Bu sunumda Web Uygulama Güvenlik Duvarları'nı (WAF) atlatma tekniklerinden bahsedilmiştir..
In this presentation, evasion and bypass techniques of Web Application Firewalls (WAF) are discussed.
MSSQL Hacking ve Post Exploitation YontemleriEyüp ÇELİK
MS-SQL sızma testlerinde ciddi bir hedef haline geldi diyebiliriz. Bu yazımda MS-SQL bilgi toplama, Brute Force, Sızma, Erişim Elde Etme, Malware (Backconnect) ve diğer Post-Exploitation işlemlerine güncel yöntemler ile değinmeye çalışacağım. Tüm bunların yanında, kendi deneyimlerim, güncel sorun ve çözümleri de ayrıca paylaşacağım.
Bu sunumda Web Uygulama Güvenlik Duvarları'nı (WAF) atlatma tekniklerinden bahsedilmiştir..
In this presentation, evasion and bypass techniques of Web Application Firewalls (WAF) are discussed.
MSSQL Hacking ve Post Exploitation YontemleriEyüp ÇELİK
MS-SQL sızma testlerinde ciddi bir hedef haline geldi diyebiliriz. Bu yazımda MS-SQL bilgi toplama, Brute Force, Sızma, Erişim Elde Etme, Malware (Backconnect) ve diğer Post-Exploitation işlemlerine güncel yöntemler ile değinmeye çalışacağım. Tüm bunların yanında, kendi deneyimlerim, güncel sorun ve çözümleri de ayrıca paylaşacağım.
The purpose of this document
is not to show how to use Metasploit tool there are enormous amount of sources available to do that but to show you how to look deeper into the code and try to decipher how the various classes and modules hang
together to produce the various functions we love to use.
In doing so we will learn how the exploit framework could be structured, how the interaction between the
attacker and the exploited vulnerability could be
achieved and how the user can extend the functionality of Metasploit.
USTA - Ulusal Siber Tehdit Ağı 2015 Yılı Faaliyet Raporu Koryak Uzan
3 ay önce üyelerimiz ile paylaşmış olduğumuz Ulusal Siber Tehdit Ağı 2015 faaliyet raporu dokümanını paylaşıma açıyoruz. Yalnızca USTA dahilinde yürüttüğümüz süreçler değil, ülkemizdeki siber saldırılar ve dolandırıcılık eylemleri ile ilgili güzel noktalara değindiğimizi düşünüyorum.
Dilediğinizce okuyup paylaşabilirsiniz.
Ülkelerin Siber Güvenlik Stratejileri ve Siber Güvenlik Stratejilerinin Oluşumu
Geçtiğimiz on yıl içerisinde siber güvenliğin hızlı bir şekilde ülkelerin milli güvenlik politikalarının önemli bir unsuru haline gelmiştir. 2003 yılında ABD ilk kez ulusal siber güvenlik stratejisini yayınlayan ülke olmuştur. 35 farklı ülke de ABD’yi izleyerek siber güvenlik strateji dökümanı hazırlamış ve yayınlamışlardır. Askeri siber operasyonlar, siber suçlarla mücadele, siber casusluk, kritik alt yapı güvenliği, siber diplomasi ve İnternet yönetişimi stratejik siber güvenliğin çeşitli alanları olarak değerlendirilmiştir. Hazırlanan sunumda Hollanda, İngiltere, ABD ve Türkiye’nin siber güvenlik stratejileri incelenerek, her bir ülkenin stratejisini hangi alan üzerine inşa ettiği incelenmiştir.
2014-2015 Döneminde gerçekleştirilen Oltalama Saldırılarına ilişkin bulgularımızı temel alan eski tarihli bir rapor. Neredeyse tamamen geçerliliğini koruyor.
Linux'a Giris ve VirtualBox a Ubuntu KurulumuAhmet Gürel
Bu döküman Linux nedir neden tercih edilir gibi sorulara cevap arayanlara kısa bir bilgilendirmeden sonra Sanal makinaya Linux Ubuntu dağıtımının kurulumunu göstererek genel linux terminal ve komutlarının anlatımıyla son bulmaktadır.Lİnux ve özgür yazılım farkındalığını artırmak için giriş seviyesinde bir dökumandır.İşinize yaraması dileğiyle iyi çalışmalar.Soru,görüş ve önerileriniz için ahmet@gurelahmet.com a mail atabilirsiniz.
The purpose of this document
is not to show how to use Metasploit tool there are enormous amount of sources available to do that but to show you how to look deeper into the code and try to decipher how the various classes and modules hang
together to produce the various functions we love to use.
In doing so we will learn how the exploit framework could be structured, how the interaction between the
attacker and the exploited vulnerability could be
achieved and how the user can extend the functionality of Metasploit.
