HACK, TROJAN, GÜVENLİK, NETWORK
İLE İLGİLİ DOKÜMANLAR
İnternette güvenlik, trojanlar,
hack, nuke, networkler konularında bilgi sahibi olmak istiyorsanız
çok okumanız lazım. Aşağıda bu konulardaki
dökümanlar verilmiştir. Çoğunu bizzat
Turkcenter ekibi olarak biz yazdık.
İyi bir hacker olmak aynı zamanda iyi bir internet security
auditing (şirketlerin internet güvenliğinde çalışan)
olmak demektir. Çünkü her ikiside internet ve bilgisayar
güvenliğiyle uğraşır, aralarındaki
fark; birinin düzlemin bir tarafında,diğerinin
ise düzlemin zıt taraflarında olmasıdır.
Hack konusunda bilgi sahibi olmak demek başkalarının
bilgisayarlarına, web sayfalarına zarar vermek, kredi
kartları bilgilerini çalmak değildir. Hack, trojan,
nuke, networkler konusunda bilgili ve becerili olmak demek bilgisayarı
iyi tanımak, internet ve bilgisayar güvenliğini
bilmek demektir. Buradaki txt ler HACK namına hiçbirsey
anlamina gelir.
UNUTMAYIN: Programlarla ve Windows 'la hacker olamazsiniz. Ayrica
web sayfalarinda dolaşarakta hacker olamazsiniz. Linux kurun
(exploitler için), TCP/IP ögrenin, sonra zaten mantiginiz
size yol gösterecektir. Bunun için aşağıdaki
dökümanlar çok işinize yarıyacaktır,
sitemizi düzenli takip etmenizi öneriyoruz. Çünkü
güvenlik ve hack konularında daha teknik ve ileri dökümanlar
sunacağız
Sizde elinizdeki güvenlik, trojanlar, hack, nuke, networkler
konularındaki bilgileri bizimle paylaşın,sizin
adınız ve e-mail adresinizide yayınlayarak sitemizde
yayınlayalım.
NOT: Bu TxT ler sadece bilgi amaclidir, bilgi güçtür
ve güç sorumluluk gerektirir, eğer bu sorumluluğu
kaldiramayacagınızı düşünuyorsaniz
burada yazanlari unutun. Ve bu txt lerde anlatilanlari da kimseye
zarar vermek için kullanmayin, herşey sizin sorumluluğunuzda.
1 ) Trojanlar hakkında hersey - Trojan nedir? En iyi trojan?
Nasıl bulaşırlar? Ve diğer.
2 ) Hacker, Lamer, Newbie nedir? - Ben hangi kategoriye giriyorum?
3 ) Trojan kullanıcıları neler yaparak bilgisayarlara
girerler?
4 ) Exploitler nedir? - Nasıl kullanılır? Bir kaç
Exploit örneği.
5 ) Unix sisteminde hack - Newbie ler için, Unixde password
dosyaları.
6 ) Unixde Shadowed Password Dosyası ve TCB - Trusted Computing
Base.
7 ) Unixde Finger komutuyla hacking - Çok güzel finger
komutu örnekleri.
1) Trojanlar hakkında hersey
Burda Trojan lar hakkında öğrenmek istediğiniz
herşeyi öğrenebilirsiniz.Trojanları kullanmayı
da Trojanların tehlikeleride burda
Trojan Nedir?
Trojan (Truva Atı) kısaca ;bir bilgisayarın,başka
bir bilgisayara girmesinde ,onu ele geçirmesinde kullanılan
bir programdır
Trojanların genel olarak mantığı nasıldır?
Her trojanın bir client.exe si ve birde server.exe si vardır
(bu dosyaların isimlerin farklıda olabilir tabiki,örneğin
server.exe nin ismini fotolarım.exe olarakta değiştirebilirsiniz).
Girmek istediğiniz bilgisayarın sizin gönderdiğiniz
server.exe yi alması ve çalıştırması
zorunludur,alsa dahi çalıştırmassa trojanı
karşı bilgisayara bulaştırmanız imkansızdır.
Karşıdaki bilgisayarın server dosyasını
çalıştırmasından sonra,siz de bilgisayarınızda
client.exe yi çalıştırıp, karşıdaki
bilgisayarın ip numarasını client.exe ye girmeniz
yeterlidir. .Yani bir trojanı birine bulaştırmak
için,bulaştıracağınız kişinin
server dosyasını çalıştırması
ve onun ip numarasını bilmeniz yeterlidir.
Trojanları neden öğrenmeliyim?
Trojan (Truva Atı) denilen bu program türünü
bilmek çok önemlidir.Çünkü bu programlar
virüslerden daha tehlikelidirler. Bir virüsün yapabileceği
en kötü şey bilgisayarınıza format atmaktır.Ancak
size trojan bulaştırmış bir kişi,sizin
şifrelerinizi,kişisel dosyalarınızı hatta
kredi kartı numaralarınızı bile alma ihtimali
vardır.Bundan dolayı trojan kullanan biri olmasanız
dahi internete giren biri olarak bu programlar hakkında herşeyi
bilmelisiniz.Çünkü ISS şifreniz(internet bağlantı
şifreniz) çok önemlidir. İnsan ne yazık
ki ancak başına gelince; uzaktan bakıp güldüğü,
"Nasılsa bana denk gelmez" dediği olayların
aslında ne kadar ciddi olduğunu anlıyor. PC'nizin
iç güvenliği yeterince iyi değilse, dış
güvenlik kesinlikle yeterli değildir. Trojan kullanmak
hacker lık değildir,trojanı her bilgisayar kullanmasını
bilen kullanabilir,Trojan Programlarıyla ve Windows 'la hacker
olamazsiniz. Ayrica web sayfalarinda dolasarakta hacker olamazsiniz.
