#PTHM-Pasif Keşif

“Düşmanı tanır ve kendinizi bilirseniz, zaferinizden şüphe duymazsınız.”

Genişletmek için tıkla ...

Pasif Keşif (Passive Reconnaissance)​

​

• Açık DNS çözümleyicileri (open resolvers) üzerinden A, MX, TXT gibi DNS kayıtlarını sorgulamak.
• Alt alan adlarını (subdomain) ve verilen sertifikaları tespit etmek için sertifika şeffaflığı günlüklerini (Certificate Transparency Logs), örneğin crt.sh, incelemek.
• Kullanılan teknolojiler hakkında ipuçları elde etmek amacıyla LinkedIn veya şirketlerin kariyer sayfalarındaki iş ilanlarını gözden geçirmek.
• Kamuya açık haberleri, basın bültenlerini veya paylaşım sitelerine sızdırılmış belgeleri incelemek.
• İnternete açık cihazları, örneğin Shodan veya Censys gibi arama motorları aracılığıyla kontrol etmek.
• Kamuya açık GitHub depolarında (repository) sabit kodlanmış kimlik bilgilerini (hardcoded credentials) veya yapılandırma dosyalarını araştırmak.

Aktif Keşif (Active Reconnaissance)​

​

Yaygın Aktif Keşif Faaliyetleri​

• Çalışan (aktif) sistemleri tespit etmek için paketler göndermek (örneğin ICMP pingleri veya ARP istekleri).
• Port taraması yapmak veya servis keşfi gerçekleştirmek (örneğin Nmap ve masscan kullanarak).
• Web uygulamaları veya API'lerle etkileşime geçmek (uç noktaları fuzzing ile test etmek veya dizin brute-force taramaları yapmak).
• Sosyal mühendislik girişimlerinde bulunmak (oltalama/phishing, sesli dolandırıcılık/vishing veya sahte senaryolarla bilgi toplama/pretexting).
• Fiziksel yöntemler kullanmak (yetkisiz şekilde birinin ardından binaya girmek veya kendini bir tedarikçi olarak tanıtmak gibi).

Önemli Not: Hedef kurumla bağlantılı bir kişiyle doğrudan etkileşime geçmek de aktif keşif olarak değerlendirilir; bu sırada hiçbir ağ paketi gönderilmese bile. Örneğin, bir sosyal etkinliğe katılıp bir çalışana şirketin kullandığı teknoloji yığını (tech stack) hakkında sorular sormak, hedef organizasyonla doğrudan etkileşim kurduğunuz için aktif keşif kapsamına girer.

Genişletmek için tıkla ...

• Shodan ve Censys uyarıları,
• Sertifika Şeffaflığı (CT) günlük izleme araçları,
• Otomatik OSINT (Açık Kaynak İstihbaratı) araçları

• Kayıt kuruluşu (Registrar): Alan adını kaydeden şirket (örneğin Namecheap, GoDaddy).
• Alan adı sahibine (Registrant) ait iletişim bilgileri: Ad, kuruluş, adres, telefon numarası ve e-posta adresi. Ancak, GDPR'den (2018) sonra standart hâle gelen gizlilik hizmetleri genellikle bu bilgileri "Gizlilik Nedeniyle Gizlenmiştir" veya benzeri ifadelerle değiştirir.
• Tarihler: Oluşturulma (ilk kayıt), güncellenme (son değişiklik) ve sona erme (yenileme son tarihi) tarihleri.
• Ad sunucuları (Name Servers): Alan adı için yetkili DNS sunucuları.
• Durum kodları: Örneğin, clientTransferProhibited kodu alan adının yetkisiz transferlere karşı kilitli olduğunu gösterir.
• Kötüye kullanım (Abuse) iletişim bilgileri: Sorun bildirimleri için kayıt kuruluşunun e-posta adresi ve telefon numarası.

• Tarihler (alan adının yaşını tahmin etmek veya yenileme dönemlerinde sosyal mühendislik saldırıları planlamak için),
• Kayıt kuruluşu (phishing/sahtecilik yöntemlerini belirlemek için),
• Ad sunucuları (olası zayıf noktaları tespit etmek için),
• Geçmiş değişiklikler.

