#PTHM-Protokoller ve Sunucular 2

• Gizlilik (Confidentiality): İletişim içeriklerinin yalnızca amaçlanan taraflar tarafından erişilebilir olmasını ifade eder.
• Bütünlük (Integrity): Gönderilen verilerin hedefe ulaştığında doğru, tutarlı ve eksiksiz olmasının garanti edilmesidir.
• Erişilebilirlik (Availability): Hizmete ihtiyaç duyulduğunda erişilebilmesini ifade eder.

• Disclosure (Bilginin Açığa Çıkarılması) → Gizliliğe karşı saldırı
• Alteration (Verinin Değiştirilmesi) → Bütünlüğe karşı saldırı
• Destruction (Verinin veya Hizmetin Yok Edilmesi) → Erişilebilirliğe karşı saldırı

​

• Özel mesajların içeriği
• Kullanıcı adları
• Parolalar
• Oturum bilgileri
• Diğer gizli veriler

Dinleme (Sniffing) Saldırıları Hâlâ Nerelerde Geçerlidir?​

• Sistemler arasındaki trafiğin şifrelenmediği kurumsal iç ağlar
• Hâlâ açık metin kullanan eski (legacy) sistemler (eski e-posta sunucuları, gömülü cihazlar ve endüstriyel kontrol sistemleri gibi)
• TLS desteği bulunmasına rağmen bunun zorunlu tutulmadığı yanlış yapılandırılmış hizmetler
• İletişim için sıklıkla şifrelenmemiş protokoller kullanan Nesnelerin İnterneti (IoT) cihazları
• Saldırganların kapsama alanı içerisinde bulunarak trafiği yakalayabildiği kablosuz ağlar
• Şifrelemenin düşürüldüğü (downgrade) veya kaldırıldığı (encryption stripping) başarılı bir Ortadaki Adam (MITM) saldırısından sonra

Paket Yakalama Araçları​

• Linux sistemlerde root (yönetici) yetkileri
• Windows sistemlerde administrator (yönetici) ayrıcalıkları

Tcpdump​

• Hafif (lightweight) bir araçtır.
• Çoğu Linux sisteminde varsayılan olarak bulunur.
• Ağ trafiğini hızlı bir şekilde yakalamak ve analiz etmek için yaygın olarak kullanılır.

Wireshark​

• Güçlü filtreleme seçenekleri
• Protokol çözümleme (protocol dissection)
• Ağ trafiğini görselleştirme
• Paketlerin ayrıntılı analizini yapabilme

Tshark​

• Betik (script) yazımı
• Otomasyon işlemleri
• Sunucu ortamlarında grafik arayüz olmadan çalışma

Diğer Faydalı Araçlar​

• tcpflow → TCP oturumlarını yeniden birleştirmek (reassemble) için kullanılır.
• ngrep → Ağ trafiğinde belirli desenleri veya metinleri aramak için kullanılır.
• NetworkMiner → Yakalanan trafikten dosya, resim ve diğer verileri çıkarmaya yarayan bir ağ adli bilişim aracıdır.

Pratik Örnek: POP3 Kimlik Bilgilerinin Yakalanması​

root@CW-ommah$ sudo tcpdump port 110 -A
[...]
09:05:15.132861 IP 10.20.30.1.58386 > 10.20.30.148.pop3: Flags [P.], seq 1:13, ack 19, win 502, options [nop,nop,TS val 423360697 ecr 3958275530], length 12
[email protected]@[email protected].
...
......n......"............
.;....}.USER frank

09:05:15.133465 IP 10.20.30.148.pop3 > 10.20.30.1.58386: Flags [.], ack 13, win 510, options [nop,nop,TS val 3958280553 ecr 423360697], length 0
E..4..@[email protected]~
...
....n....".........?P.....
...i.;..
09:05:15.133610 IP 10.20.30.148.pop3 > 10.20.30.1.58386: Flags [P.], seq 19:43, ack 13, win 510, options [nop,nop,TS val 3958280553 ecr 423360697], length 24
E..L..@[email protected]
...
....n....".........<-.....
...i.;..+OK Password required.

09:05:15.133660 IP 10.20.30.1.58386 > 10.20.30.148.pop3: Flags [.], ack 43, win 502, options [nop,nop,TS val 423360698 ecr 3958280553], length 0
E..4.W@[email protected].
...
......n......".....??.....
.;.....i
09:05:22.852695 IP 10.20.30.1.58386 > 10.20.30.148.pop3: Flags [P.], seq 13:28, ack 43, win 502, options [nop,nop,TS val 423368417 ecr 3958280553], length 15
E..C.X@[email protected].
...
......n......".....6......
.<.....iPASS D2xc9CgD
[...]

