sızma testi raporu, pentest raporu, penetration test report, pentest report, penetrasyon testi raporu

1. PENTEST RAPORU
21.12.2019 – 28.12.2019
Bu raporun sahipliği ve mülkiyet hakları SANS.org’a aittir ve “GİZLİ” bilgiler içermektedir. Yetkili kişiler
haricinde okunması yasaktır. Raporun bütünü veya herhangi bir parçası, SANS.org’un yazılı izni
olmadan herhangi bir şekilde açıklanamaz, gösterilemez, kopyalanamaz veya çoğaltılamaz. Bu belge
elinize yetkisiz bir şekilde ulaştıysa lütfen hsevben@gtu.edu.tr adresine bildiriniz.
1

2. Müşteri/Hedef: SANS Institute
Bu belge “SANS Institute” kurumuna ait “GİZLİ” bilgiler içermektedir ve yetkili kişiler haricinde
okunması yasaktır. Bu belge elinize yetkisiz bir şekilde ulaştıysa lütfen hsevben@gtu.edu.tr adresine
bildiriniz.
Rapor Detayları
Rapor Başlığı SANS Institute Sızma Teti Sonuç Raporu
Versiyon 1.0
Yazan Hamdi Sevben
Test Ekibi Kunal Khubchandani, Sarang Tumne, Hamdi Sevben, Hamed Farid, Kavish
Tyagi
Kontrol Eden Kavish Tyagi
Onaylayan Monika Telekar
Rapor Sınıfı Gizli
Müşteri Kurum Yetkilisi
Yetkili Adı ve Soyadı Ünvanı Kurum Adı
Hala Taha Genel Müdür SANS Institute
Rapor Denetimi
Versiyon Tarih Yazar Tanım
V1.0 01.01.2020 SANS Institute Final
2

3. İçindekiler Tablosu
Müşteri/Hedef: SANS Institute..................................................................................................................2
UYARI.....................................................................................................................................................4
1. YÖNETİCİ ÖZETİ..................................................................................................................................5
1.2. KAPSAM VE IP ADRESLERİ................................................................................................................5
1.3. TEST EKİBİ.......................................................................................................................................6
1.4. GENEL DEĞERLENDİRME..................................................................................................................6
1.5. GENEL TEST METODOLOJİSİ.............................................................................................................6
1.5.1. Sızma testi ve türleri.....................................................................................................................6
1.5.1.1. Beyaz kutu.................................................................................................................................6
1.5.1.2. Siyah kutu..................................................................................................................................7
1.5.1.3. Gri kutu.....................................................................................................................................7
1.6. RİSK DERECELENDİRME....................................................................................................................8
1.7. GENEL BULGULAR............................................................................................................................9
2. TEKNİK BİLGİLER...............................................................................................................................10
2.1. BİLGİ TOPLAMA.............................................................................................................................10
2.1.1. Domain Sorgusu ve Whois Sorgusu.............................................................................................10
2.1.2. Web Sitesi Analizi.......................................................................................................................10
2.1.3. Arama Motorları.........................................................................................................................10
2.1.4. Ağ Haritasının Çıkarılması............................................................................................................10
2.1.5. Sosyal Mühendislik Çalışması......................................................................................................10
2.1.6. Tahmin Çalışması........................................................................................................................10
2.1.7. Bulgular......................................................................................................................................10
2.1.7.1 Ağ Haritalama...........................................................................................................................11
2.2. ZAFİYET TARAMASI........................................................................................................................12
2.2.1. Client Side Code..........................................................................................................................12
2.2.2. Wireshark Analizi........................................................................................................................14
2.2.3. Tcpdump Analizi.........................................................................................................................19
2.2.4. arpspoof ile Ortadaki Adam Saldırısı(MITM) Yapılması.................................................................20
2.2.5. ettercap ile Ortadaki Adam Saldırısı(MITM) Yapılması.................................................................22
2.2.6. Brute Force(Kaba Kuvvet) Parola Saldırısı Yapılması.....................................................................23
2.3. Açıklık Taraması Sonuçları..............................................................................................................24
2.4. İLAVE ÇÖZÜM ÖNERİLERİ...............................................................................................................26
2.5. KULLANILAN ARAÇLAR...................................................................................................................27
3

4. UYARI
Rapor içeriği gizli olup iki tarafın yazılı mutabakatı olmadan üçüncü taraflara basılı olarak ya da
elektronik ortamda transfer edilemez veya paylaşılamaz.
Rapor, tarama süresi içinde varlığı bilinen veya tarafımızdan tespit edilen güvenlik açıklıklarını
içerecektir. Tarama işlemi bittikten sonra rapor teslim edilene kadar geçen süre içerisinde çıkabilecek
yeni güvenlik açıklarına dair eksikliklerden dolayı raporu hazırlayan firma sorumlu tutulamaz.
Rapor içinde yer alan çözüm önerilerine konu hakkında fikir verme amaçlı yer verilmiştir. Çözüm
önerilerinin uygulanması sebebi ile çıkabilecek problemlerden raporu hazırlayan firma sorumlu
tutulamaz. Önerilerde sunulan değişikliklerden gerçekleştirilmeden önce konu hakkında uzman
kişilerden destek alınması tavsiye edilir.
4

