Web sitelerine yapılan yaygın saldırılar

Küçük bir siteye kim saldırır

Son üç buçuk günde bu sitenin kendi kaydı, hiçbiri bir sayfayı okumaya çalışmayan 950 istek tuttu. 107 ayrı adresten geldiler ve hepsinin tek bir biçimi vardı: bir yol dene, 404 al, sonraki yola geç. Aynı pencerede bu sunucuya 659.375 istek ulaştı, yani o 950 istek yüzde birin bir kesri. Ama sayı hiçbir zaman sıfıra inmiyor.

Kimse oturup bu siteyi seçmedi. O isteklerin çoğu birinin ev bilgisayarından değil, bulut sağlayıcı adres aralıklarından geliyor: bir makine kiralarsınız, ona bir alan adı listesi verirsiniz ve çekip gidersiniz. Tek bir adresi denemek neredeyse hiçbir şeye mal olmaz, dolayısıyla zahmete değmeyecek kadar küçük olmak diye bir şey yoktur.

O 950 isteğin nasıl dağıldığı zaten dersin kendisi.

En ilginç grup bir açık arayan grup değil. Başkasının arka kapısını arayan grup. alfa.php, up.php ve db.php gibi adlar, önceki saldırganların daha önce girdikleri sitelerde bıraktıkları dosyalardır ve tarayıcı, başkasının yaptığı işten yararlanabilmek için bu sitenin zaten ele geçirilmiş olup olmadığını yokluyor. Bu tek soru için 44 adresten 254 istek.

Sonraki grup da en az onun kadar açıklayıcı. 259 istek bir yapılandırma dosyası arıyordu, tek bir dosya için 49 farklı ad altında: .env, .env.backup, .env.old ve liste böyle sürüyor. O listeyi yazan kişi, geliştiricilerin ayarlarının bir yedeğini aslının yanında bıraktığını ve bu dosyanın veritabanı parolasını ve servis anahtarlarını taşıdığını biliyor. Burada bir saldırı yok; yalnızca insan alışkanlıkları üzerine iyi bir tahmin var.

Yani küçük olmak bir savunma değil. Siteniz bir hedef değil, bir listedeki bir satır ve tarayıcı ne sattığınızı ne bilir ne de umursar.

Parola tahmini: hiçbir açığa ihtiyaç duymayan saldırı

En basit saldırı, hiçbir açığa ihtiyaç duymayan saldırıdır. Saldırgan yalnızca ön kapıyı çalar ve biri cevap verene kadar parola dener. Adı kaba kuvvet saldırısıdır ve pratikte iki biçimi vardır.

Birinci biçim herkesin gözünde canlanan biçimdir: admin kullanıcı adına karşı yaygın parolaları denemek. İkincisi daha tehlikelidir ve adı kimlik bilgisi doldurmadır. Saldırgan önceki sızıntılardan e-posta ve parola çiftlerini alır ve onları sizin sitenizde dener. Burada tahmin edilen bir şey yok: yöneticiniz hâlâ üç yıl önce bir forumda oluşturduğu parolayı kullanıyorsa saldırı ilk denemede başarılı olur.

Bu sitede güvenlik eklentisi Mart 2025'ten bu yana 210 kaba kuvvet olayı kaydetti ve bir adresi 22 kez kilitledi. Şu anki ayarlar: beş dakikalık bir pencere içinde tek bir adresten beş başarısız deneme ya da tek bir kullanıcı adına on deneme, ardından on beş dakikalık kilit ve tekrarlanırsa yedi günlük kara liste.

Aynı üç günlük pencerede giriş denemeleri en geniş yayılmış gruptu: 127 istek, ama 49 ayrı adresten. Karşılaştırma için, 233 sunucu bilgisi yoklaması yalnızca 10 adresten geldi. Sebebi açık; parola tahmin etmek herkesin yapacağı kadar ucuz.

Standart savunmanın iki katmanı var ve ilkini herkes biliyor: deneme sayısını sınırlamak. Bu, saldırıyı dakikada binlerce denemeden çeyrek saatte birkaç denemeye indirir ve o hızda gerçek bir parolayı tahmin etmek erişim dışına çıkar.

İşin genelde bozulduğu yer de burası. Deneme sınırı zayıf bir parolayı güçlü yapmaz; yalnızca zaman kazandırır. Parolanız sızdırılmış listelerdeyse saldırganın binlerce denemeye değil bir denemeye ihtiyacı vardır ve deneme sınırının tek bir denemeyle bir işi yoktur. Sorunu asıl kapatan ikinci katman iki adımlı doğrulamadır: saldırganın doğru parolayla bile elinde olmayan şey.

