Yazılım Parmak İzi Alt Alan Adı Tarama
SSL Sertifika Analizi Açık Port Tespiti Web Uygulama Tarama DNS Güvenlik Denetimi HTTP Başlık Analizi Yanlış Yapılandırma Tespiti Yazılım Parmak İzi Alt Alan Adı Tarama

Tüm Kayıtlar

Sitenizi Tarayın

Sitenizi bu zafiyete karşı kontrol edin

Otomatik bir tarama başlatın ve sitenizin etkilenip etkilenmediğini görün — sade dille bulgular ve çözümlerle.

Taramaya Başla
Kategori Bozuk Kimlik Doğrulama / Oturum Yönetimi
Tipik Önem Derecesi Yüksek
OWASP A07:2021 – Kimlik Tespiti ve Doğrulama Hataları
CWE CWE-384: Session Fixation
Diğer adları Oturum Ele Geçirme (Sabitleme Yoluyla), Session Riding (kısmi örtüşme)
Etkilenen sistemler Dışarıdan sağlanan oturum kimliklerini kabul eden ve kimlik doğrulaması sırasında oturum ID'sini yenilemeyen web uygulamaları
İlgili standartlar OWASP Oturum Yönetimi Hızlı Başvuru Kılavuzu, NIST SP 800-63B

Genel Bakış

Oturum sabitleme, bir saldırganın web uygulamasıyla geçerli bir oturum kurduğu, ilgili oturum kimliğini (session ID) elde ettiği ve ardından kurbanı bu oturum kimliğini kullanarak kimlik doğrulamaya yönlendirdiği bir oturum yönetimi güvenlik açığı sınıfıdır. Uygulama, başarılı oturum açma işleminin ardından yeni bir oturum kimliği üretmediği için saldırgan, sunucunun şu anda kimliği doğrulanmış kullanıcıyla ilişkilendireceği oturum kimliğini zaten bilmekte ve kurbanın kimliğine bürünmek için bu kimliği hemen kullanabilmektedir.

Oturum ele geçirme saldırılarında saldırganın kimlik doğrulamasından sonra oturum kimliğini çalması gerekirken, oturum sabitleme yönteminde saldırganın yalnızca oturum kimliğini önceden sağlaması yeterlidir. Bu fark, ağ trafiği şifreli olsa bile saldırıyı mümkün kılar; yeter ki uygulama, oturum kimliklerinin URL, gizli form alanı veya saldırgan tarafından ayarlanmış bir çerez aracılığıyla enjekte edilmesine izin versin.

Nasıl çalışır?

Saldırı öngörülebilir bir sıra izler:

  1. Oturum kimliği elde etme. Saldırgan, hedef uygulamayı ziyaret eder ve geçerli, kimlik doğrulama öncesi bir oturum kimliği alır (örn. JSESSIONID=abc123).
  2. Sabitlenmiş oturum kimliğini kurbana iletme. Yaygın iletim mekanizmaları şunlardır:
    • Oturum kimliğinin sorgu parametresi olarak gömülü olduğu özel hazırlanmış bir URL (örn. https://example.com/login?SESSIONID=abc123) — uygulama URL'den oturum kimliği kabul ediyorsa geçerlidir.
    • Saldırganın bir alt alan adını kontrol etmesi durumunda alt alan adı veya aynı site üzerinden çerez enjeksiyonu.
    • HTTP (TLS olmayan) bağlantısında ortadaki adam konumundan doğrudan Set-Cookie başlığı ayarlama.
    • Oturum çerezinin değerini yerleştirmek için kullanılan XSS (Cross-Site Scripting).
  3. Kurbanın kimlik doğrulaması. Kurban bağlantıya tıklar, oturum açma sayfasıyla karşılaşır ve giriş yapar. Uygulama kullanıcının kimliğini doğrular; ancak kritik nokta olarak oturum kimliğini yenilemez.
  4. Saldırganın kimliği doğrulanmış oturuma erişimi. Saldırgan oturum kimliğini zaten bildiğinden (kendisi seçtiği için), bu kimliği kullanarak uygulamaya istek gönderebilir ve kimliği doğrulanmış kurban gibi davranabilir.