5. 1. YÖNETİCİ ÖZETİ
1.1. GENEL BİLGİLER
Bu rapor, GTU Ltd. Şti. tarafından SANS.org sistemleri üzerindeki güvenlik açıklarını ortaya çıkarmak
amacı ile 21-28 Aralık 2019 tarihleri arasında gerçekleştirilen sızma testleri ve güvenlik
değerlendirmeleri çalışmalarının detaylı sonuçlarını içermektedir.
Sızma testi kapsamında SANS.org kurumu altyapısı ve sunucularının çalışmasını etkileyecek araçlar
kurum yetkililerinin bilgisi olmadan kullanılmamış, hizmetin aksamasına neden olabilecek herhangi bir
işlem gerçekleştirilmemiştir.
Bilgi sistemleri, intranet yani iç ağ sızma testlerine tabii tutulmuştur. İntranet üzerinden
gerçekleştirilen testlerde çeşitli seviyede yetkilendirilmiş kullanıcı hakları kullanılarak sistemler test
edilmiş ve bunlardan doğabilecek riskler raporun ilerleyen kısımlarında açıklanmıştır.
Test ile sunucular üzerinde bulunabilecek muhtemel güvenlik açıklıklarının kötü niyetli
saldırganlardan önce ortaya çıkartılması ve önlem alınması amaçlanmaktadır.
Rapor, bulunan her güvenlik açığının risk derecesini, açık hakkında açıklamaları, daha detaylı bilgi
bulabileceğiniz bağlantıları, güvenlik açığının nasıl kapatılabileceği hakkında gerekli bilgiyi, açığın nasıl
kötüye kullanılabileceği hakkında örnekleri ve uzman personelin yorum ve önerilerini içermektedir.
Açıklıkların kapatılmasında izlenecek sırayı belirlerken teknik raporda belirtilen açıklık önem
dereceleri öncelikli rol oynamalıdır.
Rapor okuyucunun TCP/IP ve kullanılan teknoloji hakkında temel bilgilere sahip olduğu düşünülerek
hazırlanmıştır. Bu sebeple raporlarda kullanılan terimler ile ilgili her hangi bir açıklama
yapılmayacaktır.
1.2. KAPSAM VE IP ADRESLERİ
Bu tarama kapsamında taramayı yaptıran SANS.org kurumu tarafından belirlenen ve 137.135.141.116
ip adresli sunucuya yönelik saldırı ve sızma testi gerçekleştirilmiştir. Bu testler esnasında, test edilen
sunucu tarafından verilen hizmetlerin sekteye uğratılmaması amacıyla Denial of Service (DoS)
saldırıları yapılmamıştır.
5

6. 1.3. TEST EKİBİ
Kunal Khubchandani Kıdemli Sızma Testi Uzmanı*
Sarang Tumne Sertifikalandırılmış Sızma Testi Uzmanı*
Hamdi Sevben Kayıtlı Sızma Testi Uzmanı*
Hamed Farid Stajyer Sızma Testi Uzmanı*
Kavish Tyagi Stajyer Sızma Testi Uzmanı*
* TSE programına uygun uzmanlık seviyesidir.
1.4. GENEL DEĞERLENDİRME
Gerçekleştirilen kontroller, özellikle kimlik doğrulama uygulamasının güvenlik açısından son derece
problemli olduğunu göstermiştir. Bu da testler neticesinde iletişim esnasında yapılan işlemlerin
cleartext olması, zayıf parola ve protokol kullanılması sebebiyle önemli ve tehlikeli güvenlik açıklarının
tespit edilmesine yol açmıştır. Kullanıcı tarafından yollanan verilerin, uygulama tarafından
kullanılmadan önce trafiğin sniff edilmesi(dinlenmesi), ortadaki adam saldırısı(MITM) ve brute
force(kaba kuvvet) parola saldırısı gibi problemlerin ortaya çıkmasına neden olmaktadır. Tespit edilen
bu açıklıklar, yetkisiz kullanıcıların rahatlıkla web sitesine kimlik doğrulamasına, erişim sağlamasına
veya sunucu üzerinde istedikleri komutları çalıştırmasına izin verebilecek niteliktedir. Bu açıklıklardan
başarı ile faydalanan bir saldırgan sunucunun bulunduğu ağa erişim sağlayabilir.
Güncel olmayan işletim sistemleri, protokoller ve uygulamalar sunucuların sağlıklı çalışmasını tehdit
eden unsurlardır. Sunucunun tamamen başkasının eline geçmesine kadar giden bu açıklıklar
zamanında önlenmediği taktirde büyük sorunlara yol açmaktadır. Ayrıca kullanılmayan portları,
gereksiz servisleri kapatınız ya da gerekli ise daha güvenilir uygulamalara güncelleyerek kullanınız.
1.5. GENEL TEST METODOLOJİSİ
Günümüz bilgi güvenliğinde iki tür yaklaşım vardır. Bunlardan kabul göreni proaktif yaklaşımdır. Sızma
testleri (pentest) ve zayıflık tarama (vulnerability assessment) konusu proaktif güvenliğin en önemli
bileşenlerinden biridir.
Sızma testleri ve zayıflık tarama birbirine benzeyen fakat farklı kavramlardır. Zayıflık tarama hedef
sistemdeki güvenlik açıklıklarının çeşitli yazılımlar kullanarak bulunması ve raporlanması işlemidir.
Sızma testi çalışmalarında amaç sadece güvenlik açıklıklarını belirlemek değil, bu açıklıklar kullanılarak
hedef sistemler üzerinde gerçekleştirilebilecek ek işlemlerin (sisteme sızma, veritabanı bilgilerine
erişme) belirlenmesidir. Zayıflık tarama daha çok otomatize araçlar kullanılarak gerçekleştirilir ve kısa
sürer. Sızma testi çalışmaları zayıflık tarama adımını da kapsayan ileri seviye tecrübe gerektiren bir
süreçtir ve zayıflık tarama çalışmalarına göre çok daha uzun sürer.
1.5.1. Sızma testi ve türleri
Belirlenen sistemin veya ağın güvenlik açısından analiz edilmesi ve sistemin güvenlik açıklarının ve
güvenlik boşluklarının bulunması, bu açıklardan faydalanılarak sistemlere sızılması. Otomatik tarama
araçları ile gerçekleştirilen zafiyet taramaları sızma testinin bir aşamasıdır; ancak sızma testi değildir.
1.5.1.1. Beyaz kutu
Beyaz kutu ağ’daki tüm sistemlerden bilgi sahibi olarak yapılan sızma testi türüdür. Test uzmanının
dışarıdan ya da içeriden ağa girmeye ve zarar vermeye çalışmasının simülasyonudur.
6

