Bilgi Güvenliği AKADEMİSİ Blog

Pentest çalışmalarında, hedef sisteme erişim elde edildikden sonra sistemde kalıcı hale gelmek için arka kapılar oluşturulur.Bu konuda geliştirilen tekniklerden biri, çalışan bir process’e kod enjekte etmekdir.

Bu yöntemle, process’in dosya sistemindeki binary’sine herhangi bir zarar verilmediği için süreç RAM’de devam eder. Dolayısıyla, kendini diske yazan backdoor’lara göre tespit edilmesi daha da güçtür. Bir başka yazıda, analiz teknikleri yer alacaktır.

Cymothoa, çalışan bir process’e kod enjekte eden casus bir yazılımdır.Hali hazırda kendi üzerinde bulunan shellcode’ları enjekte ederek saldırgana uzakdan yönetim ve sistemde görünmez olma imkanı sağlar.

devamını oku…

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Sızma testleri sırasında karşılaşılan durumlardan bir taneside belirli portlardan hizmet vermekte olan ip adreslerinin tespit edilmesidir. Örneğin web uygulamaları güvenlik testleri düşünüldüğünde 80/tcp ve 443/tcp portlarından hizmet vermekte olan ip adreslerinin belirlenme işlemi gerekli olabilmektedir.

Linux komutu satırı veya herhangi bir betik dili (python, ruby ve ya perl) özellikle sızma testlerinde adımları otomatize ederek iş hızını artırmaktadır.

192.168.1.0/24 ağı için bu işlem aşağıdaki şekilde linux komut satırından gerçekleştirilebilmektedir.

# nmap -n -PN -sT -p 80,443 192.168.1.1-254 –open | grep “report” | cut -d ” ” -f5 192.168.1.2 192.168.1.4 192.168.1.31 192.168.1.37

İlgili diğer yazılar:

• Uygulamalı Ağ Güvenliği Eğitimi 1-3 Kasım (Ankara)
• Uygulamalı Ağ Güvenliği Eğitimi 7-9 Mart 2011(Ankara)
• Penetrasyon Testlerinde Aktif Bilgi Toplama
• İç Ağda Kullanıcı Hesaplarını Belirleme
• Beyaz Şapkalı Hacker (C.E.H) Eğitimi(Ankara|İstanbul)

URPF(Unicast Reverse Path Forwarding) ağ ve güvenlik cihazlarında IP spoofing’le mücadele etmek için kullanılan bir özelliktir.

Basitce URPF paketin kaynak ip adresinin yonlendirme tablosu ile karsilastirilmasi sonucu paketin uygun arabirimden gelip gelmediginin kontrol eder. URPF, internetten gelecek paketler için değil, güvenlik/network cihazı tarafından korunan sistemler için geçerlidir.

DDoS testleri gerçekleştirilirken genellikle test yapılan ağın çıkışındaki bir ağ/güvenlik cihazı üretilen sahte ip paketlerini URPF’den (ya da benzeri bir özellikten) dolayı engelliyor olabilir. Bu gibi durumlarda DDoS testlerinde üretilen paketler internete çıkamayacağı için hedef sisteme etkisi olmayacaktır. Bu gibi ortamlarda gönderilecek paketler kullanılan sistemle aynı subnetten üretilirse (mesela DDoS testi icin kullanılan sistemin ip adresi 192.168.1.3/24 olsun, burada 192.168.1.0/24 subnetinden rastgele ip kullanılabilir) URPF’e takılmadan hedef sisteme erişecektir. devamını oku…

İlgili diğer yazılar:

• Syn Cookie/Syn Proxy Kullanan Sistemleri Belirleme
• Uygulamalı Ağ Güvenliği Eğitimi 7-9 Mart 2011(Ankara)

Pentest ve CEH eğitimlerinin online eğitim kısmı açılmıştır. Başlangıç bilgileri eposta ile katılımcılara gönderilecektir.

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Parola kırma saldırıları aktif ve pasif olarak yapılmaktadır. Aktif parola kırma saldırılarında, hedef servise gerçek zamanlı parola denemeleri yapılır.  SSH, FTP, HTTP, RDP vb. network servislerine yönelik anlık olarak yapılan parola denemeleri.

Örnek,  1.1.1.1 ip adresinin ssh servisinin (port 22)  root kullanıcı parolasını elde etmek için parola denemesi yap;

# ncrack -v --user root 1.1.1.1:22
Starting Ncrack 0.4ALPHA ( http://ncrack.org ) at 2011-11-01 10:48 EET

Warning: Hostname localhost resolves to 2 IPs. Using 1.1.1.1.
Discovered credentials on ssh://127.0.0.1:22 'root' 'toor'
ssh://1.1.1.1:22 finished.

