Eyüp ÇELİKBilgi Teknolojileri Güvenlik Uzmanı

info@eyupcelik.com.trhttp://www.eyupcelik.com.tr

Ethical Hacking ve Sızma Yöntemleri

Eyüp ÇELİK Kimdir ?

• Bilgi Güvenliği Uzmanı• White Hat Hacker• Ethical Hacking Eğitmeni• Mshowto Yazarı (www.mshowto.org)• Blog Yazarı (www.eyupcelik.com.tr)• LabSec Community - Güvenlik Ekip Lideri• Anatolia Security - Proje Takım Lideri• Güvenlik Araştırmacısı (Security Research)

– PacketStormSecurity.org– Exploit-db.com

Sunum Planı

• Hacker kimdir, nasıl çalışır, etik hacker kimdir ?

• Terminoloji• Bir hacking anatomisi• Sızma testleri neden gereklidir ?• Zafiyetler ve sızma testleri• Bilgi toplama – I. Uygulama• Scanning – II. Uygulama• Zafiyet Tespiti – III. Uygulama• Erişim sağlama ve sızma – IV. Uygulama• Taramadan bağımsız sızmalar – V. Uygulama• Servis engelleme saldırıları – VI. Uygulama• Güvenlik yöntemleri• Soru – Cevap

Terminoloji

• Exploit• Zero (0) Day• Payload• Fregmentation• Penetration Test• Vulnerability• Scanning• Port• Privilege Escalation

Hacker Sınıfları

• White Hat Hacker• Black Hat Hacker

• Lamer• Cracker

• Grey Hat Hacker

Güvenlik Testleri

Black Box

White Box

Grey Box

Hacking Anatomisi

Hacking Bilgisi

Footprinting

Scanning

Enumeration

HackingGaining Access

Privileges Escalation

Hiding Files

Cover Tracking

Footprinting

•Güvenlik testlerinde, sonucu ve tüm aşamaları etkileyen en önemli adımdır!•Hedef hakkında detaylıca bilgiler toplanmaya çalışılır•IP aralığı, DNS bilgileri, mail adresleri, whois bilgileri v.s•Çalışan servisler, işletim sistemi, portlar•Antivirüs, firewall, ips – ids•Toplanan bilgiler bir sonraki aşamada değerlendirilmek üzere kullanılır•İki kısımdan oluşur•Aktif Bilgi Toplama

• Host – Port Tarama•Pasif Bilgi Toplama

• Whois – mail adresleri

Footprinting Araçları

•Ping - hping3 - tracetoute (tracert)•MetaSploit•Nmap•Maltego•Nslookup•Loriot Pro•Google Hacking Database (GHDB)•Mail Header•http://www.whois.sc•http://www.dnsstuff.com

Footprinting Araçları

Footprinting Araçları

Footprinting Araçları

Footprinting Araçları

Scanning

•Hedef hakkında aktif bilgi toplama yöntemlerindendir•Zafiyet taşıyabilecek muhtemel portlar taranır•İşletim sistemlerinde ve servislerde bulunan zafiyetler taranır•Networkte bulunan en zayıf halka keşfedilmeye çalışılır•3 (Üç) kısımdan oluşur

Scanning Evreleri

Port Scanning

Network Scanning

Vulnerability Scanning

Scanning

•Nmap•Nessus•NetScan•Net Tools Suite Pack•Advanced Port Scanner•Super Scan•Retina•Core Impact•MBSA•Armitage•MetaSploit

Port Scanning

•TCP Syn Scan• Hedef PC’ye Syn bayraklı paket gönderilir• Port açıkça, hedef kaynak pc’ye Syn + Ack bayraklı paket

gönderir, kaynak makine gelen pakete Rst bayraklı paket göndererek bağlantıyı koparır. Port kapalı ise hedef pc, Rst + Ack bayraklı paket gönderilir.

•TCP Connect Scan• TCP 3 yollu el sıkışma (3 way handshaking) baz alınır.

Hedefe Syn bayraklı paket gönderilir. • Port açıksa, hedef pc Syn + Ack bayraklı paket gönderir.

Kaynak pc gelen pakete Ack paketi dönerek 3 yollu el sıkışmayı tamamlar. Port kapalı ise hedef pc, Rst + Ack bayraklı paket göndererek bağlantıyı keser.

•FIN Scan• Hedef pc’ye FIN bayraklı paket gönderilir. Port açıksa

hedef herhangi bir cevabı geri. döndürmez. Port kapalı ise hedef pc, Rst + Ack bayraklı paket döndürür.

Port Scanning

•Xmas Tree Scan• FIN scan ile aynıdır. Tek fark TCP Frame içersine URG, PSH

ve FIN bayraklı paketler yerleştirilebilir. •Null Scan

• Hedef pc’ye bayraksız (Null) paketler gönderilir. Hedef pc’nin vereceği cevaplar FIN scan ile aynıdır.

•Ping Scan• Hedef pc’ye ICMP Echo Request (ping) paketi gönderilir.

ICMP paketleri filtrelenmiyor ise, hedef pc gelen pakete ICMP Echo Reply paketi ile dönüş yapar. Hedef pc kullanılamaz durumda ise (kapalı v.s) herhangi bir cevap dönmeyecektir.