7. 1.5.1.2. Siyah kutu
Siyah kutu testi saldırı yapılacak ağ hakkında hiçbir bilgi sahibi olmadan dışarıdan ağa ulaşmaya
çalışan saldırganın verebileceği zararın boyutlarının algılanmasını sağlar.
1.5.1.3. Gri kutu
Gri kutu testi iç ağda bulunan yetkisiz bir kullanıcının sistemlere verebileceği zararın analiz edilmesini
sağlar. Veri çalınması, yetki yükseltme ve ağ paket kaydedicilerine karşı ağ zayıflıkları denetlenir.
1.5.2. Sızma Testleri Metadolojisi
Sızma testlerinde ISSAF tarafından geliştirilen metodoloji temel alınmıştır. Metodolojimiz
dört ana bölümde beş alt bölümden oluşmaktadır.
1.5.2.1. Bilgi Toplama
a. Amaç, hedef sistem hakkında olabildiğince detaylı bilgi toplamaktır.
b. [Ağ Haritalama]
Amaç hedef sistemin ağ yapısının detaylı belirlenmesidir. Açık sistemler ve üzerindeki açık portlar,
servisler ve servislerin hangi yazılımın hangi sürümü olduğu bilgilerini toplamaktır.
c. [Zafiyet/Zayıflık Tarama Süreci]
Bu sürecin amacı belirlenen hedef sistemlerdeki açıklıkların ortaya çıkarılmasıdır.
1.5.2.2. Penetrasyon(Sızma) Süreci
Belirlenen açıklıklar için POC kodları/araçları belirlenerek denetlemeler başlatılır.
a. [Erişim Elde Etme ve Hak Yükseltme]
7

8. Sızma sürecinde amaç sisteme bir şekilde giriş hakkı elde etmektir. Hak Yükseltme; amaç edinilen
herhangi bir sistem hesabı ile tam yetkili bir kullanıcı moduna geçiştir. (root, administrator, system vs)
b. [Detaylı Araştırma]
Erişim yapılan sistemlerden şifreli kullanıcı bilgilerinin alınarak daha hızlı bir ortamda denenmesidir.
1.5.2.3. Erişimlerin Korunması
Sisteme girildiğinin başkaları tarafından belirlenmemesi için bazı önlemlerin alınmasında fayda vardır.
Bunlar giriş loglarının silinmesi, çalıştırılan ek proseslerin saklı olması, dışarıya erişim açılacaksa gizli
kanalların kullanılması (covert channel), backdoor, rootkit, vs. yerleştirilmesidir.
a. [İzlerin silinmesi]
Hedef sistemlere bırakılmış arka kapılar, test amaçlı scriptler, sızma testleri için eklenmiş tüm veriler
not alınmalı ve test bitiminde silinmelidir. Müşterinin isteğine göre loglar kalabilir.
1.5.2.4. Raporlama
Yöntem ya da metodoloji, belirli bir alanda kullanılan bütün metodlar; geniş anlamı ile, metodların
bilim ve felsefesi olarak açıklanabilir.
1.6. RİSK DERECELENDİRME
Sızma testi çalışmalarında bulunan açıklar 5 risk seviyesinde değerlendirilmiştir. Bu değerlendirmede,
PCI-DSS güvenlik tarama prosedürleri dokümanında kullanılan beş seviye risk değerleri kullanılmıştır.
Aşağıdaki tablo Tablo kullanılan seviyelendirmeyi açıklamaktadır.
Risk Seviyesi Risk
Puanı
Detay
Açıklama
ACİL 5 Acil öneme sahip açıklıklar, niteliksiz
saldırganlar tarafından uzaktan
gerçekleştirilen ve sistemin tamamen ele
geçirilmesi ile sonuçlanan ataklara sebep olan
açıklıklardır. Depolanmış XSS, SQL enjeksiyonu
ve RFI/LFI, ayrıca müşteri bilgisi ifşasına yol
açabilecek açıklık vektörleri bu kategoriye
girerler.
KRİTİK 4 Kritik öneme sahip açıklıklar, nitelikli
saldırganlar tarafından uzaktan
gerçekleştirilen ve sistemin tamamen ele
geçirilmesi ile sonuçlanan ataklara sebep olan
açıklıklardır. Ayrıca yansıtılan ve DOM tabanlı
XSS açıklık vektörleri bu kategoriye girer.
YÜKSEK 3 Yüksek öneme sahip açıklıklar, uzaktan
gerçekleştirilen ve kısıtlı hak yükseltilmesi (mesela,
yönetici hakları olmayan bir işletim sistemi
kullanıcısı veya e-posta sahteciliği) veya hizmet dışı
kalma ile sonuçlanan, ayrıca yerel ağdan ya da
sunucu üzerinden gerçekleştirilen ve hak
8

