Bir PHP ve MySQL ile yaz\u0131lan web sitesinin güvenlik aç\u0131klar\u0131n\u0131 taramak için kullanabilece\u011finiz birçok araç bulunmaktad\u0131r. Bu araçlar, SQL enjeksiyonu, XSS (CrossSite Scripting), CSRF (CrossSite Request Forgery), dosya dahil etme aç\u0131klar\u0131 ve di\u011fer yayg\u0131n güvenlik zafiyetlerini tespit etmeye yard\u0131mc\u0131 olur. \u0130\u015fte bu tür aç\u0131klar\u0131 taramak için kullanabilece\u011finiz popüler araçlar:<\/p>\r\n
<\/p>\r\n
1. OWASP ZAP (Zed Attack Proxy)
Aç\u0131klama: OWASP ZAP, web uygulamalar\u0131n\u0131n güvenlik aç\u0131klar\u0131n\u0131 taramak için kullan\u0131lan aç\u0131k kaynakl\u0131 bir araçt\u0131r.
Özellikler:
SQL enjeksiyonu, XSS, CSRF gibi aç\u0131klar\u0131 tespit eder.
Otomatik tarama ve manuel test imkan\u0131 sunar.
REST API deste\u011fi ile entegrasyon kolayl\u0131\u011f\u0131 sa\u011flar.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/www.zaproxy.org\/) sitesinden indirip kurabilirsiniz.
Web sitenizin URL'sini girerek otomatik tarama ba\u015flatabilirsiniz.<\/p>\r\n
<\/p>\r\n
2. Burp Suite
Aç\u0131klama: Burp Suite, web uygulama güvenli\u011fi testleri için profesyonel bir araçt\u0131r. Ücretsiz (Community Edition) ve ücretli (Professional Edition) sürümleri bulunur.
Özellikler:
SQL enjeksiyonu, XSS, CSRF, dosya dahil etme aç\u0131klar\u0131 gibi birçok zafiyeti tespit eder.
Manuel ve otomatik tarama seçenekleri sunar.
Proxy özelli\u011fi ile HTTP\/HTTPS trafi\u011fini analiz edebilirsiniz.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/portswigger.net\/burp) sitesinden indirip kurabilirsiniz.
Taray\u0131c\u0131n\u0131z\u0131n proxy ayarlar\u0131n\u0131 Burp Suite'e yönlendirerek trafi\u011fi inceleyebilirsiniz.<\/p>\r\n
<\/p>\r\n
3. Nikto
Aç\u0131klama: Nikto, web sunucular\u0131 ve uygulamalar\u0131 için aç\u0131k kaynakl\u0131 bir güvenlik taray\u0131c\u0131s\u0131d\u0131r.
Özellikler:
Web sunucusu yap\u0131land\u0131rma hatalar\u0131n\u0131 ve bilinen güvenlik aç\u0131klar\u0131n\u0131 tespit eder.
PHP ve MySQL tabanl\u0131 sitelerdeki yayg\u0131n aç\u0131klar\u0131 tarar.
Nas\u0131l Kullan\u0131l\u0131r:
Linux tabanl\u0131 sistemlerde terminalden nikto h komutuyla kullan\u0131l\u0131r.
(https:\/\/github.com\/sullo\/nikto) GitHub sayfas\u0131ndan indirilebilir.<\/p>\r\n
<\/p>\r\n
4. SQLMap
Aç\u0131klama: SQLMap, SQL enjeksiyonu aç\u0131klar\u0131n\u0131 tespit etmek ve sömürmek için kullan\u0131lan bir araçt\u0131r.
Özellikler:
Otomatik SQL enjeksiyonu tespiti ve sömürme imkan\u0131 sunar.
MySQL, PostgreSQL, Oracle gibi veritabanlar\u0131n\u0131 destekler.
Nas\u0131l Kullan\u0131l\u0131r:
Terminalden sqlmap u komutuyla kullan\u0131l\u0131r.