Bir uygulamayı savunmasız kılan temel teknik ön koşullar:

  • Uygulamanın URL parametreleri, gizli alanlar veya güvenilmeyen kaynaklardan gelen Set-Cookie başlıkları aracılığıyla sağlanan oturum kimliklerini kabul etmesi.
  • Uygulamanın başarılı bir oturum açma işleminin ardından (ayrıcalık yükseltme noktası) mevcut oturumu geçersiz kılmaması ve yeni bir oturum kimliği üretmemesi.
  • Hızlı süresi dolmayan, uzun ömürlü kimlik doğrulama öncesi oturum belirteçleri.

İş etkisi

Başarılı bir oturum sabitleme saldırısı, saldırgana kurbanın kimliği doğrulanmış oturumunun tam kontrolünü verir. Kurban hesabının ayrıcalık düzeyine bağlı olarak şu sonuçlar ortaya çıkabilir:

  • Yetkisiz veri erişimi veya sızdırılması — saldırgan hassas kişisel, finansal veya tescilli verileri okur, kopyalar veya indirir.
  • Hesap ele geçirme — saldırgan kurbanın kimlik bilgilerini değiştirerek meşru kullanıcıyı hesabından kilitler.
  • Ayrıcalık yükseltme — kurban bir yöneticiyse, saldırgan uygulama üzerinde yönetim kontrolü kazanır.
  • Sahte işlemler — e-ticaret veya bankacılık uygulamalarında saldırgan, kurban adına finansal işlem başlatabilir.
  • Yasal ve uyumluluk yükümlülükleri — KVKK, GDPR, PCI DSS ve HIPAA kapsamında oturum sabitleme kaynaklı bir ihlal; zorunlu ihlal bildirimi, para cezaları ve denetim yükümlülükleri doğurabilir.
  • İtibar kaybı — hesapları ele geçirilen kullanıcılar uygulamaya ve kuruluşa olan güvenini yitirir.

Nasıl giderilir?

  1. Kimlik doğrulamasının ardından oturum kimliğini yenileyin. Bu, birincil ve en kritik kontroldür. Başarılı bir oturum açma işleminin hemen ardından (veya herhangi bir ayrıcalık düzeyi değişikliğinde) mevcut oturumu geçersiz kılın ve yeni, şifreli olarak rastgele üretilmiş bir oturum kimliğiyle yeni bir oturum oluşturun. Çoğu framework buna özel bir yöntem sunar (örn. PHP'de session_regenerate_id(true), Java EE'de request.getSession(false); request.getSession(true);, ASP.NET'te Session.Abandon() + yeni oturum).
  2. Dışarıdan sağlanan oturum kimliklerini reddedin. Uygulamayı, URL sorgu parametrelerinden veya HTTP istek gövdelerinden oturum kimliklerini asla kabul etmeyecek şekilde yapılandırın. Oturum kimlikleri yalnızca sunucunun kendisi tarafından ayarlanan çerezlerden kabul edilmelidir.
  3. Güvenli, HttpOnly ve SameSite çerez niteliklerini kullanın. Oturum çerezlerini Secure (yalnızca HTTPS), HttpOnly (JavaScript ile erişilemez) ve SameSite=Strict veya SameSite=Lax olarak işaretleyerek çerez enjeksiyonu ve XSS tabanlı sabitleme saldırılarının saldırı yüzeyini azaltın.
  4. Kimlik doğrulama öncesi oturumlar için kısa süre sonu belirleyin. Oturum açmadan önceki oturumlar (kimlik doğrulama öncesi) hızlıca sona ermeli (örn. birkaç dakikalık hareketsizlik sonrasında) ve sabitlenmiş bir oturum kimliğinin geçerli kaldığı pencere daraltılmalıdır.
  5. Her yerde TLS zorunlu kılın. Oturum açma formları dahil tüm sayfalarda HTTPS kullanımını zorunlu hale getirerek ağ düzeyinde oturum çerezi enjeksiyonunu önleyin.
  6. Ek oturum bağlama uygulayın. İsteğe bağlı olarak oturumları istemcinin IP adresi veya User-Agent dizesi gibi ikincil tanımlayıcılara bağlayın. Bunlar aşılabilse de saldırgana ek engel oluşturur; tek kontrol olarak bunlara güvenmeyin.
  7. Framework varsayılanlarını denetleyin. Kullandığınız web framework'ünün varsayılan oturum yönetiminin URL'ye gömülü oturum kimliklerini kabul etmediğini ve oturum açılışında oturum yenilemenin etkin olduğunu doğrulayın. Pek çok framework URL tabanlı oturum takibini varsayılan olarak devre dışı bırakır; ancak kendi yapılandırmanızda bunu teyit edin.