Pasif saldırılarda ise, elde edilen şifre yerel kaynaklar kullanılarak kırılmaya çalışılır. Veritabanından alınan md5 ile şifrelenmiş parolalar, encrypt mysql bilgileri örnek gösterilebilir.Zaman, mekan bağımsız yerel sistem kaynakları kullanarak parola kırma işlemi gerçekleştirilir.
Örnek, aşağıdaki “ozanus” kullanıcısına ait şifreyi kırmak gibi ;

ozanus:$6$.w8/SyaA$gmPDto11yjsu5cLaRs5KdOdRgGYOE.9NxMZJ/PdeOavscagQuTNbkDdYdM9bBS0akaeqx.yV2citWOd16Chfq.:15279:0:99999:7:::

# john --users=ozanus hashfile
Generic crypt(3) module: hash encoding string length 20, type id $L
appears to be unsupported on this system; will not load such hashes.
Loaded 1 password hash (generic crypt(3) [?/32])
ozan123 (ozanus) devamını oku...

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Pentest çalışmalarında dahil olduğunuz yerel ağda, kimlik doğrumala gerektirmeksizin sizi internet dünyasına yönlendirebilecek  gateway  adreslerini (bilinmeyenlerin çıkış noktası) ve diğer LAN networklere erişimi sağlayan router adreslerini bulmak isteyebilirsiniz. Kimi durumlarda erişim elde ettiğiniz sistemi internete açmak kimi durumlarda bilgi sızdırmak için bir çıkış kapısı olarak işe yarar.

Daha önce aşağıdaki adreste bir örneğinden bahsetmiştim. Ettercape yalnızca hedefin TCP 80 portuna erişebildiği durumlarda gateway adresini bulabiliyor.

- Gateway dışarıya TCP port 80 erişimini engelliyorsa ?
- Gateway bulma işlemini ele geçirdiğiniz sistem üzerinden yapmanız durumunda, ettercape kuramıyorsanız ?

gateway-finder.py

Scapy kütüphanesini kullanan küçük bir python betiği.  LAN networklerde IP Forwarding yapan ip adreslerini ve hangilerinin internet erişiminin olduğunu bulmayı sağlıyor.Whitebox pentestlerde ise, networkünüzde bilginiz/izniniz dışında  ağ geçitleri (sahte access point gibi)  var mı  bulmanızı sağlar. devamını oku…

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

SNMP (Simple Network Management Protocol) , aktif ağ cihazları hakkında bilgi toplamak için kullanılır. Switch, Router, Firewall ve hatta işletim sistemleri SNMP ile monitor edilebilir. Network uzmanları SNMP servisi ile, uzak sistemin network trafiği, canlı bağlantılar, config bilgileri, port durumları vs. görüntüleyerek yönetim kolaylığı sağlarlar.

SNMP v1 ve SNMP v2 protokolleri bir topluluk anahtarı (community string) ile sorgulama yapar ve varsayılan olarak “public” dir. SNMP v3′de ise daha güvenlidir ve kimlik doğrulama seçenekleri mevcuttur. SNMP servisi, varsayılan olarak UDP port 161 den çalışır.

Pentest Çalışmalarında SNMP Servisinin Keşfi

UDP 161 varsayılan portundan çalışan snmp servislerine yönelik keşif çalışması;

$ sudo nmap -sU -sV 6.6.6.0/24 -p 161
Starting Nmap 5.21 ( http://nmap.org ) at 2011-10-25 10:41 EEST
Nmap scan report for 6.6.6.100
Host is up (0.0063s latency).
PORT    STATE         SERVICE VERSION
161/udp open|filtered snmp

MAC Address: 00:0C:29:CF:A1:67 (VMware)
Nmap scan report for 6.6.6.104
Host is up (0.062s latency).
PORT    STATE SERVICE VERSION
161/udp open snmp SNMPv1 server (public)
MAC Address: 00:1E:8F:AF:AB:23 (Canon)
Service Info: Host: MF4500 Series

- 6.6.6.104 snmp servisi açık ve community string ise “public“.

- 6.6.6.100 ip adresi için udp 161 açık veya filtrelenmiş olabilir dedi, neden ?

UDP, TCP protokolü gibi durum korumalı bir protokol değildir.Hata mekanizması ICMP ile yapılır. Açık bir UDP portuna bağlantı kurulduğunda, herhangi bir cevap dönmez bağlantı kurmuşsunuzdur. Kapalı bir UDP portuna bağlantı kurmak istediğinizde ise ICMP Port Unreachable mesajı döner. Peki hedef sistemin önünde bir firewall var ve bağlantıları drop ediyorsa ?  bu durumda da portun açık yada filtreli olduğunu belirtir nmap.