(https:\/\/sqlmap.org\/) sitesinden indirilebilir.<\/p>\r\n
<\/p>\r\n
5. Acunetix
Aç\u0131klama: Acunetix, web uygulamalar\u0131n\u0131n güvenlik aç\u0131klar\u0131n\u0131 tarayan profesyonel bir araçt\u0131r. Ücretli bir çözümdür.
Özellikler:
SQL enjeksiyonu, XSS, CSRF, dosya dahil etme aç\u0131klar\u0131 gibi birçok zafiyeti tespit eder.
Otomatik tarama ve raporlama özellikleri sunar.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/www.acunetix.com\/) sitesinden sat\u0131n al\u0131nabilir.<\/p>\r\n
<\/p>\r\n
6. Netsparker
Aç\u0131klama: Netsparker, web uygulama güvenli\u011fi testleri için kullan\u0131lan bir di\u011fer profesyonel araçt\u0131r. Ücretli bir çözümdür.
Özellikler:
SQL enjeksiyonu, XSS, CSRF gibi aç\u0131klar\u0131 tespit eder.
Otomatik tarama ve raporlama özellikleri sunar.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/www.netsparker.com\/) sitesinden sat\u0131n al\u0131nabilir.<\/p>\r\n
<\/p>\r\n
7. WPScan (WordPress Siteleri \u0130çin)
Aç\u0131klama: E\u011fer PHP ve MySQL ile yaz\u0131lan site bir WordPress sitesiyse, WPScan kullanabilirsiniz.
Özellikler:
WordPress eklentileri, temalar\u0131 ve çekirdek dosyalar\u0131ndaki güvenlik aç\u0131klar\u0131n\u0131 tespit eder.
Nas\u0131l Kullan\u0131l\u0131r:
Terminalden wpscan url komutuyla kullan\u0131l\u0131r.
(https:\/\/wpscan.com\/) sitesinden indirilebilir.<\/p>\r\n
<\/p>\r\n
8. Nessus
Aç\u0131klama: Nessus, hem a\u011f hem de web uygulama güvenli\u011fi taramalar\u0131 yapabilen profesyonel bir araçt\u0131r. Ücretli bir çözümdür.
Özellikler:
Web uygulamalar\u0131ndaki güvenlik aç\u0131klar\u0131n\u0131 tespit eder.
Detayl\u0131 raporlama özellikleri sunar.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/www.tenable.com\/products\/nessus) sitesinden sat\u0131n al\u0131nabilir.<\/p>\r\n
<\/p>\r\n
9. Vega
Aç\u0131klama: Vega, web uygulama güvenli\u011fi testleri için kullan\u0131lan aç\u0131k kaynakl\u0131 bir araçt\u0131r.
Özellikler:
SQL enjeksiyonu, XSS, CSRF gibi aç\u0131klar\u0131 tespit eder.
Kullan\u0131c\u0131 dostu arayüzü vard\u0131r.
Nas\u0131l Kullan\u0131l\u0131r:
(https:\/\/subgraph.com\/vega\/) sitesinden indirilebilir.<\/p>\r\n
<\/p>\r\n
10. Arachni
Aç\u0131klama: Arachni, web uygulama güvenli\u011fi testleri için kullan\u0131lan aç\u0131k kaynakl\u0131 bir araçt\u0131r.
Özellikler:
SQL enjeksiyonu, XSS, CSRF gibi aç\u0131klar\u0131 tespit eder.
Otomatik tarama ve raporlama özellikleri sunar.