• HTTPS kullanır, bu sayede daha güvenlidir.
• Yapılandırılmış JSON formatında veri döndürür, bu da verilerin makine tarafından okunmasını ve tutarlı şekilde işlenmesini sağlar.
• Uluslararasılaştırma (internationalisation) desteği sunar.
• Daha gelişmiş gizlilik kontrollerine sahiptir ve farklı erişim seviyelerini destekler.
• Güncel veri koruma düzenlemeleriyle uyumludur.

whois ALAN_ADI

whois example.com

sudo apt install jq

curl -s https://rdap.verisign.com/com/v1/domain/example.com | jq

• curl -s : RDAP sunucusuna sessiz (silent) bir HTTP isteği gönderir.
• https://rdap.verisign.com/com/v1/domain/example.com : Sorgulanacak alan adı için RDAP uç noktasıdır.
• jq : JSON çıktısını biçimlendirerek okunmasını kolaylaştırır.

• Alan adı bilgileri
• Kayıt tarihi ve son güncelleme tarihi
• Alan adının durumu (status)
• Ad sunucuları (name servers)
• Kayıt kuruluşu (registrar)
• İlgili kişi ve kuruluş bilgileri (gizlilik politikalarına bağlı olarak)
• RDAP bağlantıları ve ek meta veriler

ubuntu@CW-ommah$ curl -s https://rdap.verisign.com/com/v1/domain/random.com | jq .
{
  "domain": "random.com",
  "handle": "2282723194_DOMAIN_COM-VRSN",
  "ldhName": "random.COM",
  "status": ["clientTransferProhibited"],
  "registrar": "NAMECHEAP INC",
  "events": [
    {"eventAction": "registration", "eventDate": "2018-07-05T19:46:15.00Z"},
    {"eventAction": "last update", "eventDate": "2025-05-11T...Z"},
    {"eventAction": "expiration", "eventDate": "2034-07-05T19:46:15.00Z"}
  ],
  "nameservers": [ ... ],
  ...
}

• Yönlendirme zinciri (Redirection Chain): Örneğin, sorgunun önce Verisign'e gidip daha sonra kayıt kuruluşunun (registrar) RDAP sunucusuna yönlendirilmesi.
• Tarihler (Dates): Şirketin yaşı hakkında tahminde bulunmak veya alan adı yenileme dönemlerini belirleyerek kimlik avı (phishing) saldırılarının zamanlamasını analiz etmek için kullanılabilir.
• Ad sunucuları (Name Servers): Yetki kapsamı (scope) içerisindeyse, araştırılabilecek ek hedefler olabilir.
• Durum bilgileri (Status): Kilitli alan adları (örneğin clientTransferProhibited) ele geçirilmeye veya yetkisiz transferlere karşı daha dirençlidir.

• ICANN WHOIS Lookup (Legacy WHOIS)
• ICANN Lookup (RDAP Odaklı)
• Whoxy (Geçmiş WHOIS Kayıtları)

whois random.com

curl -s https://rdap.verisign.com/com/v1/domain/random.com | jq

• Alan adları IP adreslerine dönüştürülebilir,
• E-posta sunucuları (mail servers) tespit edilebilir,
• TXT kayıtları incelenebilir (SPF, DMARC ve doğrulama dizeleri gibi),
• Ve daha birçok DNS bilgisine ulaşılabilir.

• Daha temiz ve okunabilir çıktı sağlar.
• Varsayılan olarak TTL (Time To Live) değerlerini gösterir; bu, DNS kayıtlarının ne kadar süre önbellekte tutulacağını ifade eder.
• Daha karmaşık sorgularda ve otomasyon/betik (scripting) kullanımında daha güvenilir ve esnektir.

• nslookup DOMAIN_NAME
  Varsayılan çözümleyicinizi (resolver) kullanarak basit bir DNS sorgusu yapar.
• nslookup -type=TYPE DOMAIN_NAME [SERVER]
  Belirli bir kayıt türünü ve isteğe bağlı olarak farklı bir DNS sunucusunu sorgular.