Linux kurun(exploitler için), TCP/IP ögrenin, sonra
zaten mantiginiz size yol gösterecektir.Ancak trojan kullanarak
portlar,dosya güvenliği,sistem güvenliği ve
firewall lar hakkında birçok şey öğrenebilirsiniz
Trojanlar geçmişi nedir? Trojanlar neden ortaya çıktılar
Trojanların ilk çıkışı sanıldığı
gibi kötü niyetli olmamıştır.90 lı
yılların başlarında,şirketler de çalışan
bazı kişiler, akşama kadar işlerini bitiremedikleri
için evde de bilgisayar başında çalışmaları
gerekmiştir.Ancak tüm muhasebe kayıtları,
şirket bilgileri şirketlerdeki bilgisayarlarda kaldığından
dolayı o bilgilere devamlı ulaşmak istemişlerdir.Yani
her gün işde ki bilgisayarını eve taşıması
yerine ,evdeki bilgisayarından iş yerindeki bilgisayarına
bağlanıp işlerini evdende devam etmek istemiştir.Bundan
dolayı iş deki bilgisayarını açık
bırakıp trojanın serverını çalıştırıp,eve
gidincede client ini çalıştırıp bağlanmışlardır.Fakat
sonraları,bu bilgisayarlara kaçak olarak başka
kişilerin girmesiyle trojanlar bu günkü hallerini
almışlardır. Geçmişte basit yapıda
olan trojanlar,günümüzde bilgisayarlarda ki hızlı
gelişmeye paralel olarak gelişmiş ve bir çok
kişi tarafından kullanılır hale gelmiştir.Tabiki
bu bir çok kişi içinde kötü niyetlilerde
vardır.
Trojan bilgisayara nasıl bulaşıyor?
Bir bilgisayara trojanın bulaşması için server
dosyasının çalıştırılması
zorunludur demiştik.Ancak bu server dosyası salt bir
server.exe olmayabilir.İsmini değiştirebilirsiniz(Örneğin:Server.exe
nin ismini gönderdiğiniz kişinin istediği
bir program isminede çevirebilirsiniz). En çok kullanılan
bir yöntemde server ı başka bir dosya ile birleştirmektir.
Geçmiş yıllardaki basit trojanlarla bu yapılamıyordu
fakat günümüzdeki trojanların bir çoğuyla
bu yapılabiliyor.Birleştireceğiniz dosyanın
resim dosyası(jpg,gif,bmp),video dosyası(mpeg,avi) veya
program dosyası(exe) olmasıda hiç önemli değildir,tüm
uzantılı dosyalarla server ı birleştirebilirsiniz,ancak
hangi dosya ile birleştirirseniz birleştirin,birleştirilmiş
bir server ın uzantısı exe olması zorunludur.Yani
bir trojanın gif,avi,jpg vb. formatlarda olması imkansızdır.Bir
jpg ile birleştirilmiş bir server ı girmek istediğniz
bilgisayar çalıştırırsa,o sadece resmi
görecektir ama arka planda trojanda çoktan bulaşmış
olacaktır. Trojan bulaşırken iki işlem gerçekleştirir.
1.işlem ; windows un her açılışında
otomatik olarak çalışacak şekilde trojan kendini
açılışa koyacaktır.Bir dosyanın
windowsun her açıldığında otomatik olarak
çalışması için win.ini,system.ini,autoexec.bat,config.sys
veya regedit dosyalarından birinin belirli yerine,kendini
her açılışta çalışacak şekilde
kayıt ettirmesi gereklidir.Trojan da bunu yapar ve bu dosyalardan
birine kendini kayıt ettirir.Böylece windows her açıldığında
trojan otomatik olarak arka planda çalışacaktır.
Trojanın bu özelliği sayesinde, karşı
bilgisayara bir kere değilde,o PC her online olduğunda
girebilme şansınız vardır.
2.işlem ; Trojanın bulaşırken gerçekleştirdiği
2. işlemse kurban bilgisayarın bir portunu açmaktır.Portun
ne olduğunu bilmeyenler için portun ne olduğunu
kısaca söyleyelim.İnternete girmek için kullandığınız
Modem lerin 65536 tane portu vardır, bunlar sanaldır,yani
modemin içinde sadece tek bir çıkış ve
tek bir giriş vardır ancak internetteyken yapılan
işlemleri karıştırmamak için bu portlar
kullanılır,çünkü siz internete girdiğinizde
aynı anda hem explorer kullanıyosunuz, icq ya bağlanıyosunuz,hemde
mp3 indirebiliyosunuz,bu işlemlerin karışmaması
içinde modem gelen-giden byte ların yerini karıştırmamak
için bu portları kullanır,mesela explorer 80. portu
kullanır,ICQ 1029,FTP(Dosya transferi) 21. portu kulanırlar,böylece
internet trafiği karışmamış olur.yani
modemlerin sanal olarak 65536 tane portu vardır. Siz de trojan
kullanarak karşı bilgisayara girerken bir porttan girmeniz
gerekli,bu portun hangi port olacağı trojana göre
değişir(örn:netbus 1234. portu kullanır,Blade
runner trojanı ise 5401. portu kullanır).Şimdiki
trojanların çoğunda istediğiniz portuda seçebiliyosunuz.
Trojan bu iki işlemi arka planda yapar ve bu yazdığımız
uzun işlemler saniye bile sürmez.Bu iki işlem her
trojanın yaptığı işlemlerdir,bunların
yanında trojanların kendilerine has bulaşınca
yaptığı işlemler vardır,örneğin
bazı trojanlar bulaşınca kurbanın ISS (internet
bağlantı) şifrelerini sizin e-mail adresinize gönderir.
