🏛️ Siber Arkeoloji #10 — Web'in İlk Katliamı: Samy Worm ve Myspace'i Yıkan XSS (2005) Herkese Selamlar, Bugün sizlerle birlikte siber güvenlik tarihinin en eğlenceli ama bir o kadar da yıkıcı olaylarından birine, web güvenlik standartlarını sonsuza dek değiştiren Samy Worm vakasına bakıyoruz. Yıl 2005... Facebook henüz emekleme aşamasındayken dijital dünyanın tek kralı Myspace idi. Herkes profilini özelleştiriyor, arka plana müzikler koyuyor, renkli HTML kodlarıyla havasını atıyordu. İşte bu ekosistemde 19 yaşındaki Samy Kamkar adlı genç, tamamen masum bir merakla yola çıktı: "Profilimdeki arkadaş sayısını biraz artırsam ne olur ki?" Sonuç mu? Solucanın yarattığı yoğunluk nedeniyle MySpace siteyi geçici olarak kapatmak zorunda kaldı. Peki bu solucan arkasında nasıl bir teknik mekanizma barındırıyordu? Adım adım inceleyelim: Filtreleri Aşan Yaratıcılık (XSS Bypass): Myspace kullanıcıların profillerine zararlı JavaScript kodu eklemesini engellemek için <script> ve <body> etiketlerini kesin olarak engellemişti. Ancak Samy, CSS kodlarının içine gömülebilen background:url('javascript:...') hilesini ve tarayıcıların satır sonu toleranslarını kullanarak Myspace'in güvenlik filtrelerini tek tek baypas etti. Stored XSS (Kalıcı XSS) Gücü: Hazırladığı kodu kendi Myspace profiline gömdü. Artık bu kod bir bağlantıya tıklamaya gerek kalmadan, sadece Samy'nin profilini ziyaret eden her kullanıcının tarayıcısında otomatik olarak çalışıyordu. Üstel (Eksponansiyel) Bulaşma Mantığı: Kod bir kurbanın tarayıcısında çalıştığı an arka planda iki sessiz işlem yapıyordu: Kurbanın hesabından Samy'ye otomatik arkadaşlık isteği gönderiyordu. Kurbanın kendi profilinin altına "but most of all, Samy is my hero" (ama hepsinden önemlisi, Samy benim kahramanım) yazısını ekliyor ve solucanın bir kopyasını kurbanın profiline de bulaştırıyordu. 20 Saat, 1 Milyon Profil ve Çöküş: Bir kişi Samy'nin profilini gördü ➔ Kod bulaştı ➔ Onun profilini gören tüm arkadaşlarına bulaştı... Solucan domino etkisiyle katlanarak yayıldı. Sadece 20 saat içinde 1.000.000'dan fazla kullanıcı solucandan etkilendi. Solucanın yarattığı yoğunluk nedeniyle Myspace siteyi geçici olarak kapatmak zorunda kaldı. 📌 Siber Güvenlik Dersi: Samy Worm, XSS zafiyetlerinin ciddiyetini tüm yazılım dünyasına öğreten acı bir tecrübe oldu. Kullanıcıdan alınan verilerin güvenli şekilde işlenmesi, bağlama uygun Output Encoding ve gerektiğinde güvenilir sanitization yöntemleri hayati önem taşır. Ayrıca günümüz modern web dünyasını bu tür felaketlerden koruyan en büyük zırh, hangi kodların çalıştırılabileceğini sınırlandıran CSP (Content Security Policy) mimarisidir. "Masum görünen tek bir buton, doğru kurgulanmış bir zafiyetle koca bir platformu çökertebilir." 💬 Mustafa soruyor: Sizce günümüz modern sosyal medya platformlarında (X, Instagram, LinkedIn) Samy Worm gibi eksponansiyel yayılan bir Stored XSS solucanı hâlâ mümkün mü, yoksa CSP ve modern JavaScript çatıları (React, Vue vb.) bu devri tamamen kapattı mı? Yorumlarda buluşalım! 👇