9. yükseltmeyi sağlayan ataklara
sebep olan açıklıkları içermektedir.
ORTA 2 Orta öneme sahip açıklıklar, yerel ağdan veya
sunucu üzerinden gerçekleştirilen ve hizmet dışı
bırakılma ile sonuçlanan ataklara sebep olan
açıklıkları içermektedir.
DÜŞÜK 1 Düşük öneme sahip açıklıklar ise etkilerinin tam
olarak belirlenemediği ve literatürdeki en iyi
sıkılaştırma yöntemlerinin (best practices)
izlenmemesinden kaynaklanan eksikliklerdir.
Tablo 1- Raporda kullanılan risk seviyelendirmesi
1.7. GENEL BULGULAR
Sunucuya ait 1 acil, 1 kritik, 1 yüksek ve 1 orta olmak üzere toplam 4 açıklık tespit edilmiştir.
1
11
1
Açıklıkların risk seviyelerine göre sayısal dağılımı
Acil
Kritik
Yüksek
Orta
Açık olan portların sayısı ise 5 olup grafiği aşağıdaki gibidir:
dns http https rdp tcp_6666
0
0.1
0.2
0.3
0.4
0.5
0.6
0.7
0.8
0.9
1
Açık portların sayısı
9

10. 2. TEKNİK BİLGİLER
Güvenlik taramaları internet üzerinden erişilebilir sunucu için kurumdan en az bilgi temin edilerek
gerçekleştirilmiş olup, sıradan bir kullanıcının ne gibi aktiviteler gerçekleştirebileceğini
göstermektedir. Testler sırasında çeşitli ticari tarama ürünleri, herkes tarafından temin edilebilecek
açık kaynak kodlu programlar ve uzmanlarımız tarafından geliştirilmiş yardımcı program ve araçlar
kullanılmıştır. Bu araçların listesi “Kullanılan Araçlar” bölümünde yer almaktadır.
2.1. BİLGİ TOPLAMA
Bilgi toplama ilk ve en önemli adımlardan biridir. Zira yapılacak test bir zaman işidir ve ne kadar sağlıklı
bilgi olursa o kadar kısa sürede sistemle ilgili detaylı çalışmalara geçilebilir. Amaç, hedef sistem hakkında
olabildiğince detaylı bilgi toplamaktır. Bu bilgiler kurum hakkında olabileceği gibi kurum çalışanları
hakkında da olabilir.
2.1.1. Domain Sorgusu ve Whois Sorgusu
Bu aşamada domain sorgusu, dns sunucudan alan transferi ve whois veritabanı taramaları
gerçekleştirildi.
2.1.2. Web Sitesi Analizi
Kurumun hangi dış bağlantıları ve etki alanlarının kullandığını belirlemek amacı ile kurumun web
siteleri genel olarak incelendi. Daha sonra yapılacak detaylı incelemelere temel teşkil edecek bilgiler
toplandı.
2.1.3. Arama Motorları
Arama motorları kullanılarak kurum ve kurum personeli hakkında araştırmalar yapıldı. Bu
araştırmalar neticesinde kritik personelin üye olduğu gruplar sosyal paylaşım siteleri tespit edilerek
kurum hakkında bilgi edinme çalışılması yapıldı. Bu çalışma kapsamında kurum hakkında yapılmış
haberler de incelenerek faydalı olabilecekler ayıklandı.
2.1.4. Ağ Haritasının Çıkarılması
Bilgi toplamanın en önemli kısmı elde edilen bilgilerin birleştirilmesidir. Bu aşamada elde edilen
bilgiler birleştirilerek kuruma ait güvenlik duvarı, uygulama sunucusu, veritabanı yönetimi sunucusu,
aktif ağ cihazları gibi cihazların ip adresleri ve birbirleri ile olan bağlantıları tespit edildi.
2.1.5. Sosyal Mühendislik Çalışması
Kurumlara yapılan saldırıların en zayıf halkası genelde kullanıcılar olabilmektedir. Kurumda bilgi
alınabilecek her türlü personel ile iletişime geçilerek (sahte e-postalar, telefon görüşmeleri veya
benzer vasıtalar ile) temasa geçilerek bilgi edinim çalışması gerçekleştirildi.
2.1.6. Tahmin Çalışması
Kurumun faaliyet alanı, yapısı ve sistemleri temel alınarak, kurumda olabilecek servis ve
uygulamaların bir listesi testte kullanılmak amacı ile oluşturuldu.
2.1.7. Bulgular
Hedef sunucu hakkında arama motorları, haber grupları, forumlar, sosyal medya hesapları ve web
siteleri gibi daha pek çok platformdan pasif bilgi toplanmaya çalışılır. Ardından testimizi derinleştirmek
amacıyla, pasif bilgi toplamayla beraber aktif bilgi toplamayla devam edilir.
10