Trojanların Kullanım amaçları
Trojanların kullanım amaçları çok fazladır.Katagorilere
ayırırsak
A ) Çalma Amaçlı
a.Net Account,Icq Password,e-mail şifresi.
b.Çeşitli Dosyalar (Kurbanın dosyalarını
download ve upload etme, silme, değiştirme)
B ) Eğlence Amaçlı
a.Fiziksel Eğlenceler (CD-ROM, Monitor, Mouse)
b.Programsal Eğlenceler (Kurbanla chat, Matrix)
c.Görüntüsel Eğlenceler (Desktop Capture,
)
C ) Casusluk
a.Keylogging
b. ICQ spy
Kaç tane trojan vardır? En çok kullanılanları
hangileridir?
Sayısı tam olarak bilimemekle birlikte yüzlerce
trojan vardır ve her geçen gün bunların sayısı
artmaktadır.Sayıları arttıkça özellikleride
artmaktadır.En çok raslanan trojanlar ; BO(back Orifice),Subseven,Sokets
des troie,ftp ,Blade runner,Netbus Trojanlarıdır.Türkler
tarafından yapılmış trojanlarda vardır:Truva
atı,Schoolbus,Thief ve CAsus da türkler tarafında
yapılan bazı trojanlardır.
Casus, BO ve Subseven trojanının açıklamaları
ve Downloadları için buraya tıklayınız.
--------------------------------------------------------------------------------
2) Hacker, Lamer, Newbie nedir?
Bu sayfada sadece teorik temel bilgi verilecek. Bilinmesi gereken
teknik terimler anlatılacaktır.
Hacker : Bilgisayar sistemlerinin açıklarını
iyi bilen, bu açıkları kullanmak için gerekli
programları yazabilen ve bunu sadece zevk için yapan
insanlardır. İyi bir hackerın işletim sistemleri
ve programcılıkta uzman olması gerektiği gibi
telefon şebekesinden de anlaması gerekir. Hackerlar
siyah ve beyaz olarak ikiye ayrılır. Siyahların
tek amacı karşı tarafa zarar vermektir, varlıklarını
belli edecek notlar bırakırlar. Beyazlar ise gözönünde
bulunmazlar, sistemlerde gördükleri açıkları
sistem yöneticilerine bildirirler. Gerçek hacker'lar
devamli yeni seyler ögrenme yolunda önüne geçilmez
bir istege sahiptirler ve korkunç bir sekilde ayrintiya önem
verirler.Hacker'larin sayesinde sistemler daha da güvenli
hale gelmeye basladi Programlarla ve Windows 'la hacker olamazsiniz.
Ayrica web sayfalarinda dolasarakta hacker olamazsiniz. Linux
kurun(exploitler için), TCP/IP ögrenin,sonra zaten mantiginiz
size yol gösterecektir.Sitemizi düzenli takip etmenizi
öneririm.
Lamer : Hacker özentisi diyebiliriz. Birkaç trojan ve
nuke programıyla etrafa saldırıran tiplerdir.Hem
amatör hemde hacker lık konusunda kendini geliştiremeyenlere
verilen addır.Tarih boyunca hackerlar lamerlarla alay etmiştir.
Newbie : Hacker Lamer arası bir düzeydir. Lamer gibi
zibidilikler yerine kendini hacking konusunda geliştirmeye
adamıştır. Hacker olmanın ilk kurallarından
biri olan "ne bulursan oku" evresindedir.
Bir kaç tavsiye; Yukarıdakilerden Lamer olmamaya özen
gösterin,kendinize göre kesin kurallarınız
olsun,örn; asla devletin resmi sitelerine saldırmayın,kredi
kartı olaylarına hiç girmeyin(demir parmaklıkların
içinde olmayı istemezseniz tabi), başkalarının
bilgisayarına girince dosyalarını silmek gibi zararlı
şeyler yapmayın.
--------------------------------------------------------------------------------
3) Trojan kullanıcıları neler yaparak bilgisayarlara
girerler?
Trojan Kullanarak neler yaparlar?
Bir trojan kullanicisi,trojani herhangi bir bilgisayara bulastirmak
isterse bunu yapmasi imkansiz degildir. Bu trojani kullanarak,bulasan
bilgisayara girmek ise cocuk oyuncagidir.Simdiye kadar bir trojani
hic kullanmadiysaniz veya tum ozellikleriyle kullanmadiysaniz
hep sunu merak etmissinizdir : Trojan Kullananlar bir bilgisayara
girince neler yaparlar? Bu dokümandada trojan kullanan kisilerin,trojani
birine nasil bulastirdiklarina ve neler yaptiklarina deginicem
Trojan kullanicilarini iki gruba ayirmak lazim
1)Caylaklar
2)Profesyoneller
CAYLAKLAR
Bir trojani kullanmak cok cok kolay bir istir.Klavye ve mouse
kullanmasini bilen herkes trojan kullanabilir.Cünkü
illa birine trojan bulastirmayada gerek yoktur,trojan bulasmis
kisileri bulup (Trojanlarin IP scanner özellikleriyle) bile
trojan kullanilabilir. Caylak lar trojan konusunda pek bilgisi
olmayan kisilerdir,ingilizce bilmiyorsa türkce trojanlar
kullanirlar. Bir trojani bulaştirma konusunda yetersizdirler.Bir
bilgisayara girdikleri zaman girdikleri bilgisayarin ISS sifrelerini
alirlar,dizinlerde biraz gezinirler,girdikleri bilgisayarin CD
sini acip-kapama,karsidakine mesaj gönderme gibi eglence
araclariyla karsidakiyle dalgasini gecerler. Boyle kisilerin bulastirdiklari
trojanlarinda farkedilme olasiligi Profesyonel lere göre
daha yüksektir.Fazla bilgiye sahip olmamalarindan dolayi
yaptiklari sınırlıdır
PROFESYONELLER
Bunlar internette güvenlik,trojanlar konusunda kendini yetistirmis
kisilerdir ve piyasadaki ünlü tüm trojan türlerini
bilirler.Dünyada yüzlerce trojan var ama en önemli
Trojanlarin aralarindaki farklari bildikleri icin amaclari icin
en uygun trojani secebilirler. Bir bilgisayara girdikleri zaman
CAYLAKLAR gibi hemen sifrelere yönelmezler,ilk yaptiklari
is tekrar bu bilgisayara girmek icin programlar yüklemek
veya gerekli ayarlari yapmaktir.Simdi adim adim bir PROFESYONEL
in bir bilgisayar girisine bakalim ;
ILK ADIM SERVER DOSYASININ BULASTIRILMASI
Trojanlarin iki kisimdan olustugunu diger dökümalarimizda
söylemistik,Client ve Server.Server girilecek bilgisayarda
calistirilmasi gerekli dosya,client de bulasmis bilgisayara girilmesi
icin gereken programdir. En önemli olay server dosyasinin
bulastirilmasidir.Trojan kullanan kisi,eger server dosyasini bulastirabilirse
hersey cok basittir. ICQ,IRC,MSN mesanger, gibi chat programlarinda
dosya alis-verisleriyle ,mail e trojanli dosyanin gönderilmesiyle
server bulastirilabilir.Hickimse "al bu trojanli dosya"
diye dosya göndermez.Cesitli kandirmaca yöntemler kullanirlar.