USTA - Ulusal Siber Tehdit Ağı 2015 Yılı Faaliyet Raporu Koryak Uzan
3 ay önce üyelerimiz ile paylaşmış olduğumuz Ulusal Siber Tehdit Ağı 2015 faaliyet raporu dokümanını paylaşıma açıyoruz. Yalnızca USTA dahilinde yürüttüğümüz süreçler değil, ülkemizdeki siber saldırılar ve dolandırıcılık eylemleri ile ilgili güzel noktalara değindiğimizi düşünüyorum.
Dilediğinizce okuyup paylaşabilirsiniz.
Ülkelerin Siber Güvenlik Stratejileri ve Siber Güvenlik Stratejilerinin Oluşumu
Geçtiğimiz on yıl içerisinde siber güvenliğin hızlı bir şekilde ülkelerin milli güvenlik politikalarının önemli bir unsuru haline gelmiştir. 2003 yılında ABD ilk kez ulusal siber güvenlik stratejisini yayınlayan ülke olmuştur. 35 farklı ülke de ABD’yi izleyerek siber güvenlik strateji dökümanı hazırlamış ve yayınlamışlardır. Askeri siber operasyonlar, siber suçlarla mücadele, siber casusluk, kritik alt yapı güvenliği, siber diplomasi ve İnternet yönetişimi stratejik siber güvenliğin çeşitli alanları olarak değerlendirilmiştir. Hazırlanan sunumda Hollanda, İngiltere, ABD ve Türkiye’nin siber güvenlik stratejileri incelenerek, her bir ülkenin stratejisini hangi alan üzerine inşa ettiği incelenmiştir.
2014-2015 Döneminde gerçekleştirilen Oltalama Saldırılarına ilişkin bulgularımızı temel alan eski tarihli bir rapor. Neredeyse tamamen geçerliliğini koruyor.
Linux'a Giris ve VirtualBox a Ubuntu KurulumuAhmet Gürel
Bu döküman Linux nedir neden tercih edilir gibi sorulara cevap arayanlara kısa bir bilgilendirmeden sonra Sanal makinaya Linux Ubuntu dağıtımının kurulumunu göstererek genel linux terminal ve komutlarının anlatımıyla son bulmaktadır.Lİnux ve özgür yazılım farkındalığını artırmak için giriş seviyesinde bir dökumandır.İşinize yaraması dileğiyle iyi çalışmalar.Soru,görüş ve önerileriniz için ahmet@gurelahmet.com a mail atabilirsiniz.
Elektrik kesintisinden kredi kartı hırsızlığına, filmlerden dizilere; siber güvenlik başlığı haberler ve magazin gündeminde baş köşelere yerleşmeye başladı. Peki kurumlar ve devlet yönetimleri hangi alanlara odaklanmalı? Ya da bu başlığın tam adı ne olmalı ve kavram karmaşasına nasıl yaklaşmalıyız? Information Security Forum raporları ile son yıllarda Türkiye ve Dünya'daki kurumların gündeminde en ön sıralarda yer alan başlıklardan yola çıkarak hazırlanan bu sunumda, önümüzdeki yıllarda sadece siber güvenlik camiasının değil, kurum ve devlet yönetimlerinin de odaklanması gereken alanlara ışık tutulmaya çalışılacak.
Uluslararası siber savaşlarda kullanılacak en önemli bileşenlerden biri de son kullanıcıların internet bağlantıları için kullandıkları soho modemlerdir. Bu sistemler genellikle aynı özellikleri taşıdığından tespit edilecek bir açıklık tüm ülkeyi etkileyecektir. Sunum süresince böyle bir kitle saldırısının nasıl gerçekleştirileceği, ev kullanıcılarının modemlerini hedef alan bir ar-ge çalışmasının adımları ve sonuçları üzerinden ele alınacaktır. Çalışmanın içeriğindeki ana başlıklar, belli özelliklerdeki hedeflerin belirlenmesi, etkili bir zafiyetin bulunması, gömülü sistemler (MIPS) gibi farklı zorlukları olan platformlar için istismar kodunun yazılması, toplu istismarı gerçekleştirecek betiklerin yazılması, büyük ölçekli taramalar için performans optimizasyonlarının yapılması olarak sayılabilir.
Gerçekleştirmesi planlanan sunumda web ve mobil bankacılık uygulamalarında sıklıkla karşılaşılan güvenlik açıklıklarından ve bu açıklıkların doğurduğu risklerden bahsedilecektir.