Nas\u0131l Kullan\u0131l\u0131r:
(http:\/\/www.arachniscanner.com\/) sitesinden indirilebilir.<\/p>\r\n
Bu araçlarla PHP ve MySQL tabanl\u0131 sitenizin güvenlik aç\u0131klar\u0131n\u0131 tespit edebilir ve güvenli\u011fini art\u0131rabilirsiniz.<\/p>\r\n
1) Yasal uyar\u0131 (ÖNEML\u0130)<\/p>\r\n
Her zaman hedef site sahibinden yaz\u0131l\u0131 izin al\u0131n. \u0130zinsiz tarama yasa d\u0131\u015f\u0131d\u0131r ve zarar verebilir.<\/p>\r\n
2) H\u0131zl\u0131 tarama ak\u0131\u015f\u0131 (recommended workflow)<\/p>\r\n
1. Kapsam belirleme — hangi hostlar\/altalanadlar, test zaman\u0131, hangi uygulama parçalar\u0131 (API, admin panel vs).
2. \u0130stihbarat (reconnaissance) — nmap \/ dirb \/ gobuster ile servisler, dizinler.
3. Pasif analiz — kaynak kodu varsa kod incelemesi; eri\u015fim yoksa site kullan\u0131m davran\u0131\u015f\u0131 incelemesi.
4. Otomatik tarama — ZAP \/ Burp Scanner \/ Arachni \/ Acunetix ile breadth tarama.
5. Hedefli sömürü & do\u011frulama — SQLmap, Burp Intruder\/Repeater, manuel XSS testleri.
6. Do\u011frulama & falsepositive temizli\u011fi — otomatik sonuçlar\u0131 manuel do\u011frula.
7. Raporlama & düzeltme önerileri — CVSS\/etkiönceliklendirme ile.
8. Retest — düzeltmelerden sonra yeniden tarama.<\/p>\r\n
3) Faydal\u0131 komut örnekleri (h\u0131zl\u0131start)<\/p>\r\n
Nikto (basit web sunucu konfig kontrolü)<\/p>\r\n
nikto h https:\/\/example.com<\/p>\r\n
SQLMap (basit parametre tespiti)<\/p>\r\n
sqlmap u \"https:\/\/example.com\/search.php?q=term\" batch risk=2 level=3<\/p>\r\n
WPScan (WordPress)<\/p>\r\n
wpscan url https:\/\/example.com enumerate vp,tt,cb<\/p>\r\n
Burp: taray\u0131c\u0131 proxy ayar\u0131n\u0131 Burp’e ver, proxy üzerinden gezin, sonra Scanner\/Repeater ile test et.
OWASP ZAP (CLI örne\u011fi):<\/p>\r\n
zap.sh daemon port 8080 config api.disablekey=true
sonra ZAP UI'den veya API ile tarama ba\u015flat<\/p>\r\n
4) Hedefli testler — neyi nas\u0131l test etmelisiniz<\/p>\r\n
SQL Enjeksiyonu: ID\/arama\/filtre parametreleri; boolean\/union\/error\/ timebased testleri. (sqlmap ile otomatik, Burp Repeater ile manuel do\u011frulama)<\/p>\r\n
5) H\u0131zl\u0131 remediation önerileri (PHP\/MySQL özel)<\/p>\r\n
Haz\u0131r SQL kullanmay\u0131n — Prepared Statements \/ Parametrized Queries (PDO veya mysqli ile).
Input validation & output encoding — kullan\u0131c\u0131 girdisini her durumda sanitize etme + ç\u0131kt\u0131da do\u011fru encoding (HTML entities).
Stored XSS için: veri kayna\u011f\u0131nda sanitize yerine ç\u0131kt\u0131 an\u0131nda encoding (contextaware).
File upload: MIME tip kontrolü, uzant\u0131 engelleme, random dosya isimleri, upload dizinini web root d\u0131\u015f\u0131na koy, .htaccess ile script çal\u0131\u015ft\u0131rmay\u0131 engelle.
Password storage: bcrypt\/argon2 kullan, asla md5\/sha1.
Error handling: prod ortam\u0131nda detayl\u0131 hata mesaj\u0131 gösterme. Logla ama kullan\u0131c\u0131ya gösterme.
Session management: session_regenerate_id() login sonras\u0131, secure & HttpOnly cookie, k\u0131sa expiry, SameSite=strict\/ Lax uygun \u015fekilde.