11. Ping, netdiscover, whois, dnslookup, dig, dnsenum, dnsmap, dnsrecon, fierce, theharvester, maltego,
shodan, dmitry, urlcrayz, nikto gibi araçlar bu işlemler için kullanılabilir.
2.1.7.1 Ağ Haritalama
Amaç hedef sistemin ağ yapısının detaylı belirlenmesidir. Açık sistemler ve üzerindeki açık portlar,
servisler ve servislerin hangi yazılımın hangi sürümü olduğu bilgileri, ağ girişlerinde bulunan VPN,
Firewall, IPS cihazlarının belirlenmesi, sunucu sistemler çalışan işletim sistemlerinin ve versiyonlarının
belirlenmesi ve tüm bu bileşenler belirlendikten sonra hedef sisteme ait ağ haritasının çıkartılması Ağ
haritalama adımlarında yapılmaktadır.
İlk olarak bu sisteme testimizi gerçekleştirme noktasında ping atarak erişmeyi deniyoruz,
ancak doğrudan ping atamıyoruz. Ardından problem doğurabilecek ve pingi kesen bir firewall
ya da web application fw gibi güvenlik mekanizmalarının varlığını tespit edebilmek amacıyla
“wafw00f” aracını aşağıdaki gibi kullanıyoruz ve bir güvenlik duvarı olabileceğini keşfediyoruz.
Ardından nmap ile port, versiyon ve işletim sistemi tespiti için tarama gerçekleştiriyoruz.
Tarama sonuçları aşağıdaki gibidir:
Tüm portları taramak çok zaman alacağından; ya en çok kullanılan belirli portları ya da testi
yapacağımız port belli ise sadece ilgili portu taratarak aşağıdaki gibi devam ediyoruz:
11

12. Teste başlamadan önce bu portta çalışan bir kimlik doğrulama uygulamasının olduğu ve
güvenlik testlerinin yapılması kapsam dahilinde talep edilmişti. Uygulama aşağıdaki gibi
çalışmaktadır. Bu noktadan sonra testi bu porta indirgeyeceğiz. Testler bunun üzerine
yoğunlaşacak ve devam edecektir.
Bir sonraki kısımda bu uygulamaya yönelik açıklık taraması ve tespitleri yapılacaktır.
2.2. ZAFİYET TARAMASI
Bu sürecin amacı belirlenen hedef sistemlerdeki zafiyetlerin ortaya çıkarılmasıdır. Bunun için sunucu
servislerdeki bannerler ilk aşamada kullanılabilir. Ek olarak birden fazla zayıflık tarama aracı ile bu
sistemler ayrı ayrı taranarak oluşabilecek false positive oranı düşürülmeye çalışılır. Bu aşamada hedef
sisteme zarar vermeyecek taramalar gerçekleştirilir. Zayıflık tarama sonuçları mutlaka uzman gözler
tarafından tekrar tekrar incelenmeli, olduğu gibi rapora yazılmamalıdır. Otomatize zafiyet tarama
araçlar ön tanımlı ayarlarıyla farklı portlarda çalışan servisleri tam olarak belirleyememektedir.
Zafiyet taramasını bu noktadan itibaren 137.135.141.116 sunucusu ve tcp 6666 portu için
değerlendireceğiz.
2.2.1. Client Side Code
137.135.141.116:6666 adresine herhangi bir internet tarayıcısından bağlanmayı denediğimizde erişim
elde edemedik, Ardından telnet ile bu erişimi denediğimizde ise yine başarılı olamadık. Ardından script
dillerden biri olan python ile socket programlamayı kullanarak istemci tarafı kodumuzu yazarak istekler
göndermeyi denedik. Python kodu aşağıdaki gibidir:
12

13. Öncelikle kullanıcı adını server’a gönderiyoruz. Kullanıcı adı test için bize açılan kullanıcı adı “hamdi”
dir. Ardından serverdan bize bir nonce değeri(N) dönüyor. Bu nonce değeri bir eksiltilerek N-1 kere
gireceğimiz parola ile sha256 hash algoritmasıyla işleme girecek ve server’a gönderilecek. Parola ise
“12345” olarak test için kullanıcı adı ile beraber verilmişti. En son server hash parolasını doğrularsa;
aşağıdaki gibi OK ya da doğrulayamazsa NOK(not OK) dönecektir.
13