Kullanıcının yazdığı şey bir komuta dönüştüğünde

SQL enjeksiyonu ve siteler arası betik her listede ayrı satırlarda durur ama tek bir kökü paylaşırlar. Kullanıcının yazdığı metin, onu veri yerine komut olarak okuyan bir yere ulaşır.

SQL enjeksiyonunda o yer veritabanıdır. Program bir sorgu kurar ve form değerini o sorgunun metnine yapıştırır; değerin kendisi bir sorgunun parçasına benziyorsa veritabanı ayrım yapmaz ve onu çalıştırır. Sonuç, hiçbir zaman görülmemesi gereken satırların okunmasıdır.

Siteler arası betikte o yer başka bir ziyaretçinin tarayıcısıdır. Bir kullanıcının bir yoruma ya da profil alanına yazdığı metin, sayfanın HTML'i içinde değişmeden basılır; o metin koda benziyorsa tarayıcı onu kod sayar, çünkü ayırt etmenin başka yolu yoktur. Kod, kurbanın tarayıcısında tam olarak o kişinin yetkileriyle çalışır.

İkisinin savunması aynı mantığa sahiptir ve iki ayrı yerde oturur.

Veritabanı için cevap parametreli sorgudur: sorgunun biçimi değerlerden ayrı gönderilir, böylece bir değer içeriği ne olursa olsun anahtar kelimeye dönüşemez. WordPress'te bunu prepare yapar. Tarayıcı için cevap çıktıda kaçışlamadır: kullanıcıdan gelen her değer, basıldığı anda, indiği yere uygun biçimde zararsız hâle getirilir. WordPress'in her konum için kendi işlevi vardır; biri düz metin, biri öznitelik, biri adres, biri de biraz HTML tutması gereken metin için.

Şimdi de en az yazılan ve en çok bozan kısım: girdiyi girişte bir kez temizleyip rahatlama isteği. Daha güvenli görünür ve daha kötüdür, çünkü bir kaçışlamanın doğru olup olmadığı kaynağa değil hedefe bağlıdır. HTML için hazırlanmış bir değer, bir özniteliğe, bir adrese ya da bir JSON yanıtına girdiği gün yanlış çıkar ve bazen tam orada yeni bir delik açar. Gerçek kodla temasa dayanan kural şudur: veriyi geldiği gibi saklayın ve basma anında, tam olarak basıldığı yer için hazırlayın.

Bu bölüm kodu yazan kişi için yazıldı. Bir siteniz varsa ve kod yazmıyorsanız, bu iki saldırıdan payınız kurduğunuz eklentiler üzerinden gelir ve bu dersin son bölümü tam olarak bunu konu alır.

Siteyi devirmek ve tıpatıp ona benzeyen şey

Hizmet dışı bırakma saldırısının basit bir mantığı var: gerçek isteklerin sığamayacağı kadar çok istek gönder. İki biçimi vardır ve savunmaları aynı değildir.

Hacimsel biçim boruyu doldurur: binlerce makineden milyonlarca anlamsız istek. Sunucunuz düşünmeye hiç fırsat bulamaz, dolayısıyla savunmanın sunucunun önünde, ağın kenarında durması gerekir; emme kapasitesinin saldırı kapasitesinden büyük olduğu yerde. Bir CDN'in yaptığı tam olarak budur.

İkinci biçim daha kurnazdır: az sayıda istek, ama her biri pahalı. Her ziyarette veritabanını okuyan bir arama sayfası, bant genişliği hiç dokunulmadan dururken dakikada birkaç yüz istekle bir sunucuyu yere serebilir. Oradaki savunma bant genişliği değil önbelleklemedir; hazır bir dosyadan yanıtlanan bir istek neredeyse hiçbir şeye mal olmaz.

Şimdi de bu konuda söylenebilecek en dürüst şey. Bu sunucunun gördüğü en büyük trafik seli bir saldırı değildi.

8 Ağustos 2026'da iki tarayıcı, GPTBot ve meta-externalagent, bu sitenin giriş ve kayıt sayfalarının kendi kurduğu bir döngüye girdi: her bağlantı mevcut sayfanın adresini bir dönüş parametresinin içine koyuyor, o adres de sırayla bir sonraki parametrenin içine giriyordu. Ağaç hiç bitmiyordu. Durdurulduğunda 10 GB kayıt yazılmış ve disk yüzde 96'ya ulaşmıştı.

