Exploit Nedir ve Nasıl Kullanılır? Kapsamlı Teknik Rehber

Exploit Nedir, Ne İşe Yarar?

En basit haliyle exploit, bir zafiyeti (vulnerability) pratikte tetikleyen, istismara çeviren teknik veya koddur. CVE kaydında gördüğün şey zafiyetin tanımıdır, exploit ise onu gerçekten çalıştırıp impact üreten kısımdır.

Genelde zincir şöyle ilerler: vulnerability research → bug tespiti → PoC exploit → stabil ve güvenilir exploit → bazen de tam otomasyon (örneğin bir Metasploit modülü).





Exploit Türlerine Kısa Bakış

Pratikte sık gördüklerimiz arasında remote code execution (RCE), local privilege escalation (LPE), info leak ve DoS exploit’leri var. RCE çoğunlukla ağ üzerinden, LPE ise zaten kısmen erişimi olan bir kullanıcının hak yükseltmesi için kullanılıyor.

Web tarafında SQLi, XSS, SSRF, deserialization exploit’leri; sistem tarafında ise hea
p/stack overflow, use-after-free, race condition gibi bug sınıfları öne çıkıyor. Benim gözlemim, modern sistemlerde saf buffer overflow’dan çok, logic bug ve zincirlenmiş zafiyetler daha kritik hale geldi.

Güvenlik Testlerinde Exploit Kullanımı

Pentest ve red team senaryolarında exploit’in amacı, zafiyetin gerçekten sömürülebilir olduğunu göstermek ve impact seviyesini netleştirmek. Burada genelde PoC seviyesi yeterli; tam shell almak yerine, örneğin id komutunu çalıştırmak veya bir whoami.txt oluşturmak gayet makul.

Ben çoğu zaman önce manüel PoC yazarım, sonra ihtiyaç varsa Metasploit veya pwntools tabanlı daha stabil bir exploit’e çeviririm. Kurumsal ortamlarda önemli olan, exploit’i sorumlu şekilde, kontrollü ortamda ve log’ları da gözlemleyerek çalıştırmak; özellikle prod sistemlerde DoS riski yaratacak exploit’leri körle
mesine denememek gerekiyor.






Kötü Amaçlı Kullanım ve Zero-Day

İşin karanlık tarafında exploit, initial access ve lateral movement için birincil araçlardan biri. Özellikle public CVE’ler için, POC GitHub’a düştükten sonra birkaç saat içinde mass scanning + exploit yapan botnet’ler ortaya çıkabiliyor. Bu yüzden “patch penceresi” ile “silahlandırılmış exploit’in sahaya inme süresi” arasındaki fark kritik.

Zero-day exploit tarafında ise durum daha farklı; burada zafiyet henüz CVE olarak yayınlanmamış oluyor ve istismar çoğu zaman APT düzeyinde, hedefli operasyonlarda kullanılıyor. Teoride defender tarafında tek şans, imza bağımsız davranış analizi, exploit mitigation (ASLR, DEP, CFG, CET vb.) ve iyi bir telemetri toplama politikası.

Teknik Detaylar: Tipik Exploit Akışı

Genel akış kabaca şöyle: önce za
fiyet trigger’ı belirlenir, yani hangi input, hangi koşulda bug’ı tetikliyor; ardından kontrol edilen alan (IP, PC, function pointer, vtable, return address) bulunur. Sonrasında ASLR / NX / stack canary gibi korumaları aşmak için leak, brute-force veya ROP/JOP gibi teknikler devreye girer.

Modern Linux/Windows exploit’lerinde sık gördüğüm; önce bir info leak ile bellek adresi sızdırmak, sonra ROP chain kurup mprotect/VirtualProtect çağırarak bellek bölgesini executable yapmak ve en sonda shellcode enjekte edip çalıştırmak. Web tarafında ise çoğu zaman exploit, SSRF + deserialization + RCE gibi birkaç zayıflığı zincirleyerek tam etki yaratıyor.

Eline sağlık