2014 yılı sistem yöneticileri için kabus, hackerlar için rüya gibi bir yıldı. Geçtiğimiz yıl, Heartbleed, Shellshock, Sandworm, Schannel, POODLE, Drupal SQL enjeksiyonu gibi sıfır-gün ataklarının yanı sıra Dragonfly, Regin, Turla gibi devletlerin sponsor olduğu zararlı yazılım ataklarının adından söz ettirdiği ve Sony, HomeDepot ve Domino's Pizza gibi dev şirketlerin, hatta iCloud üzerinden ünlülerin hacklendiği bir yıl oldu.2014'te 15.000 civarında güvenlik açığı ortaya çıktı, fakat bunlardan sadece %5'inin sömürü kodu var. Peki, bu kadar az istismar kodu varken hackerlar nasıl bu kadar başarılı oluyor? IT departmanlarının korkulu rüyası herkese açık herkese açık istismar kodlarıyla yapılan saldırılar mı, sıfır-gün atakları mı, yoksa zararlı yazılım saldırıları mı? Bu saldırılardan nasıl korunabiliriz? Bütün bu soruların cevaplarını bu sunumda bulacaksınız.
Her ne kadar yazılımların saldırı vektörleri çok fazla olsa da aslında güvenli yazılım geliştirme adına yapılacak pratik çözümler ile çok sayıda uygulama güvenliği problemi ortadan kaldırılabilir. Bu sunum içeriği; güvenli yazılım geliştirme adına yapılması gereken en yaygın 10 pratik çözümü ve örneklerini içeriyor olacaktır.
Mass surveillance, dinlenmeler, yasadışı yetkisiz erişimler gibi konularla çalkalandığımız bu dönemde mahremiyet ve güvenlik giderek insanların dikkat etmeye çalıştığı bir konu haline geldi. Bu sunumda, Internet ve sosyal medya'nın dogğurdugu mahremiyet ihlalleri ve özel olarak geliştirdiğimiz sosyal medya aracılığı ile istihbarat ve mahremiyet ihlali yöntemleri açıklanacaktır. Artık "geçen yaz ne yaptığınız"dan daha fazlasını, sabah ilk kahvenizi kiminle içtiğinizden, favori mekanlarınıza ve günlük rutinlerinize kadar tüm mahremiyetiniz ifşa oluyor.
2. • Fiziksel Sızma Testi (Red Teaming) Nedir?
• Red Teaming Neden Gereklidir?
• Red Teaming Kimler Tarafından Gerçekleştirilir?
• Red Teaming İş Akışı
• Kullanılan Araç ve Taktiklere İlişkin Örnekler
İçerik
3. Tanım: “Red Team” kurumların güvenlik verimliliğini
arttırmak amacıyla saldırı simülasyonları düzenleyen
bağımsız güvenlik ekipleridir.
Geçmişte askeri ve istihbarat kurumları için
başvurulan bu test, günümüzde kritik sektörlerde
faaliyet gösteren özel sektörlerde de uygulanır.
Red Teaming Nedir?
4. Özellikle aşağıdaki sektörel alanlarda:
* Bankacılık
* Finans
* Bilişim
* Havacılık
* Teknoloji
* Bilişim ve;
* Devlet kurumlarında uygulanır.
Red Teaming;
Endüstriyel espiyonaj, sabotaj, hırsızlık, yetkisiz erişim ve
benzeri teşebbüsleri ortaya koyan en gerçekçi test biçimidir.
Red Teaming Nedir?
5. * Gerçek güvenlik saldırgan perspektifi ile yürütülen en
gerçekçi testtir.
Belirli bir alana odaklanan testler (güvenlik sistemlerinin işlev
testleri, farkındalık testleri, bilgi güvenliği kalite standardı (ISO
27001) testleri, dijital sızma testleri (pen-test'ler), gerçekleştirilen
sair tatbikatlar, vs.)
Tek bir alana odaklandıklarından “sınırlı” bir sonuç ortaya koyar.
Saldırganlar için, bu tür bir sınırlama söz konusu değildir.
Neden Red Teaming?
6. Endüstriyel Espiyonaj, Sabotaj, Bilgi Hırsızlığı gibi saldırılar
Kombine saldırılardır.
Yani; saldırganlar,
*Fiziksel;
*Dijital;
*Elektronik; ve;
*Operasyonel güvenlik açıklarını birlikte kullanır.
Neden Red Teaming?
7. Hatalı CCTV lokasyonları,
lockpicking ile kolayca açılabilir kilitler,
yanlış telsiz frekansları,
hatalı hareket sensörleri,
doğru menteşe sistemine sahip olmayan pencereler,
kolayca erişilebilir telefon hat geçişleri,
yerleşim olarak doğru kurulmayan X-ray cihazları,
tek-camlı pencereler,
duvar ve tavan açıkları,
gözetlenmeyen/ihmal edilmeyen personel girişleri/arka kapılar,
kolayca erişilebilir havalandırma açıklıkları,
gibi fiziksel güvenlik zafiyetleri.
Neden Red Teaming?