Çözüm, web sunucusu yapılandırmasında sorunun imzasını tanıyan tek bir kuraldı. Sağlıklı bir dönüş parametresi tam olarak bir kez kodlanır, dolayısıyla içinde kodlanmış bir yüzde işareti asla görünmez; görünüyorsa o adres yalnızca döngünün içinden gelmiş olabilir. Böyle bir istek hiçbir yanıt verilmeden kapatılır ve PHP hiç çalışmaz.

Bir ay sonra aynı örüntü hâlâ geliyor. Bu dersin sayılarını aldığı üç günlük pencerede, 659.375 isteğin 564.365'i, yani bu sunucuya ulaşan her şeyin yüzde 85,6'sı, PHP'ye varmadan kapatıldı.

Bizim konumumuz: o hikâyeyi gerçek bir saldırıdan ayıran şey etki değil niyettir. Yük altında çöken bir sunucu, yükün kötü niyetten mi dikkatsizlikten mi geldiğini umursamaz ve ikisinin savunması aynıdır. Bir site sahibinin bildirdiği saldırıların çoğu da bu yüzden, kaydı açtığınızda kötü davranan bir tarayıcı çıkar.

Ana sayfa değiştiğinde saldırı aslında nerede oldu

Bir sitenin ana sayfası değişip üzerine yabancı bir mesaj oturduğunda, baktığınız şey saldırı değildir. Zaten başarılı olmuş bir saldırının sonucudur.

O sayfayı değiştiren kişinin yazma izni çoktan vardı. Ya yönetici parolasına sahipti, ya açığı olan bir eklenti üzerinden dosya yükledi, ya da ihtiyacından fazla erişimi olan bir hesabı kullandı. Sayfa değiştirme, birinin bırakabileceği en gürültülü işarettir ve tesadüfen en merhametlisidir: parayı hedefleyen bir saldırı kendini asla duyurmaz.

Yedeği geri yüklemeyi tek başına yanlış hamle yapan şey de budur. Yedek siteyi geri getirir, giriş yolunu kapatmaz. Giriş noktası bulunmadan geri yüklenen bir site aynı şeyi genelde günler içinde yeniden yaşar ve bu kez sahibi yedeğin bozuk olduğu sonucuna varır.

Doğru sıranın üç adımı var. Önce ele geçirilmiş hâlin bir kopyasını saklayın, çünkü nasıl girdiklerini gösteren şey odur ve geri yüklediğiniz an yok olur. Sonra yedeği geri yükleyin. Ve siteyi yeniden açmadan önce o kopyada bulunan her parolayı ve anahtarı değiştirin; artık sizin değiller.

Ana sayfa değişmeden önce beliren işaretler bu sitede ayrı bir yazıda toplandı: bir sitenin risk altında olduğunu gösteren yedi işaret.

Bu beşinden hangisi gerçekten sizi ilgilendiriyor

Bu beş saldırı sizi eşit ölçüde ilgilendirmiyor ve kimse bunu açıkça söylemiyor, çünkü eksiksiz liste daha profesyonel görünüyor.

Bir WordPress siteniz varsa ve kod yazmıyorsanız gerçek risk sırası şudur: güncellenmemiş bir eklenti, sonra başka bir yerde de kullanılan bir parola, sonra geri kalan her şey. SQL enjeksiyonu ve siteler arası betik, kodu yazan için birinci derece bir sorundur; size başkalarının yazıp sizin kurduğunuz kod üzerinden ulaşır. Bu da en önemli güvenlik kararınızın hiç güvenlik kararı gibi görünmediği anlamına gelir: hangi eklentiyi kuruyorsunuz ve o eklenti hâlâ bakılıyor mu.

OWASP listesi de aynı şeyi söylüyor. 2025 sürümünde kırık erişim denetimi birinci, hatalı güvenlik yapılandırması ikinci ve üçüncü sırada bir WordPress sahibi için doğrudan anlamı olan madde var: yazılım tedarik zinciri başarısızlıkları. Sizin tedarik zinciriniz eklenti listenizdir. Enjeksiyon ise 2021'deki üçüncü sıradan 2025'te beşinci sıraya indi; bu küçüldüğü anlamına gelir, bittiği değil.

Bugünden itibaren en çok fark yaratan şey güvenlik izleğinin bir sonraki dersi: bir WordPress sitesinin gerçekte hangi sırayla sertleştirildiği. Bir siteniz varsa ve hangi durumda olduğunu bilmiyorsanız, o inceleme ve sertleştirme müşterilerimiz için site güvenliği başlığı altında yaptığımız iştir.