Server dosyasini göndermeden önce iconunu degistirirler,bu
icon gönderilme amacina göre degisir.Mesela birine resim
dosyasi gönderiyorum diyerek trojan göndermek isteyen
biri JPG iconlu bir trojan olusturur.AMA SUNU SAKIN UNUTMAYIN:Trojanlar
kesinlikle exe,com,bat veya dll olmak zorundadirlar,hiçbir
trojan jpg,avi gib, formatlarda olamaz. Eger birine cok güzel
bir windows oyunu veya kagit oyunu maksadiyla server gönderecek
biri iconuda bir oyun iconu yapabilir. Icon konusunda Bu örnekleri
cogaltmak mümkündür. Iconu degistirildikten sonra,server
dosyasi baska bir dosya ile birlestirilir.Yeni nesil trojanlarin
dosya birleştirme özellikleri hat safhadadir.Bir server
la jpg,bmp,avi,exe gibi hertürlü uzantili dosya birlestirilebilir.Hangi
dosya ile birlestirildiyse ,server calistirildiginda o dosya ekranda
calisir ama arka planda trojan coktan bulasmis olur.Örnegin,server
la jpg dosyasi birlestirildiyse,server calistirildigi zaman jpg
resmi ekranda cikar,avi ise activemovie ile avi gösterilir.Yani
server i calistiran kisi birsey anlamaz.Server dosyasi emirlere
hazirdir.Simdiki adim SERVER dosyasini göndermektir. Server
bir dosya ile birlestirilip iconu degistirildikten sonra ICQ,IRC
veya messanger programlarinda server li dosya göndermek en
favori gönderme seklidir.Web sayfalariylada server bulastirilabilir.Bir
kac uygulama örnegine deyineyim;
1)Biri size "resimlerim.exe" diye bir dosya gönderirse
bunu anlayabilirsiniz ama "aysegül___benim__resimlerim__slaytlar.exe"
gibi bir dosya gönderildiginde,bu dosyanin exe oldugu acik
olarak belli olmaz. cünkü isim bilerek uzun tutulmustur,bundan
dolayi uzantisi ekranin sol unda belli olmaz. Bu dosyayi alan
kiside,dosyanin bulundugu dizine gittiginde JPG iconunu görünce
hemen o dosyayi acmak icin tiklayacaktir. Bunu biraz internette
güvenlik ve trojanlardan anlayan biri tabiki yapmaz,hemen
dosyaya sag tiklayip "özellikler" den dosyanin
exe oldugunu anlar ama bu konularda bilgisizler o kadar cok ki.
2)Diger bir yol zip uzantili dosyalarla trojan bulastirmadir.Schoolbus
trojaninin 1.5 versiyonunu server dosyasi zip uzantili bir dosyadir.Bu
zip li dosyayi alan kisi zip i acmak icin tikladiginda winzip
karsisina cikacaktir ve "I agree" ile devam etmek istediginde
trojan bulasmis olacaktir.Bu yöntemi caylak bir trojan kullanicisi
bilmez.Bu yönteme cogu kisi aldanabilir.Cünkü zip
uzantili bir dosya ile direk trojan bulasabilecegini ummazlar.Burda
winzip in bir acigindan faydalanilmaktadir.Eger Server ın
ismi setup.exe diye yazılıp zip lenirse.Karşı
taraf bunu açarken winzip i çalıştırır.Eğer
winzip "wizard" ise setup.exe yi bir kuruluş programı
olarak algılayıp siz "Next" dedikten sonra
server otomatik olarak açılacaktır.Winzip "Classic"
modunda ise Dosyanın ismini size direk göstereceği
için bunun bir exe dosyasını anlarsınız.
.Winzip i "wizard" modunda olanların yutacağı
bir yöntemdir.
3)Bu yolda zip li dosyalarla server yedirilir.Ama yukardaki yönemden
farklidir.Trojan hazirlayan kisi 5 tane jpg uzantili resim bulur.
