Web Exploitleri: SSRF, XXE ve File Inclusion

Web exploit'leri, web uygulamalarındaki güvenlik açıklarından yararlanarak unauthorized access ve data extraction sağlar. SSRF (Server-Side Request Forgery), uygulama server'ını internal veya external kaynaklara istek yapmaya zorlar ve internal service discovery, cloud metadata access (AWS 169.254.169.254) ve port scanning için kullanılır. Blind SSRF, response body dönmeyen SSRF varyantıdır ve DNS interaction veya HTTP callback ile exploitation doğrulanır; Out-of-band (OOB) techniques kullanılır. XXE (XML External Entity), XML parser'ını external entity load yapmaya zorlar ve local file read (file:///etc/passwd), SSRF ve DoS sağlar; libxml2 ve Java XML parser'ları etkilenir. LFI (Local File Inclusion), server'daki local dosyaları okuma zafiyetidir ve path traversal (../../) ile sensitive file access sağlar; PHP wrapper'ları (php://filter, php://input, data://) ile code execution'a yükseltilebilir. RFI (Remote File Inclusion), external URL'den malicious code include etmeyi sağlar ve allow_url_include PHP config'i ile ilişkilidir; modern PHP versiyonlarında varsayılan olarak kapalıdır.