14. Serverdan dönen ilk nonce değerimiz, N=30 olacaktır. Bunu dinamik olarak göndermeye devam ettiğimizde
en küçük nonce değeri, N=2 olacaktır. Bir kere hash alıp, server’a gönderecektir.
N=2’den sonra nonce değeri, N=100’e dönecektir. N=100’den N=2’ye kadar python scriptini çalıştırıp;
server’a gönderdiğimizde; nonce değeri 2≤N≤100 ile 2 ila 100 arasında gidip gelecektir.
2.2.2. Wireshark Analizi
İletişim network seviyesinde gerçekleştiği için hem network uzmanları hem güvenlik profesyonelleri ve
hem de adli bilişim uzmanlarının en çok kullandığı araçlardan birisi olan wireshark ile trafiği lokalde
inceledik. Wireshark ile trafiği sniff ettiğimzde; kullanıcı adı, nonce değeri ve parola hash’lerinin cleartext
iletildiğini tespit ettik.
14

15. Kullanıcı adının aşağıdaki gibi açık iletildiğini yakaladık.
Ardından serverdan dönen Nonce değerinin de aşağıdaki gibi cleartext olduğu görüldü.
15

16. Sonra parolayı girdiğimizde N-1 kere özet değeri alınmış hali aşağıdaki gibi ele geçirilmiştir.
En son bu parola hashi servera iletildikten sonra; serverdan dönen status durum cevabı aşağıdaki gibi
yakalanmıştır.
Follow tcp stream olarak incelediğimizde aşağıdaki formatta olduğu görülecektir.
16

17. Bu işlemi bir kere daha tekrarladığımızda; N=59 için aşağıdaki gibi olmuştur.
Kullanıcı adını bir kere daha girdiğimizde;
17

18. Dönen nonce değeri;
Tekrar gönderilen yeni parola hashi;
Dönen durum cevabı;
Ekran çıktılarındaki gibi plaintext olacaktır.
18

19. 2.2.3. Tcpdump Analizi
Wireshark ile yaptığımız paket capture etmeyi kali linuxta tcpdump ile de yapmamız mümkündür. İletişim
yine aşağıdaki gibi plaintext olarak yakalanacaktır.
19

20. 2.2.4. arpspoof ile Ortadaki Adam Saldırısı(MITM) Yapılması
Kali linux toolu arpspoof kullanılarak, router ile istemci arasına girerek; istemcinin bütün network trafiğini
üzerimizden geçirebiliriz. Saldırı yapacağımız kali linux ip’si 192.168.0.10, Windows 7 çalışan hedef makine
ip’si 192.168.0.1 ve Gateway ip’si 192.168.0.1’dir. Aşağıdaki gibi kurban makinenin arp tablosuna arp
istekleri göndererek router’ın yerine geçmeye çalışıyoruz.
Saldırıya başlamadan önce kurban makinenin arp tablosunda gateway mac adresi fc:4a:e9:7d:c6:e6 iken
saldırıya başladıktan kısa bir süre sonra, saldırıyı başlattığımız makine olan kali linux’un mac adresi
dc:85:de:a4:75:5f olduğunu gördük. Yani aşağıdaki gibi kali linux modem ya da router oldu ve artık araya
girmiş olduk.
Kali linuxta wireshark ile filtrelediğimizde trafik aşağıdaki gibi olacaktır.
20

21. Trafik açık metin olacaktır. Bunu dışarıdan internetten backdoor ya da trapdoor veya başka bir yöntemle
ele geçirdiğimiz sistemin bulunduğu DMZ veya LAN daki herhangi bir bilgisayar üzerinden uygulamak
mümkündür.
Follow tcp stream çıktısı aşağıdaki gibidir:
21

22. 2.2.5. ettercap ile Ortadaki Adam Saldırısı(MITM) Yapılması
MITM saldırısını yine kali linux toolu olan ettercap ile de uygulamak mümkündür. Mantık yine aynıdır.
192.168.0.1 modem ip’si ya da router gateway olup, 192.168.0.13 aynı LAN da olan kurban makinedir.
Arp zehirleme başladıktan sonra 192.168.0.1 gateway’in mac adresinin kali linux mac adresi olduğunu ve
kali linux’un tekrar araya girdiğini yakalamış olduk.
Tcpdump ile trafiği dinlediğimizde aşağıdaki gibi plaintext trafiğin üzerimizden geçtiğini yakalamış olduk.
22

23. 2.2.6. Brute Force(Kaba Kuvvet) Parola Saldırısı Yapılması
Kali linux’un offline parola kırma toolu hydra ile daha önce plaintext olarak dinlenip kaydedilmiş ya da ele
geçirilmiş hash değerleri herhangi bir rockyou.txt gibi wordlist oluşturularak kaba kuvvet saldırısı ile
doğrudan denenebilir. Ya da yazdığımız python scripti ile hash değerleri elimizde yoksa rockyou.txt gibi
(/usr/share/wordlists/) en çok kullanılan ve yayınlanan 100 parola ya da 1000 parola bu wordliste
kaydedilebilir, yenisi oluşturulabilir ve ardından bu parolaları pythonda yazmış olduğumuz hash
fonksiyonunda işleme sokularak tek tek denenebilir. rockyou.txt aşağıdaki gibidir:
23