Server dosyasininda adini degistirir ve iconunu jpg iconu yapar,5
resmin icinde dikkat cekmiyecek sekilde saklanabilir. Bu 6 resim(aslinda
biri trojan) zip lenerek gönderilir.Alan kisi zip liyi acarken
icinde bir exe dosyasi oldugu anlamasi zor degildir ama biraz
dikkatsiz davranirsa buna aldanir.Alan kisi sirayla bu jpg leri
acarken bu exe yide calistirir.Böylece server bulasir.
4)Bu yöntem web sayfalari araciligiyla server bulastirmadir.Sitesinde
cok güzel bir program oldugunu iddia ederek veya normal bir
proramin icine trojan bulastirarak sitesine koyabilir.Biri de
bu programi siteden indirip calistirildiginda trojan bulasir.Bundan
dolayı taninmamis ve guvenli oldugundan emin olmadiginiz
sitelerden dosya indirmeyin derim.Size hemen bir ornek vereyim.Bir
yabanci internet sitesinden "ResourceHacker" isimli
bir programi download ettim ve programi kullanmaya basladim .(Programin
ismi=ResHacker.exe) ama raslanti eseri bu programin icinde sinsi
bir "sifre çalıcı" bir program oldugunu
farkettim.İcindeki şifre çalıcı program,benim
şifreleri her internete girdiğimde bir e-mail adresine
gönderiyodu.Hemen bilgisayari temizledim tabiki.Sonrada programin
yapımcısına sövdüm,saydım maille.Ama
herkes benim gibi şanslı olmayabilir.Adam bilgisayarımada
girebilirdi.Bundan dolayı internetten dosya alırken
dikkatli olun.
--------------------------------------------------------------------------------
4) Exploitler nedir?
Exploit Nedir, Nasıl Kullanılır ?
İşletim sistemlerin çok kullanıcılı
sistemlerde kullanılmaya başlamasıyla birlikte
sistemlerde kullanıcıların yetkisi de sözkonusu
olmuştur. Kişisel işletim Sistemlerinde (örneğin
DOS) sistemi aynı anda tek kullanıcı kullandığı
için bütün dosyalara erişebilir, okuyabilirdi
Ancak aynı anda pek çok kişi tarafından kullanılan
İşletim sistemlerinde sistemin bir yöneticisi olmak
zorundadır.Yönetici Novell'de "supervisor",
Unix ve Linux de "root", NT'de "administrator"
olarak adlandırılır İşte bu çok
kullanıcılı sistemlerde yetkisini artırmak
isteyen normal kullanıcılar sistemde daha yetkili hale
gelebilmek için "exploit" dediğimiz programlar
yazmışlardır. Exploitler işletim sistemi üzerindeki
herhangi bir programın eksikliğinden ve bug lardan(sistem
açıkları) yararlanarak kullanıcıyı
daha yetkili hale getirmeye yararlar. Exploitler local ve remote
olarak ikiye ayrılır.
Local exploitler: işletim sisteminin bir kullanıcısıyken
uygulanabilir,
Remote exploitler: Sistemin bir kullanıcısı olmanıza
gerek yoktur.
Sistem açıkları ve bu açıkları kullanmak
için yazılmış exploitler günden güne
artmakta ve her sistem açığı için patch'ler(yama)
yazılmakta. Exploit lerle çalışmak zevklidir.Zevkli
olduğu kadar da sabır ister, bir trojanı kullanmak
kadar kolay değildir,hatta trojanlar la Exploit leri aynı
cümle içinde kullanmak Exploit lere hakaret bile sayılabilir.Her
Exploit e karşı bir süre sonra Patch(yama) çıkarılabilir.Bundan
dolayı bu güvenlik açıklarını sürekli
takip etmelisiniz (Novell,NT,Linux un güvenlik açıklarının
yazıldığı ve sürekli güncellenen
siteleri sık sık ziyaret ederek bunu yapabilirsiniz,Bilgisayar
dergilerinde falan aramayın böyle şeyleri).Size
bu dökümandaki bazı kelimeler yabancı gelebilir,bu
doğaldır çünkü windows komutlarını
sadece biliriz,diğer işletim sistemelerini(özellikle
çok kullanıcı işletim sistemleri:Linux,unix,FreeBSD,Novell
vb. bilmek gerekir. Bu konularda daha iyi olmak istiyorsanız
bu işletim sistemlerini bilgisayarınıza kurmayı
deneyin(Linux tamamen bedavadır,CDsini bulmanız yeterli)
Bazı İşletim Sistemleri için örnek exploitler:
FreeBSD işletim şistemi için "overflow"
exploiti (FreeBSD'de lprm açığı): Bu exploit
Pointer artimetiğini kullanarak (Pointer değişkenler
değişkenin içindeki bilgiyle birlikte bellek adresini
de tutarlar) tampon belleğe (buffer) bir string kopyalayarak
taşma oluşturur. Sistemdeki lprm komutunu kullanır.
lprm komutu uzaktaki bir yazıcıya gönderilen bir
işi iptal etmeye yarar. "lprm -P bloggs" komutuyla
iş iptal edilebilirken kuyruktaki ikinci bir iş aynı
anda "lprm -P bloggs bloggs" la iptal edilebilir. Bu
da buffer owerflow hatası meydana getirir. Bu sayede "root"
erişimi sağlanır. Lokal bir exploittir.
