Sql İnject Fixi [C++]

---

Sql Injection Güvenlik Açığı Nedir?
Sql Injection, bir saldırganın SQL sorguları aracılığıyla bir veritabanına yetkisiz erişim sağlamasına olanak tanıyan bir güvenlik açığıdır. Özellikle Metin2 gibi oyun sunucularında, veritabanı işlemleri yoğun olarak kullanıldığı için bu tür açıklar ciddi zararlara yol açabilir. Sql Injection saldırıları, kullanıcıdan gelen verilerin doğrulanmadan veya filtrelenmeden SQL sorgusuna entegre edilmesiyle oluşur. Bu nedenle, C++ tabanlı Metin2 sunucularında bu tür açıkların kapatılması büyük önem taşır.

Sql Injection Nasıl Meydana Gelir?
Metin2 sunucularında genellikle oyuncu adları, şifreler, envanter bilgileri gibi veriler veritabanına yazılır ve okunur. Eğer bu işlemler sırasında kullanıcıdan gelen veriler uygun şekilde kontrol edilmezse, saldırganlar SQL komutları ekleyerek veritabanında istenmeyen değişiklikler yapabilir veya hassas verileri çalabilirler. Örneğin bir giriş formunda kullanıcı adı doğrudan SQL sorgusuna dahil ediliyorsa, saldırgan ' OR 1=1 -- gibi bir ifadeyle tüm kullanıcıların şifresini atlayarak sisteme girebilir.

Sql Injection Fixi İçin C++ Uygulamaları
Metin2 sunucularında Sql Injection açıklarını kapatmak için C++ dilinde bazı önemli yöntemler kullanılmalıdır. Bunlardan ilki, kullanıcıdan gelen verileri doğrudan SQL sorgusuna eklemek yerine parametrik sorgular kullanmaktır. Bu sayede veri, sorgunun bir parçası olarak değil, sadece değer olarak işlenecektir. Böylece saldırganın herhangi bir SQL komutu eklemesi mümkün olmayacaktır.

Parametrik Sorgular Kullanımı
C++ dilinde veritabanı işlemleri için genellikle MySQL Connector veya benzeri kütüphaneler kullanılır. Bu kütüphanelerde genellikle parametrik sorgular desteklenir. Örneğin, bir kullanıcı adı ile giriş yapılırken şu şekilde bir yapı kullanılabilir:

SELECT * FROM accounts WHERE login = ? AND password = ?

Burada '?' işaretleri, daha sonra güvenli bir şekilde atanacak olan değerlerdir. Bu sayede kullanıcıdan gelen veri, sorgu içinde bir komut olarak değil, sadece bir değer olarak işlenir.

Veri Filtreleme ve Doğrulama
Kullanıcıdan alınan verilerin uygun şekilde filtrelenmesi ve doğrulanması da Sql Injection'a karşı alınacak önlemler arasında yer alır. Örneğin, kullanıcı adı alanında sadece harf ve rakamlara izin verilmeli, özel karakterler engellenmelidir. Ayrıca kullanıcıdan gelen veri uzunluğu da sınırlandırılmalıdır. Bu sayede hem performans artar hem de güvenlik sağlanır.

Escape Fonksiyonlarının Kullanımı
Bazı durumlarda parametrik sorgular kullanılamayabilir. Bu gibi durumlarda escape fonksiyonları devreye girer. C++ ile yazılmış Metin2 sunucularında MySQL kütüphanesinin sağladığı mysql_real_escape_string() fonksiyonu kullanılabilir. Bu fonksiyon, kullanıcıdan gelen veride bulunan özel karakterleri uygun şekilde kaçırarak SQL sorgusunun doğru çalışmasını sağlar.

Sunucu Tarafında Güvenlik Katmanı Oluşturmak
Metin2 sunucusu geliştirilirken, güvenlik katmanları ayrı bir modül olarak tasarlanmalı ve tüm veritabanı bağlantıları bu katman üzerinden yapılmalıdır. Böylece tüm sorgular merkezi olarak kontrol edilebilir ve güvenlik açıklarının tespiti kolaylaşır. Ayrıca loglama sistemleri ile şüpheli sorgular takip edilebilir.

Sql Injection Fixi İçin Örnek Kod Yapısı
Aşağıda basit bir Sql Injection koruması içeren örnek C++ kodu örneği verilmiştir:



Bu şekilde, kullanıcıdan gelen veri doğrudan sorguya entegre edilmeden güvenli bir şekilde işlenir.

Sonuç
Sql Injection açıkları, Metin2 sunucularında ciddi güvenlik risklerine neden olabilir. Ancak doğru uygulamalarla bu açıklar tamamen kapatılabilir. C++ tabanlı sunucularda parametrik sorgular, veri doğrulama ve filtreleme gibi yöntemlerle Sql Injection saldırılarına karşı güçlü bir koruma oluşturulabilir. Bu tür güvenlik önlemleri, hem sunucu sahipleri hem de oyuncular için hayati önem taşır.

---

What is Sql Injection Vulnerability?
Sql Injection is a security vulnerability that allows attackers to gain unauthorized access to a database by inserting malicious SQL commands. Especially in games like Metin2, where database operations are heavily used, such vulnerabilities can cause serious damage. Sql Injection attacks occur when user inputs are not properly validated or sanitized before being included in SQL queries. Therefore, closing these vulnerabilities in C++ based Metin2 servers is crucial.

How Does Sql Injection Occur?
In Metin2 servers, player names, passwords, inventory information and similar data are frequently stored or retrieved from the database. If these processes do not validate user inputs correctly, attackers may insert SQL commands to manipulate or steal sensitive data. For instance, if a username field is directly added to an SQL query without validation, an attacker could use an input like ' OR 1=1 -- to bypass password checks and gain access to the system.

C++ Implementations for Sql Injection Fixes
To prevent Sql Injection vulnerabilities in Metin2 servers, several important methods should be applied using C++. One of them is using parameterized queries instead of directly embedding user inputs into SQL statements. This ensures that the data is treated only as a value rather than part of the command, preventing attackers from injecting malicious code.

Using Parameterized Queries
In C++, database operations often rely on libraries like MySQL Connector. These libraries usually support parameterized queries. For example, when logging in with a username, a structure like the following can be used:

SELECT * FROM accounts WHERE login = ? AND password = ?

Here, the '?' symbols represent values that will be safely assigned later. This ensures that user input is processed as a value rather than a command within the query.

Data Filtering and Validation
Filtering and validating user inputs is also crucial to prevent Sql Injection. For example, usernames should allow only letters and numbers, and special characters must be blocked. Additionally, the length of user inputs should be limited to improve both performance and security.

Using Escape Functions
In cases where parameterized queries cannot be used, escape functions come into play. In C++ based Metin2 servers, the mysql_real_escape_string() function provided by the MySQL library can be used. This function escapes special characters in user inputs, ensuring that SQL queries execute correctly without injection risks.

Building Security Layers on Server Side
When developing Metin2 servers, security layers should be designed as separate modules, and all database connections should go through this layer. This allows centralized control over queries and makes it easier to detect vulnerabilities. Furthermore, logging systems can track suspicious queries.

Sample Code Structure for Sql Injection Fix
Below is a simple example of C++ code implementing Sql Injection protection:



In this way, user input is processed securely without being directly embedded into the query.

Conclusion
Sql Injection vulnerabilities can pose serious security threats to Metin2 servers. However, they can be completely eliminated with proper implementations. Using techniques such as parameterized queries, data validation, and filtering in C++ based servers can provide strong protection against Sql Injection attacks. Such security measures are vital for both server owners and players.