File Upload Vulnerabilities Nedir 
Masum Dosyalarla Gelen Sessiz Tehdit
“Bir dosya yüklendiğinde değil, çalıştırıldığında tehlike başlar.”
— Ersan Karavelioğlu
File Upload Vulnerabilities Nedir
File Upload Vulnerabilities, kullanıcıların yüklemesine izin verilen dosyaların
yeterli doğrulama, kısıtlama ve izolasyon olmadan sisteme kabul edilmesi sonucu ortaya çıkan güvenlik açıklarıdır.
Dosya masum görünür;
Etkisi sunucuya kadar uzanır.
Neden Bu Kadar Sessizdir
Dosya yüklemek sıradan bir işlemdir.
Log’lar genelde “başarılı” yazar.
Tehdit, zamanını bekler.
Tehlike Nerede Başlar
Dosya
nerede saklanıyor?
Nasıl işleniyor?
Sorun dosyada değil,
kabul sürecindedir.
En Yaygın Yanılgı
“Sadece resim yüklüyoruz.”
Uzantı değiştirilebilir.
İçerik farklı olabilir.
Uzantı Kontrolü Neden Yetersiz
.jpg, .png görünen dosya
İçinde PHP, JSP, ASP olabilir
Uzantı güvenlik değildir.
MIME Type’a Güvenmek
image/jpeg başlığı
İstemci tarafından gönderilir
Kolayca taklit edilir.
Double Extension Tekniği
shell.php.jpg
Sunucu yanlış parse ederse
Kod çalıştırılır.
Content Sniffing Riski
Tarayıcı içeriği yorumlar
Uzantıdan bağımsız çalıştırabilir
XSS ve RCE kapısı açılır.
Dosya Nereye Kaydediliyor
Web root altı
Doğrudan erişim
En tehlikeli senaryo budur.
Çalıştırılabilir Dosya Yükleme
Web shell
Uzak komut çalıştırma
Tam sistem ele geçirilmesi
Image Processing Tuzakları
ImageMagick, ffmpeg gibi araçlar
İçerik üzerinden istismar edilebilir
“Güvenli araç” yanılgısı risklidir.
File Upload + Path Traversal
Yüklenen dosya
İstenmeyen dizine yazılır
Etki alanı büyür.
File Upload + XSS
SVG, HTML dosyaları
Tarayıcıda çalışır
Kullanıcılar hedef olur.
Antivirüs Yeterli mi
Bilinen imzaları yakalar
Özel payload’ları kaçırır
Tek başına çözüm değildir.
Güvenli Dosya Yükleme Nasıl Olmalı
Allowlist (izinli formatlar)
Random dosya isimleri
Web root dışı depolama
Dosya pasif tutulmalıdır.
Yetki ve Erişim Kontrolü
Kim yükleyebilir?
Kim indirebilir?
Dosya, kimliksiz dolaşmamalıdır.
Loglama ve İzleme
Anormal dosya türleri
Sık deneme paterni
Erken fark, hasarı sınırlar.
En Büyük Yanılgı
“Kim uğraşsın bununla?”
Otomatik taramalar uğraşır
Küçük açıklar en çok bulunanlardır.
Son Söz Dosya, Sessiz Bir Taşıyıcıdır
File Upload Vulnerabilities,
zararı kendi taşıyan bir tehdittir.
Dosya sisteme girdiyse, artık senin sorumluluğundadır.
Güvenli sistem, dosyayı kabul etmeden önce düşünür.
“Dosya yüklemek, içeriye bir şey almaktır; ne aldığını bilmeden kapı açılmaz.”
— Ersan Karavelioğlu