Örnek (Cloudflare’ın çözümleyicisi üzerinden IPv4 adresleri):

Ubuntu@CW-ommah$ nslookup -type=MX  random.com
Server:         127.0.0.53
Address:        127.0.0.53#53

Non-authoritative answer:
random.com mail exchanger = 1 aspmx.l.google.com.
random.com mail exchanger = 5 alt1.aspmx.l.google.com.
random.com mail exchanger = 5 alt2.aspmx.l.google.com.
random.com mail exchanger = 10 alt3.aspmx.l.google.com.
random.com mail exchanger = 10 alt4.aspmx.l.google.com.
....

dig [@SUNUCU] ALAN_ADI [TÜR]

Ubuntu@CW-ommah$ dig @1.1.1.1 random.com MX

; <<>> DiG 9.18.28-0ubuntu0.22.04.1-Ubuntu <<>> @1.1.1.1 random.com MX
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 12345
;; flags: qr rd ra; QUERY: 1, ANSWER: 5, AUTHORITY: 0, ADDITIONAL: 1
;; ANSWER SECTION:
random.com. 300 IN MX 1 aspmx.l.google.com.
random.com. 300 IN MX 5 alt1.aspmx.l.google.com.
random.com. 300 IN MX 5 alt2.aspmx.l.google.com.
random.com. 300 IN MX 10 alt3.aspmx.l.google.com.
random.com. 300 IN MX 10 alt4.aspmx.l.google.com.
;; Query time: 28 msec
;; SERVER: 1.1.1.1#53(1.1.1.1) (UDP)
;; WHEN: Mon Jan 26 22:00:00 UTC 2026
;; MSG SIZE rcvd: 152

• Eski ve unutulmuş servisleri (eski CMS kurulumları, geliştirme panelleri gibi) açığa çıkarabilir,
• Gölge BT (shadow IT) veya yanlış yapılandırılmış uygulamaları barındırabilir,
• API’ler veya yönetici panelleri gibi ek saldırı yüzeyi oluşturabilir.

• Arama motoru önbellekleri,
• Zone transfer veri tabanları,
• Sertifika kayıtları (certificate records)

• Alt alan adları ve host’lar,
• Çözümlenmiş IP adresleri ve coğrafi konum bilgileri,
• MX, TXT ve CNAME kayıtları,
• Bu varlıklar arasındaki ilişkileri gösteren görsel haritalar

​

​

• SecurityTrails (ücretsiz ancak sınırlı aramalar sunar),
• Birden fazla pasif kaynağı birleştiren Subfinder gibi komut satırı araçları

• IP adresi ve ASN (Autonomous System Number): Ağ bloğunu tanımlar.
• Barındırma sağlayıcısı/kuruluş (örneğin Cloudflare, AWS): Alan adının arkasındaki altyapıyı gösterir.
• Coğrafi konum (ülke, şehir): Sunucunun yaklaşık fiziksel konumunu belirtir.
• Açık portlar ve servisler: Sürüm bilgileri ve banner’larla birlikte (örneğin HTTP sunucu türü ve sürümü).
• Etiketler (Tags): Tespit edilen servis sürümü bilinen bir güvenlik açığıyla eşleşiyorsa “vuln” veya CDN kullanımı gibi etiketler içerir.

​

• hostname:random.com belirli bir host adını eşleştirir.
• org:"random" organizasyon adına göre filtreleme yapar.
• port:443 country:US port ve ülkeye göre filtreleme yapar.
• http.component:"wordpress" (eğer açığa çıkmışsa) kullanılan teknoloji yığınını (tech stack) belirler.

• Kendi sorgularınızı gizli tutmak için DoH/DoT çözümleyicileri (örneğin 1.1.1.1) kullanın.
• Bir savunmacı olarak dijital ayak izinizi (footprint) izleyin: Shodan/Censys uyarıları kurun, yeni sertifikalar için CT kayıtlarını takip edin ve subdomain takeover risklerine karşı DNS değişikliklerini izleyin.
• Pasif keşif hedefe doğrudan temas etmese de, tüm çalışmaların yetkilendirilmiş ve kapsam (scope) içinde olduğundan mutlaka emin olun.
• Sonuçlar zamanla değişir. IP adresleri dönebilir (Cloudflare anycast), alt alan adları ortaya çıkıp kaybolabilir ve gizlilik nedeniyle daha fazla veri gizlenebilir.

CW-Ommah
Bug Researchers Tim Sundu...
​