24. Aşağıdaki gibi kısa bir süre içinde başarılı bir şekilde parolayı kırdığımızı gördük.
2.3. Açıklık Taraması Sonuçları
1
11
1
Açıklıkların risk seviyelerine göre sayısal dağılımı
Acil
Kritik
Yüksek
Orta
1-İletişim Kanalının Şifresiz Olması
Bulgu
Detayları
Açıklama
Server şifrelenmemiş kanal üzerinden bir kimlik doğrulama uygulaması çalıştırıyor.
Şifrelenmemiş kanal üzerinden uygulamanın kullanılması, login’ler, parolalar ve
komutlar cleartext olarak aktarıldığından önerilmez. Bu, uzaktaki MITM bir saldırganın,
kimlik bilgileri veya diğer hassas bilgileri almasına, istemci ve sunucu arasında takas
edilen trafiği değiştirmesine neden olabilir.
24

25. IP/ Domain 137.135.141.116
Port TCP 6666
Çözüm
Önerisi
i. Uçtan uca şifreleme için VPN, ipsec, SSH, HTTPS, SFTP, SSL, TLS gibi çözümler
kullanılabilir. SSH, ipsec veya tünel kullanımı snifferların çalışmasını engellemeyecek
fakat yakaladıkları verilerin anlaşılmasını engelleyecek veya kırılması için gereken süreyi
uzatacaktır. VPN’nin dezavantajı, güvenli geçit kullanıldığı için iletişim eskisi kadar hızlı
olmayacaktır. Fakat VPN kurularak ettercap ile yapılan arp zehirleme saldırılarında http
trafiği dahi sniff edilemez.(HTTPS te zaten okunamaz.)
ii. Uygulama katmanına yönelik açık anahtarlı şifreleme yöntemi kullanılabilir. Kullanıcı
adı ve parola ile beraber nonce değeri de şifrelenirse üçüncü tarafların trafiği çözmesi
zorlaşacaktır.
iii. Dönen nonce değeri yanında farklı yanıltma parametreleri kullanılarak gönderilirse,
trafiği dinleme ihtimali olan üçüncü tarafların kafasını karıştırma ya da gerçek nonce
değerini yakalamalarını zorlaştırabilir.
2-Nonce Değerinin Küçük Olması
Bulgu
Detayları
Açıklama
Kullanıcı adı doğru girildikten sonra dönen nonce değerinin 2 ila 100 arasında limitli
olması; araya giren trafiği yakalayan üçüncü tarafların özellikle nonce değeri 2
olduğunda(tek bir hash alınması anlamına gelir) diğer bütün hashleri otomatikmen elde
edebilirler. Nonce değerlerinin küçük olması daha önce yakalanan nonce değerine bağlı
olarak döngü başa sardığında hashlerin birer arttırımla hashlerinin alınıp denenmesine
neden olabilir.
IP/ Domain 137.135.141.116
Port TCP 6666
Çözüm
Önerisi
i. Nonce değerinin çok büyük yapılarak, her parola özetinin tek bir defa kullanılması
sağlanabilir.
ii. Nonce değeri 2 olduğunda kullanıcı parola değiştirmeye zorlanabilir.
iii. Nonce değeri timestamp eklenerek, tek kullanımlık yapılarak,şifrelenerek ve tuzlama
eklenerek her defasında random olarak istemciye gönderilirse; sürekli farklı parola
hashi kullanımı sağlayacağından tüm güvenlik için bu yeterli olabilir.
3-Zayıf Parola Kullanılması
Bulgu
Detayları
Açıklama
Rockyou.txt parola dosyası kullanılarak ya da crunch tarzı bir tool ile üretilecek bir
sözlük listesi ile yazdığımız python hash saldırı scriptini ve ya hash değerleri listesini
offline saldırı aracı Hydra’ya verdiğimizde yapılan brute force saldırısıyla parola kısa bir
süre içerisinde kırılmıştır.
IP/ Domain 137.135.141.116
Port TCP 6666
Çözüm
Önerisi
i. Parola karmaşıklık ve uzunluk gereksinimlerini karşılayacak şekilde düzenlenmelidir.
ii. Kullanıcılar belirli periyotlarla (15 günde ya da ayda bir gibi) parola değiştirmeye
zorlanmalıdır.
iii. Parola hatalı girildikten sonra bekleme süresi eklenebilir ve üst üste 3 kere yanlış
girince hesap kilitlenip, açtırmak için sistem yöneticisine başvurmaya zorlanabilir.
iv. Login olmaya çalışan hesap bilgileri ve ip adresi loglanabilir. İp banlaması yapılarak;
istek sayısını aşan ip adresleri blackliste eklenerek engellenebilir.
25