Sensagraph, URL parametrelerinden oturum kimliği kabul eden ve kimlik doğrulama sınırlarında oturum belirtecini döndürmeyen uygulamalar da dahil olmak üzere oturum sabitleme göstergelerini otomatik olarak tespit eder.

Referanslar

Sıkça sorulan sorular

Oturum ele geçirme, kimliği doğrulanmış bir oturumu devralmak için kullanılan herhangi bir tekniği kapsayan geniş bir terimdir; genellikle mevcut oturum kimliğinin çalınmasını (örn. XSS, ağ dinleme veya çerez hırsızlığı yoluyla) içerir. Oturum sabitleme ise saldırganın oturum kimliğini çalmasına gerek kalmayan belirli bir alt türdür; bunun yerine saldırgan, kimlik doğrulamasından önce kurbana bilinen bir oturum kimliği sağlar ve kurban giriş yaptıktan sonra bu kimliği kullanır.

HTTPS, trafiği şifreleyerek ağ düzeyinde oturum kimliği enjeksiyonunu önler; ancak tek başına oturum sabitlemeyi engellemez. Eğer uygulama URL parametrelerinden oturum kimliği kabul ediyorsa ya da saldırgan bir alt alan adı veya XSS aracılığıyla çerez ayarlayabiliyorsa, HTTPS herhangi bir koruma sağlamaz. Temel çözüm her zaman sunucu tarafında oturum açılışında oturum kimliğinin yenilenmesidir.

Güvenlik açığı, framework'ün kendisinden çok yapılandırmaya bağlıdır. Eski PHP uygulamaları en sık etkilenenlerdir; çünkü PHP'nin varsayılan oturum yönetimi, PHPSESSID sorgu parametresi aracılığıyla URL'den oturum kimliği kabul etmeye izin veriyordu. Django, Rails, Spring Security ve ASP.NET Core gibi modern framework'ler, kimlik doğrulamasında varsayılan olarak oturum kimliğini yeniler; ancak yanlış yapılandırma veya özel oturum yönetimi bu açığı yeniden ortaya çıkarabilir.

Evet. Uygulama URL sorgu parametrelerinden oturum kimliği kabul ediyorsa, saldırgan bilinen bir oturum kimliği içeren kötü amaçlı bir bağlantı oluşturabilir ve bunu e-posta, sosyal mühendislik veya yönlendirme yoluyla kurbana gönderebilir. Kurban, bağlantıya HTTPS üzerinden tıklar, giriş yapar ve saldırgan oturum kimliğini zaten bilmektedir. Bu vektörde ağ şifrelemesi anlamsızdır.

Hayır. CSRF (Cross-Site Request Forgery), kimliği doğrulanmış bir kullanıcının tarayıcısını, mevcut oturumunu kullanarak istenmeyen istekler yapmaya yönlendirir. Oturum sabitleme ise saldırganın oturumun kendisini ele geçirmesini sağlayan bir ön saldırıdır; oturum sabitlenip kurban kimlik doğrulaması yaptıktan sonra saldırgan, kurbanın tarayıcısından istek taklit etmek yerine oturumu doğrudan kontrol eder.