Least privilege DB user: uygulama DB kullan\u0131c\u0131s\u0131na sadece gereken yetkileri verin (örn. DROP\/GRANT yok).
Dependency yönetimi: Composer paketlerini güncel tut, composer audit \/ sensiolabs\/securitychecker benzeri.
CSP ve güvenlik ba\u015fl\u0131klar\u0131 uygulay\u0131n.<\/p>\r\n
6) Raporlama & önceliklendirme<\/p>\r\n
Buldu\u011funuz her zafiyeti CVSS veya basit etki\/olas\u0131l\u0131k ölçe\u011fi ile s\u0131n\u0131fland\u0131r\u0131n (High \/ Medium \/ Low).
Öncelik: RCE \/ Auth bypass \/ SQLi \/ Sensitive data exposure en yüksek.
Her bulguya: aç\u0131klama, kan\u0131t (PoC — güvenli \u015fekilde), etki, düzeltme ad\u0131m\u0131, tekrar test önerisi ekleyin.<\/p>\r\n
7) CI \/ Otomasyon önerisi<\/p>\r\n
Düzenli tarama için ZAP veya Nikto’yu CI pipeline’a ekleyin (staging ortam\u0131nda).
sqlmap gibi araçlar\u0131 otomatik çal\u0131\u015ft\u0131rmay\u0131n production üzerinde — staging\/safe ortamda.<\/p>\r\n
8) Yan araçlar & loglama<\/p>\r\n
Fail2ban \/ WAF (ModSecurity) gibi bruteforce ve bilinen sald\u0131r\u0131 imzalar\u0131 için.
Uygulama seviyesinde audit\/log (kim ne zaman ne yapt\u0131) — activity_logs tablosu gibi.<\/p>\r\n
9) Örnek k\u0131sa checklist (k\u0131sa)<\/p>\r\n
[ ] Yaz\u0131l\u0131 izin al\u0131nd\u0131
[ ] Staging ortam\u0131 haz\u0131r
[ ] Otomatik tarama (ZAP\/Burp\/Nikto) yap\u0131ld\u0131
[ ] SQLmap ile hedefli SQLi testleri yap\u0131ld\u0131
[ ] Manuel XSS\/CSRF\/IDOR testleri yap\u0131ld\u0131
[ ] Upload kontrolleri test edildi
[ ] Güvenlik ba\u015fl\u0131klar\u0131 kontrol edildi
[ ] Düzeltmeler listelendi & CVSS ile s\u0131raland\u0131
[ ] Retest yap\u0131ld\u0131<\/p>\r\n
tüm dosyalar\u0131 içeren ZIP ar\u015fivini olu\u015fturdum. A\u015fa\u011f\u0131dan indirip kullanabilirsin:<\/p>\r\n
[Download the ZIP](security_toolkit.zip)<\/p>\r\n
\u0130çerik:<\/p>\r\n
* zap_automation.py — ZAP Python otomasyon scripti
* automation.yaml — ZAP Automation Framework örne\u011fi
* sqlmap_commands.sh — sqlmap komut seti (çal\u0131\u015ft\u0131r\u0131labilir)
* intruder_payloads.txt — Burp Intruder için payload listesi
* burp_project_template.md — Burp proje template & rehberi
* README.md — h\u0131zl\u0131 aç\u0131klama<\/p>","excerpt":"Bir PHP ve MySQL ile yaz\u0131lan web sitesinin g\u00fcvenlik a\u00e7\u0131klar\u0131n\u0131 taramak","created_at":"2025-01-18 15:53:33","updated_at":"2026-09-06 13:32:53","category_id":7,"view_count":656,"reading_time":8,"status":"published","editor_choice":0,"is_editor_choice":0,"published_at":"2025-01-18 15:53:33","featured_image":"resimyok.jpg","slug":"bir-php-ve-mysql-ile-yazilan-web-sitesinin-guvenlik-aciklarini-taramak","category_name":"Cyber Security","category_slug":"cyber-security"}