Microsoft'un FrontPage Server Extensions'unda karşılaşılan
açıklar:Frontpage extensions'un kullanıldığı
web sitelerinde pek çok açık bulmak mümkün,
örneğin Frontpage 98'de dizin erişim hakları
iyi düzenlenmediği için _vti_pvt dizininde "service.pwd"
dosyası vardır ve buna herkes erişebilir. "service.pwd"
dosyasında şifreler tutulmakta
Linux işletim sisteminde X11Amp Programı açığı
:X11Amp çalıştırıldığında
~./X11amp isminde bir dosya oluşturur. Bu hatayı linux'ta
şöyle kullanabilirsiniz:
mkdir ~/.x11amp
ln -s /etc/shadow ~/.x11amp/ekl
Bu komutları yazdıktan sonra X11Amp'i çalıştırıp
"ekl" 'yi seçin bütün girişleri
seçip silin. Program çakılacak ve /etc/shadow dosyasını
alabileceksiniz
Solaris işletim sisteminde "gcc tempfile" açığı
:Gcc derleyicisinin 2.7.2.x ve önceki sürümlerinde
/tmp dizinine (geçici işlemlerin yürütüldüğü
dizin. Windows dizini altındaki temp dizini gibi) sembolik
link (bir dosyaya ya da dizine ulaşabilmek için konan
linkler. Windows'taki .lnk dosyaları gibi) oluşturulur
ve bu linkten yararlanarak lokal root hakkı alınır.
Sİtemizde ilerleyen günlerde exploit örneklerini
çoğaltıcaz(özellikle NT açıkları
ve exploitleri yayınlamaya devam edicez)
--------------------------------------------------------------------------------
5) Unix sisteminde hack
UNIX i ayrıntılı biçimde öğrenin
(yaklaşık 3000 komut ) sonrada networking ve protokollerini
kavrayın, temel olarak unixi öğrendikten sonra
yazılar arasında olan tcp/ip yi bir okuyun sonra daha
ayrıntılı öğrenebilirsin, Unix işletim
sistemi,çok kullanıcılı sistemlerde en çok
tercih edilen işletim sistemlerinden biridir. Linux,SunOS,Convex0S,Ultrix
ve UNICOS ,Unix türevleridir.
Sisteme girince ne yapacağını bilmelisin,burada
sadece biraz unixi kavramanız için bilgiler verilmiştir
terminal için başlangıç olarak okumalısınız.
shell e düştüğün zaman ilk olarak password
dosyasını kendi bilgisayarınıza almalısınız.
passwd dosyası Login isimleri ve şifreleri icerir. şifreler
kodlanmiştir. UNIX de passwd dosyasını almak icin,
bulundugunuz UNIX`e ve protokole bagli olarak, aşagidaki
komutlardan birini yazabilirsiniz:
/etc/passwd
get /etc/passwd
get /etc/shadow
cat /etc/passwd
yukardaki ilk komut standart bir komuttur. Ama bu dosyayi almanin
daha bircok yolu vardir. Dosyayi alip baktiginizda şoyle
birşey goreceksiniz:
tur:z{_L89M.:23:0:Metin Mert:/users/mcan:/bin/csh
Bunlari şu şekilde aciklayabiliriz:
Kullanici Ismi: tur
Kodlanmis Sifre: z{_L89M
Kullanici Numarasi: 23
Grup Numarasi: 0
Diger Bilgi: Metin Mert
Home Directory: /users/mcan
Shell tipi: csh
Password dosyası bunun gibi ise crackerjack gibi programlarla
kırabilirsiniz ve sisteme öyle login olabilirsiniz.Eğer
dosya XaX:/www/users/trc:/bin/bash gibiyse shadow lanmıştır.
(www kısmı şifre shadow dur(gölgelenmiştir),burası
**** gibide olabilir) Yani şifre gölgelenmiştir.Eger
şifre dosyasi shadowed ise, bulundugunuz UNIX`e göre
aşagidaki yazili yerlerden birinde bulabilirsiniz:
UNIX Sistem Tipi : Path : Karakter:
AIX 3 /etc/security/passwd !
A/UX 3.Os /tcb/files/auth/*
BSD4.3-Reno /etc/master.passwd *
ConvexOS 10 /etc/shadpw *
Convex0S 11 /etc/shadow *
DG/UX /etc/tcb/aa/user *
EP/IX /etc/shadow x
HP-UX /.secure/etc/passwd *
IRIX 5 /etc/shadow x
Linux 1.1/2.2 /etc/shadow *
OSF/1 /etc/passwd[.dir|.pag] *
SCO UNIX #.2.x /tcb/auth/files/(first letter of username)/(username)
*
SunOS 4.1+c2 /etc/security/passwd.adjunct ##
SunOS 5.0 /etc/shadow
System V 4.0 /etc/shadow x
System V 4.2 /etc/security/* database
Ultrix 4 /etc/auth[.dir|.pag] *
UNICOS /etc/udb *
Eğer shadowed(gölge) password dosyasını basariyla
aldıysan cracker jack ,john gibi programlar yardimiyla kırabilirsin,
iyi bir word list yardımıyla şifeyi bu programlarla
kırabilirsiniz.Root olarak login olduysan sisteme istediğini
yaparsın. Yeni Unix sistemlerinde password leri almak çok
zordur,direk almak çok çok zordur.Ama Exploit ler yardımıyla
yeni unix lerde açıklar bulabilirsiniz.Ayrıca c,c++,perl
gibi bir programlama diline başlamalısınız,sonrada
exploitlerin mantığını kolayca kavrayabilirsiniz.
DİKKAT: Çok kullanıcı sistemlerde(özellikle
Unix de) sistemdeki hareketleriniz log lara kayıt edilir
ve password dosyasını almaya teşebbüsleriniz
bile log lara kayıt edilir.Başarısız girişleriniz
bile kayıt altına edilir.Bundan dolayı devlete
bağlı kuruluşların web sitelerini ve bilgisayarlarına
sakın bulaşmayın.Hemen enselenirsiniz.Diğer
bilgisayar ve web sitelerinede zarar vermeyin,sadece girdiğinizi
kanıtlamak için bir kaç dosya alın ve bir
daha girmeniz için düzenleme yapın.Hiç bir
zarar vermeyin.
