Sitenizde Ürünler "Bedavaya" Satılıyor Olabilir mi? Vaka Analizi Part 1

Selamlar R10 dostları,

Bugün size teknik bir "açıktan" ziyade, bir yazılımın "akıl tutulmasını" nasıl yakaladığımı anlatacağım. Elimizde gıcır gıcır, Cursor/AI desteğiyle ayağa kaldırılmış, tasarımıyla göz kamaştıran bir e-ticaret sitesi var. Sahibi haklı olarak gururlu: "Hocam her şey tıkır tıkır, ödeme sistemimiz taş gibi, saniyeler içinde sepet onaylanıyor" diyor.

Kolları sıvadım. Ama amacım kapıyı kırmak değil, sistemin kendi mantığıyla onu mat etmekti.

Sahne şöyle:
Sepete piyasa değeri 45.000 TL olan oyuncu laptopunu ekledim. Sistem sepeti onayladı, ödeme sayfasına yönlendirdi. İşte tam o anda, sistemin arkadaki "matematikçi" zekasına küçük bir illüzyon yaptım.

Yazılımın toplama-çıkarma yaptığı o görünmez teraziye, sistemin hiç beklemediği, doğasına aykırı bir "hayalet ürün" bıraktım. Bir nevi, sepete öyle bir değer girdim ki; sistem o lüks laptopu gördü ama yanındaki o "negatif" ağırlığı nasıl hesaplayacağını şaşırdı.

Sonuç?
Saniyeler içinde, 45.000 TL'lik o koca laptop sepet ekranında bir anda 120 TL'ye düştü. Üstelik ödeme sistemi (Gateway) bu rakamı "gerçek" kabul edip benden sadece 120 TL çekmeye hazırdı. Siparişi onaylasam, depodaki arkadaş o laptopu paketleyip kargoya verecekti.

İşin sırrı ne?
Yapay zeka veya tecrübesiz bir yazılımcı, kodun "çalışmasına" odaklanır. "1+1=2 eder" der ve geçer. Ama bir pentest uzmanı (saldırgan gözüyle bakan biri) "1'in yanına -100 koyarsam bu sistem ne yapar?" diye sorar. AI size kusursuz bir "toplama makinesi" verir ama "kötü niyetli bir illüzyonisti" engelleyecek o barikatı kurmayı çoğu zaman unutur.

Sorum şu: Binlerce lira reklam bütçesi harcayıp siteye hit çekiyorsunuz. Peki, bir sabah uyandığınızda stoklarınızın "bedavaya" tükendiğini görseniz ne hissedersiniz?

Sisteminizin sadece "çalışması" yetmez, "kandırılamaz" olması gerekir. Gelin, projenizin mantık hatalarını hackerlardan önce biz bulalım.

Küçük bir bonus:
Konu altına "Sistemim Güvende mi?" yazan ilk 3 kişiye derin pentest hizmetimiz 3000 ₺ yerine 200₺

öyle birşey başıma gelse bütün iadeleri geçer siteyi düzeltene kadar offline çekerim çok sıkıntı cidden

Orda da müşteri kaçırıyorsunuz maalesef offline çekince birazcık parayı penteste harcamamanın bedeli sonrasında binlerce on binlerce tl oluyor maalesef

en mantıklısı aslında güvenlik analizi yaptırmak değil mi sizce sitede açık hata varmı yokmu diye

O da pentest oluyor işte, kesinlikle yaptırılması lazım.

forum açıcaktım vazgeçtim açsaydım eğer direk yaptırıcaktım öncelikti benim için heves ettim yazdım sıfırdan açmadım sonra forumu

Hayallerinizin peşinden koşun, sadece planlamayı iyi yapın risk analizi sektör analizi önemli

Bir filmde gördüm 0 dan yaptım herşeyi filmdeki domaine kadar aldım sadece gözüme güzel geldi diye legal bir forum olucaktı vazgeçtim sonra

Kısaca sql injection deseniz daha anlasılır olurdu.
Ai ile yapılmıs projeler de sql injection dikkat edilmezse olur o yüzden full ai ye bırakmakta yanlıs sql injectiona dayanıklı yap denilicek ai ye ve yapan kisi ya kendisi ya baska bir yazılımcı kontrol edicek öyle laptop gercekten satılan yerlerde mutlaka bu acıklar fixlenmistir.