SNMP Brute Force Saldırıları

SNMP servisine yönelik comminitry string’i brute force saldırısı ile deneme-yanılma yaparak öğrenebiliriz.Metasploit yardımcı araçları (auxiliary) ile snmp brute force saldırısı yapılabilir. devamını oku…

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Proxy Üzerinden Port Tarama Neden İhtiyaç Duyurulur?

Temelde iki ihtiyacı karşılar:

• Saldırgan/pentester kendi ip adresini gizlemek ister
• Saldırgan/pentester internet üzerinden doğrudan ulaşamadığı sistemlere proxy üzerinden ulaşabilir(DMZ’de ele geçirilen bir makine üzerinden yerel ağa veya diğer sistemlere erişim)

Port tarama işlemlerinde eğer hedef sistem doğrudan ulaşılabilir pozisyonda değilse araya bir katman ekleyerek onun üzerinden port tarama işlemleri gerçekleştirilebilir. Hedef sistem Linux/Windows ve üzerinde SSH sunucu çalışıyorsa sistem üzerinde sıradan yetkileri olan bir kullanıcı haklarıyla SSH Tüneli kurularak port tarama işlemi gerçekleştirilebilir. devamını oku…

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Pentesterlar veya saldırgan hackerlar hedeflerindeki sistemlerin zayıflıklarını analiz ettikden sonra,  hedefi ele geçirmek ve bilgiyi açığa çıkarmak için çeşitli exploiting teknikleri uygularlar.

Metasploit Framework farklı sistemler ve platformlar için geliştirilmiş yüzlerce exploite sahiptir. Ortalama 150-300 sistemin olduğu bir ağ’da her bir hedef için bu exploitlerden  tek tek  yararlanmak oldukça fazla zaman alan bir uğraş olacaktir. Metasploit Framework, penetration testler için otomatikleştirilebilir. Metasploit, penetration testler için  otomatik exploit çalitirma motorunu (db_autopwn) barındırır.Bununla kapsamli bir exploiting işlemini kısa  sürede gerçekleştirebiliriz.Pen-Test, metasploit konsol arayüzü (msfconsole) ile gerçekleştirilir.

Metasploit’de var olan ve kullanılabilir database bağlantıları. Postgresql ve Mysql veritabanlarıdır. Kullanılabilir veritabanlarını listelemek için “db_driver” komutu kullanılabilir.

Veritabanı Komutları
===========================
Komut                   Açıklama
——–                 - ———–
db_connect Varolan veritabanına bağlantı kurar ( /path/to/db )
db_create Yeni bir veritabanı oluşturur ( /path/to/db )
db_destroy Varolan veritabanını bırakır ( /path/to/db )
db_disconnect Varolan veritabanıyla bağlantıyı keser

Dikkat: Bu yazıda aktarılan bilgiler tüm metasploit sürümlerinde ve farklı işletim sistemlerinde bire bir çalışmayabilir. Bu yazıda metasploit v3.8 ve ubuntu kullanılmıştır. devamını oku…

İlgili diğer yazılar:

• İlgili yazı bulunamadı:

Günümüz DDoS saldırılarında en sık tercih edilen yöntemlerden biri SYN flood saldırılarıdır. Bu saldırı tipinde amaç hedef sistemin yarı açık bağlantı limitlerini zorlayarak hizmet veremez hale getirilmesidir. Önlem alınmayan bir sisteme yönelik gönderilecek  ortalama 2000-30000 SYN paketi ile  hedef sistem servis veremez hale getirilebilir.

Güvenlik sektöründe bu saldırıyı engellemek amacıyla iki temel yöntem geliştirilmiştir*: Syn cookie ve syn proxy. Her iki yöntemde de amaç kaynağı doğrulanmamış SYN paketlerinin korunaklı sisteme ulaştırılmamasıdır. Yani öndeki sistem (Firewall/IPS, DDoS engelleme sistemi, Load balancer vs) gelen her SYN paketi için geriye bir adet SYN paketi göndererek son ACK paketinin gelmesini bekler.

Son ACK paketi gelmezse gönderici sahte ip adresindendir diyerek sistemden kaynak ayırmaz, son ACK paketi gelirse aradan çekilerek arkadaki sisteme paketleri iletmeye başlar. devamını oku…

İlgili diğer yazılar:

• DDoS & BotNet Sorunu Etkinliği Sunumları
• Uygulamalı Ağ Güvenliği Eğitimi 7-9 Mart 2011(Ankara)
• İç Ağda Kullanıcı Hesaplarını Belirleme
• Hping Kullanarak URPF Korumalı Ağlarda IP Spoofing
• DDoS Saldırıları ve Korunma Yolları Eğitimi (İstanbul)