Konuyu Açan
#1
CSV dosyaları, veri aktarımında oldukça yaygın biçimde kullanılırken, güvenlik açıklarına da zemin hazırlayabilir. Özellikle CSV Injection (CSV Enjeksiyonu), kötü niyetli kullanıcıların içeriklere zararlı komutlar enjekte ederek, dosya açıldığında veya işlendiğinde sistemlerde istenmeyen davranışlara yol açmasıdır. Bu risk, genellikle hücresel içeriklerin doğrudan Excel veya diğer elektronik tablo yazılımlarına aktarılması sırasında ortaya çıkar. Bu nedenle, Python ile CSV dosyası üretirken alınacak önlemler, güvenlik açısından kritik öneme sahiptir.
İlk olarak, CSV Injection’ın temel mantığını anlamak gerekir. Kötü niyetli kullanıcılar, hücrelere “[=”, “+”, “-”, “@” gibi karakterlerle başlayan ifadeler ekleyerek, bu içeriklerin açıldığı yazılımda formüller veya komutlar tetiklenebilir hale gelmesini sağlar. Örneğin, bir hücreye şu içerik eklenebilir: [code]=SUM(A1:A10)[/code]. Eğer bu hücre, Excel’de açıldığında otomatik olarak hesaplamayı tetikler veya başka kötü amaçlar için kullanılabilir hale gelir.
Python’da CSV dosyası yazarken, bu riski azaltmak için şu temel stratejileri uygulamak gerekir:
- İçerikleri Temizleme ve Kaçışlama: Kullanıcıdan alınan veya dışarıdan gelen verileri, hücreye yazmadan önce, hücrelerin formül olarak algılanmasını engelleyecek karakterlerle başlatmak veya içeriklerini kaçırtmak. Örneğin, içerik “[=SUM...]” ise, başına tek tırnak veya boşluk eklenebilir.
- Özel Karakterleri Dönüştürmek: Her hücredeki içerikten “[=”, “+”, “-”, “@” gibi karakterleri kaldırmak veya yerine güvenli alternatifler koymak. Bu işlem, regex veya string metotları kullanılarak yapılabilir.
- Excel’e Özgü Güvenlik Ayarları: Eğer dosya Excel’e aktarılacaksa, bu dosyanın güvenlik ayarlarını ve makro engellemelerini kullanmak, hücreleri formül içeriklerinden arındırmak veya hücreleri metin formatında ayarlamak.
Örnek olarak, Python’da CSV yazarken şu şekilde bir fonksiyon kullanılabilir:
KOD
12345678910111213141516171819import csv
import re
def guvenli_csv_yaz(datalist, filename):
with open(filename, 'w', newline='', encoding='utf-8') as csvfile:
writer = csv.writer(csvfile)
for satir in datalist:
temiz_satir = []
for hucre in satir:
# Formül karakterlerini engelle
hucre = re.sub(r'^[=+\-@]', ' ', hucre)
# Diğer riskli içerikleri temizle
hucre = hucre.replace('\n', ' ').replace('\r', ' ')
temiz_satir.append(hucre)
writer.writerow(temiz_satir)
[b]Kullanım[/b]
veriler = [['=SUM(A1:A10)', '+123', '-=HACK', '@malicious']]
guvenli_csv_yaz(veriler, 'guvenli.csv')]
Bu yöntem, kullanıcıların kötü niyetli içeriklerini büyük ölçüde sınırlar. Ayrıca, CSV dosyasını kullanırken, hedef uygulama veya ortamda ek güvenlik tedbirleri almak ve kullanıcıların girdilerini doğrulamak da önemlidir.
Sonuç olarak, Python ile CSV oluştururken, içerikleri dikkatli biçimde filtrelemek ve gerekirse escape etmek, olası enjeksiyon saldırılarını önlemenin temel yollarıdır. Bu sayede, veri aktarım süreçleri hem güvenli hem de güvenilir hale gelir.
