Siber güvenlik kariyerinde fark yaratmak isteyenler için tasarlandı. Her biri birbirinden izole edilmiş gerçek senaryo motorları üzerinde, SQL Injection saldırılarını bizzat uygulayarak — hem saldırı mantığını hem de savunma refleksini aynı anda geliştir.
SENARYO SEÇİMİBu platform, SQL Injection (SQLi) saldırılarını soyut bir kavram olmaktan çıkarıp elle tutulur bir deneyime dönüştürmek için inşa edildi. Her senaryoda gerçek bir hedef sistem var, gerçek bir zafiyet var — ve sen de onu bizzat istismar edeceksin.
Her testin birbirini kirletmemesi için her senaryo tamamen bağımsız bir Docker konteyneri üzerinde çalışır. Çapraz tablo veri sızıntısı (Cross-Table Extraction) gibi yanlış pozitif senaryolar sıfırlanmıştır; öğrendiğin şey gerçek, çevresi kontrollüdür.
Hazır araçlara (Burp, SQLMap vb.) bağımlı kalmadan, bir saldırının nasıl çalıştığını satır satır anlayan bir analist olmak istiyorsan doğru yerdesin. Burada öğrendiğin her teknik; gerçek dünyada bir sistemin nasıl savunulacağına dair kalıcı bir sezgi bırakır.
Kariyer hedeflerin Penetration Tester, Security Analyst veya Secure Software Developer olsun — bu laboratuvar sana ofansif düşünce yapısını ve onun doğal sonucu olan savunma refleksini birlikte kazandırır.
Her senaryo kendi Docker konteynerinde çalışır. Hiçbir deneme diğerini etkilemez, veriler gerçek sistemlere ulaşamaz.
Kurgusal değil, endüstri standartlarından uyarlanmış gerçek zafiyet senaryoları. Öğrendiğin şey, iş dünyasında da geçerlidir.
Her modülün sonunda yalnızca "nasıl saldırırım" değil, "nasıl önlerim" sorusunun cevabını da bileceksin.
Kullanıcı adları, şifreler, ödeme bilgileri — korumasız bir parametre, tüm veritabanını tek sorguda açığa çıkarabilir.
Giriş ekranına doğru sorgu yazıldığında, sıradan bir kullanıcı hesabı saniyeler içinde sistem yöneticisine dönüşebilir.
Kayıtlar kalıcı olarak silinebilir, kritik veriler değiştirilebilir, finansal tablolar çöküşe sürüklenebilir.
OWASP Top 10 listesinde yıllardır yerini koruyan SQL Injection, hem etki alanı
hem de kullanım kolaylığı açısından bugün hâlâ en kritik güvenlik açıklarından biridir. Sadece
OR 1=1 gibi birkaç karakterin yanlış yerde bulunması, milyonlarca kullanıcıya ait
verinin sızdırılmasına zemin hazırlayabilir.
Bu laboratuvardaki her senaryo, gerçek dünyada yaşanmış büyük veri ihlallerinin teknik anatomisini yansıtacak şekilde kurgulanmıştır. Dışarıyla bağlantısı tamamen kesilmiş izole ortamda, kurumsal çapta zarara yol açan saldırı vektörlerini bizzat deneyimleyerek anlıyorsun.
Bir güvenlik zafiyetini gerçekten anlamak istiyorsan, önce saldırgan gibi düşünmen gerekiyor. Bu platform tam da bunu sağlıyor: sistemi nasıl kırarsın, neden kırılabilir ve en önemlisi — nasıl kırılmaz hale getirirsin?
Mevcut bir sorgunun yanına ikinci bir UNION SELECT sorgusu ekleyerek
farklı tablolardaki verileri tek ekranda birleştir ve sızdır. En yaygın ve en öğretici SQLi
tekniğiyle başla.
Sunucunun döndürdüğü hata mesajlarını bir silah olarak kullan. Veritabanı yapısını, tablo adlarını ve hassas verileri yalnızca hatalı sorgular yazarak gün yüzüne çıkar.
Ekranda hiçbir veri gösterilmiyor. Ama sunucu hâlâ sana cevap veriyor: Evet ya da Hayır. TRUE/FALSE mantığıyla soruları sor, sayfanın tepkisini oku, veritabanını harf harf çöz.
Sistem sessiz — ne veri döndürüyor, ne hata veriyor. Tek kanıtın sunucunun cevap
süresi. SLEEP() komutlarıyla veritabanını saniyeler bazında sorguya zorla ve
zamanlamadan çıkarım yap.
Profil güncelleme formları güvende olmayabilir. UPDATE sorgusuna sızdırarak sadece kendi verine değil, başka sütunlara da yaz — yetkini Admin'e yükselt ve sistemin kontrolünü ele geçir.
Tüm senaryoları tamamladıktan sonra asıl soru şu: Bu açıklar nasıl kapatılır? Parametreli sorgular, girdi doğrulama ve en az yetki prensibiyle SQLi saldırısı riskini kalıcı olarak sıfıra indir.