• Sıklıkla kullanılmayan bir tarama türüdür.•Nmap Decoy Scan

• Genellikle güvenlik cihazlarını-yazılımlarını atlatmak için kullanılır. Veri paketleri zombi bilgisayar üzerinden hedefe gönderilir. Hedeften dönen cevaplar zombi bilgisayar üzerinden kaynağa iletilir.

Network Scanning

•Networkte bulunan cihazlar keşfedilmeye çalışılır•Serverlar ve clientlar tespit edilir•Router, switch gibi network cihazları keşfedilir•Firewall, ips-ids gibi ürünler tespit edilir

Network Scanning

Vulnerability Scanning

•Tespit edilen cihazların güvenlik zafiyetlerini bulmak için kullanılır•Tam bir sızma testine yön veren evredir•Genel itibari ile çeşitli araçlar kullanılarak gerçekleştirilir (Nessus-Nexpose)•Bulunan zafiyetler doğrultusunda sisteme sızmaya çalışılır

Enumeration

•Enumeration Nedir•Hangi Bilgiler Alınır•Emurable Edilen Servisler•Enumeration Araçları

Enumerable Edilebilen Servisler

•Netbios Enumeration•SNMP Enumeration•SMTP Enumeration•DNS Enumeration•LDAP Enumeration•NTP Enumeration

Enumeration Araçları

•SuperScan•NetBios Enumerator•SolarWinds IP Network Browser•Loriot Pro•JXplorer•NTP Server Scanner•NetScan Tools Pro•Telnet

Hacking

Password Cracking

• Active Online

• Passive Online

• Manuel

Vulnerability Management

• Nessus• NexPose

Buffer OverFlow

• Taramadan Bağımsız Sızmalar

DOS / POC

• Servis Engelleme Saldırıları

Password Cracking

Active Online Password Cracking

• Dictionary Attack• Brute-Force Attack• Hybrid Attack• Keylogger• Trojan• Spyware

Password Cracking

Keylogger

Donanımsal Keylogger

PC/BIOS Embedded

Keylogger Keyboard

External Keylogger• PS/2-USB Keylogger• Wi-Fi Keylogger• Bluetooth Keylogger

Yazılımsal Keylogger

Application Keylogger

Kernel Keylogger

Rootkit Keylogger

Keylogger

Trojan

Password Cracking

Passive Online Password Cracking

• Sniffing• MITM (Man In The Middle)

Sniffing

MITM (Man In The Middle)

Vulnerability Management

Discover Devices

Gain Access

Take Control

Uygulama 1 – Bilgi Toplama

Uygulama 2 – Scanning

Uygulama 3 – Zafiyet Tarama

Uygulama 4 – Erişim Sağlama ve Sızma

Buffer OverFlow

•Buffer, bellekte art arda dizili veri türlerini (int, char) depolayan hafıza bloğudur.•C de array olarak adlandırılan buffer, statik ve dinamik olarak ikiye ayrılır.•Statik array, program ilk çalıştırıldığında Data Segment’e yazılır.•Dinamik array, hafızada programlar için ayrılmış Stack bölüme yazılır.•Buffer Overflow, stack alanlarda oluşur. •Örn, 32 Byte olarak ayrılmış bir alana 256 Byte’lık veri yollandığında, hafıza bloğu taşarak Buffer, overflow edilir.

Buffer OverFlow

•Stack, ESP ve EBP adında iki önemli CPU Register çalıştırır.•ESP (Stack Pointer), stack’e gönderilen son değeri adresler.•EBP (Segment Başlangıç Noktası), stack’e gönderilen ilk değeri adresler.•Stack LIFO (Last In First Out) mantığı ile çalışır.•Buffer, overflow edildikten sonra, hafıza bloğundan taşan veriler yığına iletilir.•BOF saldırısı bu noktada gerçekleştirilir.•Yığına iletilen geri dönüş adresine veri yazdırılarak exploit edilir.•Geri dönüş adresine yazılan veri, gitmesi gereken adres yerine exploit edilen adrese dönüş yapar.•Böylece kötü niyetli kodlar ile sistem ele geçirilebilir.

Uygulama 5 – Buffer Overflow

DOS Exploitler

•Sistemi ele geçirmek yerine, sisteme zarar verme odaklıdırlar•İşletim sistemleri, yazılım veya çeşitli protokollerdeki zafiyetlerden meydana gelirler•Bazı yapılandırma hatalarından dolayı da oluşabilir•Temel amaç, sisteme zarar vermektir.

Uygulama 6 – DOS / POC

Güvenlik Yöntemleri

•Pentestlerin belirli aralıklarla yapılması•Microsoft güvenlik bültenlerinin takip edilmesi•Gerekli yamaların vakit kaybedilmeden kurulması•Güvenlik yazılımının kullanılması (Antivirüs – Internet Security)•Windows güvenlik duvarının sürekli açık ve aktif olarak çalışır durumda olmasını sağlamak•DMZ alanlarının kurulması•Firewall, ips-ids sistemlerinin kullanılması•Web sunucuları için WAF (Web Application Firewall) kullanılması•Erişim yetkilendirmesi•Fiziksel güvenlik

Sonuç ?

Teşekkürler!Sorular,

Sorunlar ?