Yukarıdaki terminal çıktısında, açıklık sağlamak için önemsiz paketler kaldırılmıştır. Kullanıcı adı ve parola ayrı paketler halinde gönderilmiştir. İlk paket açıkça USER frank bilgisini gösterirken, son paket PASS D2xc9CgD parolasını ortaya çıkarmaktadır.​

​

Faydalı Tcpdump Filtreleri​

sudo tcpdump port 110 -A

sudo tcpdump port 80 -A

sudo tcpdump port 21 -A

sudo tcpdump -w capture.pcap

tcpdump -r capture.pcap -A

Önleme (Mitigation)​

• Ağ segmentasyonu (Network segmentation): Ağı izole bölgelere ayırarak sistemlerin birbirinin trafiğini görmesini sınırlar.
• Şifreli VLAN’lar ve tüneller: İç ağlarda bile hassas trafiği korur.
• 802.1X port tabanlı kimlik doğrulama: Cihazların ağ erişimi elde etmeden önce kimlik doğrulaması yapmasını zorunlu kılar; böylece yetkisiz cihazların bağlanıp trafik dinlemesi engellenir.
• Sıfır güven (Zero Trust) mimarisi: Ağ trafiğini her zaman potansiyel olarak tehditkâr kabul eder ve ağ sınırının içinden ya da dışından gelmesine bakılmaksızın tüm iletişimi şifreler.
• ARP spoofing ve diğer trafik yönlendirme tekniklerinin izlenmesi: Dinleme saldırılarının tespit edilmesine yardımcı olur.

​

MITM Saldırıları Nasıl Çalışır​

MITM Saldırıları İçin Araçlar​

Şifrelenmiş Trafiğe Karşı MITM​

MITM’e Karşı Modern Savunmalar​

SSL ve TLS’in Kısa Tarihçesi​

• SSL 2.0 ve 3.0 kullanımdan kaldırılmıştır (deprecated) ve güvensiz kabul edilir. Asla kullanılmamalıdır.
• TLS 1.0 ve 1.1, bilinen güvenlik açıkları nedeniyle 2021 yılında kullanımdan kaldırılmıştır. Büyük tarayıcılar artık bunları desteklememektedir.
• TLS 1.2 (2008) hâlâ yaygın olarak kullanılmaktadır ve modern şifreleme paketleri (cipher suites) ile doğru yapılandırıldığında güvenli kabul edilir.
• TLS 1.3 (2018) güncel standarttır. Eski kriptografik algoritmaları kaldırır, el sıkışma (handshake) gecikmesini azaltır ve varsayılan olarak ileriye dönük gizlilik (forward secrecy) sağlar.

TLS’in Ağ Modelindeki Yeri​

​

TLS ile Protokollerin Yükseltilmesi​

HTTPS Nasıl Çalışır​

• Uzak web sunucusu ile bir TCP bağlantısı kurmak.
• Web sunucusuna GET ve POST istekleri gibi HTTP istekleri göndermek.

• TCP bağlantısı kurmak.
• TLS bağlantısı kurmak.
• Web sunucusuna HTTP istekleri göndermek.

TLS El Sıkışması (TLS Handshake)​

​

TLS El Sıkışması (Handshake)​

TLS 1.3 İyileştirmeleri​

• Daha hızlı el sıkışma: TLS 1.3, bağlantı kurmak için TLS 1.2’deki iki gidiş-dönüşe (2-RTT) kıyasla yalnızca bir gidiş-dönüş (1-RTT) gerektirir. Ayrıca geri dönen istemciler için 0-RTT yeniden başlatma (resumption) desteği vardır, ancak bunun bazı güvenlik ödünleri bulunur.
• Varsayılan olarak ileriye dönük gizlilik (forward secrecy): TLS 1.3’teki tüm şifreleme paketleri ileriye dönük gizlilik sağlar. Yani sunucunun özel anahtarı gelecekte ele geçirilse bile, geçmişte kaydedilmiş oturumlar çözülemez.
• Basitleştirilmiş şifreleme paketleri: Eski ve güvensiz algoritmalar kaldırılmıştır. Zayıf yapılandırmalara yol açabilecek seçenekler artık yoktur.
• Şifrelenmiş el sıkışma: El sıkışma sürecinin daha büyük bir kısmı şifrelenmiştir, bu da dış gözlemcilerin daha az bilgi görmesini sağlar.