26. 4-Eksik Güvenlik Kontrolü
Bulgu
Detayları
Açıklama
Kullanıcı adı doğru girildiğinde en son kaldığı nonce değerini döndürdüğünü, hatalı
girildiğinde ise herhangi bir uyarı vermediğini ve diğer kullanıcı adlarını girdirmeye
devam ederek denemeye izin verdirdiğini tespit ettik.
IP/ Domain 137.135.141.116
POrt TCP 6666
Çözüm
Önerisi
i. Kullanıcı adı hatalı girildiğinde bekleme süresi eklenebilir.
ii. Üst üste minimum 3 ya da sistem yöneticisinin belirlediği limit kadar sonra hesap
kilitlenebilir. Kullanıcı hesabını tekrar açtırmak için sistem yöneticisine başvurmaya
zorlanabilir.
iii. Login olmaya çalışan kullanıcı adları ve ip adresleri loglanabilir. İp banlaması
yapılarak; belirlenen istek sayısını aşan ip adresleri blackliste eklenerek engellenebilir.
iv. Kullanıcı adları hatalı ise server sahte nonce değerleri dönerek ve hatta honeypot
gibi kapalı devre bir sisteme giriş yapmasına izin vererek; saldırgan izlenip logları kayıt
altına alınarak yakalanmaya çalışılabilir.
2.4. İLAVE ÇÖZÜM ÖNERİLERİ
2.4’de yaptığımız öneriler tespit edilen açıklıklar için yeterli olup; bu kısımda ise ilave çözüm yollarını ya da
kontrollerini de uygulayabilirsiniz. Bunların bazıları gerçekten hayati derecede önemli olup; her işletme için
yapılması gereken kritik süreçlerken bazıları isteğe bağlı olarak uygulanabilmektedir.
*İki faktörlü kimlik doğrulaması eklenebilir. Güvenliği arttırmasına rağmen maliyetli bir süreç olup, zaman
ve performans olarak dezavantajları vardır.
*SHA-256 yerine daha kuvvetli bir hash algoritması ya da farklı bir kimlik doğrulama protokolü
kullanılabilir. Ancak bu test için üstteki saydığımız çözüm önerileri yeterli olacağından buna gerek
kalmayabilir. Yıllar içerisinde teknolojik sürece bağlı olarak upgradeler yapılabilir.
Aşağıdaki öneriler sadece bu test için ve bu işletme için değil, tüm organizasyonlar için, daha çok arp
zehirleme gibi ağın sniff edilmesine karşı izleme ve önleme noktasındaki genel önerileridir. Bunlar:
*Server tarafına MİTM attack, arp/ip spoofing alertleri için SIEM ürünleri, IDS, FW ve antivirüs gibi
çözümler yerleştirilebilir.
*Ağ üzerindeki Promiscous modda bulunan cihazlar tespit edilebilmelidir. (Hub hala kullanılıyorsa
kaldırılmalıdır.) Swithlerde ise port güvenliğini sağlayacak özellikler aktif edilmelidir. Farklı vlanlar
tanımlanabilir, mac kilitlemesi zorlanabilir.
*Switch üzerinde hangi portta hangi ip adresi olduğunun kaydını tutan IP Source Guard kullanılabilir.
*Switchlerde, ip ile mac adresleri eşlemesi yapan ve ağdaki uygunsuz ARP paketlerini düşüren
Dinamik ARP Inspection (DAI) kullanılabilir.
*Bir porttan belli bir zaman aralığı için sınırlı sayıda mac adresine izin veren, port security
uygulanabilir.
*Statik IP adresleri kullanılabilir, arp kayıtları statik olarak eklenebilir.
Ayrıca kullanıcılar parola karmaşıklığı ile uzunluğu, parolalarını kimseyle paylaşmamaları, üçüncü
parti uygulamaları kullanmamaları, sosyal mühendislik ve phishing saldırılarına karşı bilinçli
olmaları konusunda sürekli uyarılmalıdır. Zaman zaman habersiz testler yapılarak ve bilgi
güvenliği eğitimleri verilerek farkındalık yaratılmalıdır/arttırılmalıdır. Sonuçta sistemin en zayıf
halkası insandır, ve bir sistem en zayıf noktası kadar güçlüdür.
26

27. TÜM GÜVENLİK ÖNLEMLERİNİN %20’sini ALARAK, TÜM TEHDİTLERİN %80’inden
KORUNABİLECEĞİNİZİ BİLİYOR MUYDUNUZ?
2.5. KULLANILAN ARAÇLAR
Kali linux – Açık kaynak işletim sistemidir. https://www.kali.org/
arp, netdiscover, ping, ifconfig, ipconfig, traceroute, tracert – Network araçlarıdır.
wafw00f – Güvenlik duvarı test aracıdır.
nmap – Nmap ("Network Mapper") network haritasının çıkartılmasında ve güvenlik denetiminde
kullanılan açık kaynak kodlu bir araçtır. www.insecure.org/nmap/
hydra – Parola kırma aracıdır.
hashid – Hash özet değeri kontrol aracıdır.
Wireshark, tcpdump – Network trafik izleme aracıdır.
Pycharm – Python dili idesidir.
27