8. *Kolaylıkla kopyalanabilir yanlış RFID kartların tercih
edilmesi,
*Manyetik kartların güvenlik personeli tarafından kolay
erişilebilir lokasyonlarda tutulması,
*Elektronik geçiş sistemlerinde override koruması
olmaması,
* Binanın genel elektrik altyapı kontrollerinin kolaylıkla
saptanarak ulaşılabilir konumlarda olması (aydınlatma
engelleme) gibi elektronik zafiyetler;
Neden Red Teaming?
9. Personel tarafından kullanılan, bilgisayarlara, uzaktan
erişim sağlayabilecek her türlü güvenlik açığı gibi;
dijital zafiyetler:
Neden Red Teaming?
10. Son olarak tailgating ya da shoulder surfing gibi sosyal
mühendislik saldırıları hakkında eğitimi olmayan
çalışanların oluşturduğu “operasyonel” güvenlik
açıklarının;
Birlikte kullanıldığı üst-düzey atak vektörleri ile,
kurum güvenliği bütünleşik bir perspektif dahilinde
test edilir.
Neden Red Teaming?
11. *Test edilmeyen her güvenlik önlemi yetersizdir.
* Savaş, aldatmaya dayalıdır. (Sun Tzu)
* Fiziksel güvenlik önlemlerini aşan saldırganın, bilgisayar
ağını koruyan önlemleri %90 oranında baypas ettiği kabul
edilir.
Neden Red Teaming?
12. Red Team: En az 4 kişilik yetkin bir ekiptir.
Bu kişilerin kollektif olarak sahip olduğu niteliklerden
bazıları:
- Pen-test uzmanı
- Sosyal mühendislik
- Lock-picking
- Haberleşme
- Dinleme / İzleme sistemleri
“Red Team”
13. Yurt dışında, devlet kurumları (D.O.D.,) ve özel şirketler
(KryptonSecurity, TrustedSec, Chris Nickerson, Wil
Allsopp, vs.);
Türkiye’de ise IntelRAD/Prodaft tarafından uygulanıyor.
“Kimler Uyguluyor”
14. 1. Ön Görüşme
2. Recon
3. Planlama
4. Test Öncesi Görüşme
5. Yürütme
6. Raporlama
İşleyiş
27. • X-ray zarf spreyi
• Fotoğraf makinesi
• Yetki belgesi
Araç ve Taktikler
28. Çok basit bir senaryo;
Footprinting* yapılır.
Satın almadan sorumlu iki farklı
kişinin adları ve telefon numaraları öğrenilir.
Sabah, işe birip gelip diğeri gelmediği anda,
gelmeyenin telefon numarasından gelen kişi aranır.
(“Caller ID Spoofing”)
“Xerox’dan tamirci çocuk gelecekti...
Kapıda kalmışlar içeri alsana..”
Araç ve Taktikler
29. Bazen buna hiç gerek kalmıyor.
Ki bunun adı:
tailgating.
Araç ve Taktikler
30. Dışarıda yemek yiyen çalışanlar, yemekten önce
masalarını parsellemek için geçiş/kimlik kartlarını
masaya bırakMAmaları gerektiğini hala öğrenemedi
Hele metrobüs gibi sıkışık alanlarında, boyunlarında
kartlartını gururla taşımaya devam edenler..
Boş RFID kart, güzel bir printer, bir de PVC kaplama
makinesi (laminator).
Yeni giriş kartınızın keyfini çıkarın.
Araç ve Taktikler
31. Eşlik edilmeyen bir yabancının
yerleştirdiği ufak bir kamera,
parmaklarınızı izliyor olabilir.
Araç ve Taktikler
32. *Standart kilit göbeklerinin tümü lock-pickler ile
açılabiliyor.
* Kürdan örneği
* Motion sensörlerinizin sınırlarını denediniz mi?
Araç ve Taktikler
33. Peki ya dumpster diving?
Tesise yemek söylüyor musunuz?
Kablosuz ağlarınız ne kadar güvenli?
Telefon desteğine ilişkin güvenlik politikası?
Servis kapıları? (“Ben de bir el atayım abi...”)?
Yardımsever çalışanlar / zaaflar? (“Pardon ben bir çıktı
alacaktım..)
Liste oldukça uzun ve her kuruma göre değişiyor.
Araç ve Taktikler
34. • Kritik devlet kurumlarında; devlet sırlarının açığa
çıkmasını önlemek; veya nasıl açığa çıktığını ortaya
çıkarmak;
• Özel kurumlarda, Ar&Ge ve ticari sırlar dahil olmak üzere
bilgi hırsızlığını engellemek;
• Korunması istenen fiziksel varlıkların emniyetini
sağlamada yardımcı olmak için önemli bir yardımcıdır.
Sonuç