Sertifikalar ve Güven (Certificates and Trust)​

​

• Sertifika kime verilmiş? Bu, sertifikayı kullanacak olan şirketin adıdır.
• Sertifikayı kim vermiş? Bu, sertifikayı düzenleyen sertifika otoritesidir (certificate authority).
• Geçerlilik süresi: Süresi dolmuş bir sertifika güvenilmemelidir.

Modern Sertifika Ekosistemi​

TLS Yapılandırmalarının Test Edilmesi​

Yaygın Problemler​

• Kullanımı kaldırılmış (deprecated) protokollerin desteği (TLS 1.0 / 1.1)
• Zayıf şifreleme paketleri (weak cipher suites)
• İleriye dönük gizlilik (forward secrecy) eksikliği
• Sertifika problemleri

• Uzak sunucunun kimliğini doğrulayabilirsiniz.
• Değiş tokuş edilen mesajlar şifrelenir ve yalnızca hedef alıcı tarafından çözülebilir.
• Her iki taraf da mesajlarda herhangi bir değişiklik yapılıp yapılmadığını tespit edebilir.

SSH Kimlik Doğrulama Yöntemleri​

SSH ile Bağlanma​

root@CW-ommahe$ ssh [email protected]
[email protected]'s password: XBtc49AB

The programs included with the Debian GNU/Linux system are free software;
the exact distribution terms for each program are described in the
individual files in /usr/share/doc/*/copyright.

Debian GNU/Linux comes with ABSOLUTELY NO WARRANTY, to the extent
permitted by applicable law.
Last login: Mon Sep 20 13:53:17 2021
mark@debian8:~$

Sunucu Anahtarı Doğrulaması (Host Key Verification)​

​

The authenticity of host '10.112.161.206' can't be established.
ED25519 key fingerprint is SHA256:xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx.
Are you sure you want to continue connecting (yes/no/[fingerprint])?

SSH Anahtar Üretimi (SSH Key Generation)​

ssh-keygen -t ed25519 -C "[email protected]"

ssh-keygen -t rsa -b 4096 -C "[email protected]"

ssh-copy-id [email protected]

Faydalı SSH Seçenekleri​

ssh -p 2222 [email protected]

ssh -i ~/.ssh/custom_key [email protected]

ssh -J bastion.example.com mark@internal-server

ssh -L 8080:localhost:80 [email protected]

ssh -D 9050 [email protected]

ssh [email protected] "cat /etc/passwd"

SSH Yapılandırma Dosyası (SSH Config File)​

Host webserver
    HostName 10.112.161.206
    User mark
    Port 22
    IdentityFile ~/.ssh/id_ed25519

Host internal
    HostName 10.10.10.50
    User admin
    ProxyJump bastion.example.com

Güvenli Dosya Transferi​

sftp [email protected]

scp [email protected]:/home/mark/archive.tar.gz ~/

scp backup.tar.bz2 [email protected]:/home/mark/

SSH Üzerinden rsync​

rsync -avz -e ssh /local/directory/ [email protected]:/remote/directory/

SSH vs FTPS vs SFTP​

• SFTP, SSH üzerinden çalışır (port 22) ve günümüzde güvenli dosya transferi için en yaygın tercihtir.
• FTPS, FTP’nin TLS ile güvenli hale getirilmiş versiyonudur (gizli TLS için 990 numaralı port). Benzer isimlerine rağmen SFTP’den farklı bir protokoldür.
• SCP, SSH üzerinden çalışır ancak SFTP lehine kullanımdan kaldırılma sürecindedir (deprecated).

SSH Sertleştirme (Hardening) Konuları​

• Anahtar tabanlı kimlik doğrulama kurulduktan sonra parola ile girişin devre dışı bırakılması (PasswordAuthentication no).
• Root girişinin kapatılması (PermitRootLogin no) ve kullanıcıların önce normal kullanıcıyla giriş yapmaya zorlanması.
• SSH üzerinden hangi hesapların bağlanabileceğini sınırlamak için AllowUsers veya AllowGroups kullanılması.
• Otomatik tarama trafiğini azaltmak için varsayılan portun değiştirilmesi (güvenlik yoluyla gizleme, tek başına güçlü bir kontrol değildir).
• Başarısız giriş denemelerini engellemek için fail2ban veya benzeri araçların etkinleştirilmesi.
• KexAlgorithms, Ciphers ve MACs yapılandırmalarıyla modern anahtar değişim ve şifreleme