--------------------------------------------------------------------------------
6) Unixde Shadowed Password Dosyası ve TCB
Unix işletim sisteminde normalde bildiğimiz passwd /etc/passwd'dir.Bu
password dosyasının içinde nelerin bulunduğunu
örnek vererek gösterelim:
root:rWHUACG8GU5wU:0:0:KoK:/root:/bin/bash
ahmet:5VLy2.CJvETV2:501:100:Ercan Altuntas,497Y065:/uyeler/ercan:/bin/bash
lale:1KRz2oc7rqYS.:502:100:Esin Tolga
Lale,494204,Compclub,6030,2230468,:/uyeler/akay:/bin/bash
Yukarıda tipik bir şifre dosyası görüyorsunuz.
Bildiğiniz gibi ikinci alan şifrelenmiş bölümdür
(encrypted password). Peki ya girdiğiniz sistemdeki bu alanda
*** işaretiyle karşı karşıyaysanız?
Bunun passwd dosyasının shadowed, yani gölgelenmiş
dir.. Fakat başka bir olasılık daha var ve o da
TCB yani Trusted Computing Base dir. Fakat başka bir olasılık
daha var ve o da TCB yani Trusted Computing Base metodunun kullanılıyor
olmasıdır. Gördüğünüz her *
işareti taşıyan /etc/passwd'nin gölgelenmiş
olduğunu sanmayın. Ek olarak bazıları da kullanıcı
hesaplarını geçersiz hale getirmek için *
(asterisk) işaretini kullanırlar. Gölgelenmiş
dosyanın dizinleri aynen şöyle olur:
# ls -l /etc/shadow -r-------- 1 root auth 678 Oct 13 0:08 /etc/shadow
Bunun anlamı şudur; bu dosyayı sadece root okuyabilir.
Trusted Computing Base (TCB) aslında C2 seviyesindeki Unix
sistemlerinin bir bölümüdür(C2 bir güvenlik
seviyesidir). Güvenliği büyük ölçüde
arttırır ve bizim işimizi zorlaştırır
ve adamı fitil eder Aslında TCB'nin çalışma
biçimi o kadar da karmaşık eğildir. TCB /etc/passwd
dosyasının parçalarını bazı bilgiler
ekleyerek sistemde başka yerlere taşır. Bu demek
oluyor ki değişik yerlere taşınmış
parçaları elle değiştirmek sistemde ciddi
problere yol açabilir. Bunu hex editörleri veya bunun
gibi editörlerle değiştirmelisiniz Aynı shadowed
yani gölgelenmiş bir şifre dosyasında olduğu
gibi, kullanıcı isminden sonraki bölüme bir
asterisk işareti yerleştirilir. Bunun nedeni gerçek
bilginin Trusted Computing Base'de saklanmasıdır.
NOT:Unix'in bazı sistemlerinde, C2 seviye güvenlik kullanılmasa
da, TCB kullanılır.
/etc/auth/subsystems/ Korunan Altsistem Veritabanı:The Protected
Subsystem Database
/etc/auth/systems/ttys Terminal Kontrol Veritabanı:The Terminal
Control Database
/etc/auth/system/default Sistem İlk Durum Veritabanı:The
system Defaults Database
/etc/passwd Sistem Şifre Dosyası:The system Password
File
/etc/auth/systems/files Dosya Kontrol Veritabanı:The File
Control Database
/tcb/auth/files/ Korunan Şifre Veritabanı:The Protected
Password
Yukarıdaki dizinler TCB'in bölümlerini oluşturuyor.
Ayrıca tabii ki TCB'in bakımını yapmak için
değişik araçlar da var. Ama ben şimdi TCB
kullanan bir sistemde genelde bulunan tipik bir kullanıcı
kaydına örnek vereceğim. Bu tür bir kayıt
asla elle değiştirilmemelidir.Hex editörleri gibi
programlar kullanılmalıdır
hamza:u_name=ceylan:\ -->1
:u_id#687:\ -->2
:u_pwd=5VLy2.CJvETV2:\ -->3
:u_type=general:\ -->4
:u_succhg#726505612:\ -->5
:u_unsucchg#726505345:\ -->6
:u_pswduser=ceylan:\
:u_suclog#748076546:\ -->7
:u_suctty=tty07:\ -->8
:u_unsuclog#748976789:\ -->9
:u_unsuctty=tty9:\ -->10
:u_numunsuclog#234:\ -->11
:u_lock@:\ -->12
1)Kullanıcı ismi, burada "hamza" dır.
2)Kullanıcı IDsi, şimdiki durumda 687.
3)Şifrelenmiş parola:5VLy2.CJvETV2
4)Kullanıcı tipi.
5)En son yapılan başarılı parola değişimi.
(NOT:Şimdi "bu garip sayıda ne???" diyeceksiniz.
Unix tarihi 1 Ocak 1970 tarihinden itibaren saniyeleri sayarak
tutar.Garip ama gerçek :)
6)En son gerçekleştirilen başarısız parola
değişimi.
7)En son gerçekleştirilen başarılı giriş.
8)Girişin başarılı yapıldığı
tty (terminal) numarası, yani Hamza tty07'den giriş
yapmış.
9)En son gerçekleştirilen başarısız giriş.
10)Başarısız girişin terminal numarası.
11)Başarısız girişlerin sayısı..:))....Gördüğünüz
gibi bu kullanıcı tam 234 başarısız giriş
yapmış..:))....
12)Kilit durumu.
İşte göründüğü gibi TCB kullanan
bir sistemde, kırmaya çalıştığınız
kullanıcının kayıtlarında ne gibi değişiklere
yol açabileceğinizi artık biliyorsunuz ya da tekrar
etmiş oldunuz. Karşınıza gölgelenmiş
gibi görünen bir şifre dosyası çıkarsa,
aldanmayın! Ve sistemin ne kadar ayrıntılı
kayıtlar tuttuğunu bilin.
--------------------------------------------------------------------------------
7) Unix de Finger komutuyla hacking
Bazı sistem yöneticileri finger servisini kapalı
tutarlar,bu durumda bu komutu kullanamayız.Ancak bazı
sistem yöneticileri finger komutunun açık bırakılmasının
güvenlik açısından hiç bir tehlikesi
olmadığını ileri sürmektedirler.Bu kişiler
bir cracker’ın çok büyük bir sistemdeki
tüm kullanıcı ve process’lerin listesini
çıkarmak için yıllarca uğraşmak
zorunda olduklarını ve bu tekniğin çok zor
olduğunu savunmaktadırlar. Ancak gerçekte böyle
değildir!
Normal olarak finger sunucusuna gönderilen bir sorgu, kullanıcı
ismini ve sunucu ismini içerir;
finger root@sunucu.com
Bu komut root kullanıcısı hakkında bazı
bilgiler verir. Yukarıdaki örnek komutun çıktısı
aşağıda verilmiştir:
Login: root Name: root
Directory: /root Shell: /bin/bash
On Since Tue Feb 27 08:18 (EET) on tty1 (messages off)
Mail last read Tue Feb 27 08:25 2001 (EET)
No Plan.
Çıktıdan da görüldüğü
gibi root kullanıcısının kullandığı
shell, dizin ve en son mail’i ne zaman okuduğu
gibi bazı bilgilere erişilebiliyor. Ayrıca 3. satıra
dikkatle bakacak olursak root kullanıcısının
27 Şubat saat 08:18’den beri sistemde login olduğunu
görmekteyiz!!!Bu finger komutuyla yukardaki gibi bilgiler
elde etmek bazıları için bir şey ifade etmez.
Diğer yandan finger komutu bir cracker için çok
şey ifade edebilir.
Finger komutunda eğer sunucu önüne herhangi bir
kullanıcı ismi konmazsa o sistemde login olan tüm
kullanıcılar listelenir.
finger @sunucu.com
komutu sunucu.com sunucusundaki o anda login olan kullanıcıları
listelemektedir.
Eğer kullanıcı ismi verilirse ve bu kullanıcı
sistemde varsa o kullanıcı login olmasa bile onunla
ilgili bilgiler de verilecektir. Finger komutu üzerine bir
sürü saldırı teknikleri de vardır. Örnek
verecek olursak finger redirection (yönlendirme) özelliği
olan bir finger sunucusuna denial-of-service saldırısı
düzenlenebilir. Yönlendirme yapan bir finger sunucusu
üzerinden başka bir finger sunucusundan bilgi alınabilir.
Örnek olarak çok güzel bir örnek vericez
finger @sunucu1.com@sunucu2.com
komutu önce sunucu1.com’a gidecek ordan da sunucu2.com
sistemine giderek bu sunucu üzerindeki kullanıcıları
listeleyecektir. burada sunucu2.com üzerinden bilgileri toplayan
adres artık saldırganın adresi değil sunucu1.com’un
adresidir. Bu şekilde kendisimizi saklayabiliriz.
Diğer yandan yönlendirme yapan bir sunucuya ayrıca
aşağıdaki gibi bir komut gönderilerek DoS
saldırısı düzenlenebilir:
finger @@@@@@@@@@@@@@@@@@@@@@@@@sunucu.com
Bu komut saldırılan sunucu.com sunucusunun kendi kendine
defalarca finger isteği göndermesine neden olacaktır
bu da gereksiz yere bellek ve disk kullanımına neden
olacaktır!
finger saldırılarına karşı yine saldırgan
bir tavırla cevap vermek için çeşitli teknikler
geliştirenler de olmuştur. Mesela finger saldırısı
yapan kişinin IP numarası alınarak aynı saldırıyı
karşı tarafa otomatik olarak yapmak gibi.
Ya da uzun bir .plan dosyası kullanarak saldırganın
sisteminde çok yoğun bir ağ trafiği oluşturmak
gibi. Finger komutunun çıktısına bakarsanız
yukarıda en son satırda No Plan. Satırını
görebilirsiniz. Bu o kullanıcının bir .plan
dosyasının olmadığını gösterir.
Kullanıcı home dizinin de bulunan .plan dosyası
finger komutunun verdiği bilgilerden sonra gönderilen
ek bilgi dosyasıdır. Kullanıcı kendi dizinine
oluşturduğu bir .plan dosyasıyla kendisine finger
atan kişilere istediği bilgileri gönderebilir.
İşte bu .plan dosyasını bir kaç megabyte’lık
uzunluğunda bir dosya olursa o kullanıcıya finger
yapan saldırgan megabyte’larca saçma sapan
bilgiyle karşılaşacaktır.
Finger saldırıları genellikle daha büyük
saldırıların habercisi olduğundan saldırganlar
kendi sistemlerinden finger yapmak istemezler. Ancak Internette
bir çok finger gateway dediğimiz sunucular vardır.
Bu sunucular üzerinden yapılan finger sorgularında
saldırganın IP adresi değil bu sunucunun IP adresi
karşı tarafta görülecektir.
Kısacası,sistem yöneticileri, sistem hakkında
dışarıya herhangi bir şekilde bilgi verebilecek
servislerin tamamen kapatabilirler.(Sizde bir sistem yöneticisi
iseniz bunu yapın) finger komutuyla Unix ve diğer unix
işlevlerinde(örn:Linux) direk bir hack yapılamaz
ama sistem hakkında çok önemli bilgiler toplanabilir