root@CW-ommah$ telnet 10.112.161.206 110
Trying 10.112.161.206...
Connected to 10.112.161.206.
Escape character is '^]'.
+OK 10.112.161.206 Mail Server POP3 Wed, 15 Sep 2021 11:05:34 +0300
USER frank
+OK frank
PASS D2xc9CgD
+OK 1 messages (179) octets
STAT
+OK 1 179
LIST
+OK 1 messages (179) octets
1 179
.
RETR 1
+OK
From: Mail Server
To: Frank
subject: Sending email with Telnet
Hello Frank,
I am just writing to say hi!
.
QUIT
+OK 10.112.161.206 closing connection
Connection closed by foreign host.

Kimlik Doğrulama Faktörleri​

• Bildiklerin (Something you know): Parola veya PIN kodu gibi.
• Sahip oldukların (Something you have): Telefon, güvenlik anahtarı veya akıllı kart gibi.
• Olduğun şey (Something you are): Parmak izi veya yüz tanıma gibi biyometrik özellikler.

Zayıf Parolaların Neden Hâlâ Kullanıldığı​

• 123456 ve türevleri (123456789, 12345678, 1234567890)
• password ve Password1
• qwerty ve qwerty123
• Sayılarla birlikte şirket veya servis isimleri (Summer2024, Welcome1)
• Spor takımları ve popüler kültür referansları

Parola Saldırı Türleri​

Wordlist’ler ve Veri İhlali Verileri​

• SecLists, farklı amaçlar için hazırlanmış birçok wordlist içeren bir koleksiyondur ve birçok güvenlik dağıtımında /usr/share/seclists/ dizininde bulunur.
• CrackStation, parola kırma (password cracking) için optimize edilmiş wordlist’ler sağlar.
• Veri ihlali derlemeleri, farklı siber saldırılardan elde edilmiş milyarlarca gerçek parolayı içerir.

THC Hydra​

hydra -l username -P wordlist.txt server service

• -l username: Hedefin kullanıcı adı
• -P wordlist.txt: Denenecek parolaları içeren metin dosyası
• server: Hedef sunucunun hostname’i veya IP adresi
• service: Saldırı yapılan servis (örneğin ftp, ssh, imap, pop3, smtp)

hydra -l mark -P /usr/share/wordlists/rockyou.txt 10.112.161.206 ftp

hydra -l mark -P /usr/share/wordlists/rockyou.txt ftp://10.112.161.206

hydra -l frank -P /usr/share/wordlists/rockyou.txt 10.112.161.206 ssh

hydra -l lazie -P /usr/share/wordlists/rockyou.txt 10.112.161.206 imap

hydra -L users.txt -P passwords.txt 10.112.161.206 ssh

Faydalı Hydra Seçenekleri​

Diğer Parola Saldırı Araçları​

• Medusa Hydra’ya benzer ancak modüler bir tasarıma sahiptir. Bazı protokollerde daha kararlı olabilir.
• Ncrack, Nmap projesi tarafından geliştirilmiştir ve yüksek hızlı paralel kimlik doğrulama testleri için tasarlanmıştır.
• CrackMapExec (CME) / NetExec, Windows/Active Directory ortamlarında uzmanlaşmıştır ve SMB, WinRM, LDAP gibi protokollerde parola denemesi yapabilir.
• Burp Suite Intruder, Hydra’nın HTTP modüllerinin yeterli olmadığı web giriş formlarına saldırmak için kullanılır.
• Hashcat ve John the Ripper, canlı sistemler yerine parola hash’lerini çevrimdışı kırmak için kullanılır. Eğer bir veritabanı ihlali gibi durumlarda hash elde edilirse, bu araçlar düz parolayı canlı sisteme saldırmadan çok daha hızlı şekilde çözebilir.

Parola Saldırılarını Azaltma (Mitigating Password Attacks)​

• Passkeys (FIDO2/WebAuthn), cihazlarda saklanan kriptografik anahtarlar kullanır ve parolaları biyometrik doğrulama veya PIN ile değiştirir.
• E-posta ile gönderilen “magic link” yöntemleri.
• YubiKey gibi donanım güvenlik anahtarları.

Hydra Hızlı Referans​

CW-Ommah
Bug Researchers Tim Sundu...
​