Sıfırdan Etik Network Penetration Testing Öğreniyorum - Bölüm 3: Windows Komut Satırı ve PowerShell Temelleri

SelamünAleyküm Dostlar!

Neden Windows Komut Satırı ve PowerShell Bu Kadar Kritik?​

• Command Prompt (CMD): Windows'un geleneksel, basit komut satırı ortamı. Temel sistem ve ağ yönetimi için kullanılır.
• PowerShell: Microsoft'un CMD'nin çok ötesine geçen, güçlü bir komut satırı kabuğu ve betik dili. Penetration testing'de altın standarttır. Nesne yönelimlidir, .NET Framework ile entegredir ve sistemi Linux'taki gibi derinlemesine kontrol etmenizi sağlar. Birçok gelişmiş saldırı aracı ve framework'ü (PowerSploit, Empire, Nishang) PowerShell tabanlıdır.

Windows Komut Satırı (CMD) Temelleri​

• cd (Change Directory): Dizin değiştirir.
  
  Kod:

  cd Desktop # Masaüstü dizinine geçer
  cd ..                     # Bir üst dizine çıkar
  cd \                      # Kök dizine (C:\) geçer
  D:                        # D sürücüsüne geçer (cd değil, direkt sürücü harfi!)

  
  
  
• dir (Directory): Dizindeki dosya ve klasörleri listeler. Linux'taki ls komutunun karşılığıdır.
  
  Kod:

  dir # Basit liste
  dir /a                    # Gizli dosyalar dahil tümünü listeler
  dir /s                    # Alt dizinleri de rekürsif olarak listeler
  dir *.txt                 # Sadece .txt uzantılı dosyaları listeler

  
  
  
• type & more: Dosya içeriğini görüntüler. Linux'taki cat ve less komutlarına benzer.
  
  Kod:

  type notes.txt # notes.txt dosyasının içeriğini gösterir
  type notes.txt | more     # İçeriği sayfa sayfa gösterir (uzun dosyalar için)

  
  
  
• copy, move, del, mkdir, rmdir: Dosya işlemleri.
  
  Kod:

  copy file1.txt file2.txt # Kopyalama
  move file1.txt C:\Temp\   # Taşıma
  del secret.txt            # Dosya silme (DİKKAT! Geri alacağım dersen.Geri dönüşüm kutusuna gitmez :) )
  mkdir PentestLab          # Yeni klasör oluşturma
  rmdir OldFolder           # Boş klasörü silme

• whoami: Mevcut kullanıcıyı gösterir. Hangi yetkilerle çalıştığınızı anlamak için ilk adım.
  
  Kod:

  whoami # Örnek: desktop-abc123\student
  whoami /priv              # Kullanıcının ayrıcalıklarını (privileges) listeler
  whoami /groups            # Kullanıcının üyesi olduğu grupları listeler

  
  
  
• systeminfo: Sistem hakkında detaylı bilgi verir. Zaafiyet taraması için altın değerindedir.
  
  Kod:

  systeminfo                # İşletim sistemi adı, versiyon, kurulum tarihi, hotfix'ler, donanım vs.
  systeminfo | findstr /B /C:"OS Name" /C:"OS Version"  # Sadece OS bilgisini çeker

  
  
  
• hostname: Bilgisayarın adını gösterir.
• ipconfig: Ağ yapılandırma bilgilerini gösterir. Linux'taki ifconfig/ip addr karşılığı.
  
  Kod:

  ipconfig # Tüm arabirimlerin IP, alt ağ maskesi, varsayılan ağ geçidi
  ipconfig /all             # MAC adresi, DNS sunucuları, DHCP bilgisi dahil tüm detay

  
  
  
• netstat: Aktif ağ bağlantılarını, dinleme portlarını ve routing tablosunu gösterir.
  
  Kod:

  netstat -ano # Tüm bağlantıları ve dinleme portlarını, ilgili PID ile gösterir
  # -a: Tümü, -n: Sayısal adresler, -o: İşlem ID'si (PID)

  
  
  
• net Komutu: Windows ağ yönetiminin İsviçre çakısı. Kullanıcı, paylaşım, grup ve oturum bilgilerini öğrenmek için kritiktir.
  
  Kod:

  net users # Sistemdeki tüm kullanıcı hesaplarını listeler
  net localgroup administrators # Yöneticiler grubundaki kullanıcıları listeler
  net share                     # Açık dosya paylaşımlarını listeler
  net session                   # Sisteme bağlı olan uzak kullanıcıları listeler (eğer varsa)
  net use                       * # Eşleştirilmiş ağ sürücülerini gösterir

  
  
  
• tasklist & taskkill: Çalışan prosesleri listeler ve durdurur.
  
  Kod:

  tasklist # Linux'taki `ps` komutu gibi çalışan prosesleri listeler
  tasklist /svc                # Proseslerle ilişkili servisleri de gösterir
  taskkill /PID 1234 /F        # PID'si 1234 olan prosesi zorla durdurur (/F force)

@echo off
echo ===== TEMEL SİSTEM ENUMERATION RAPORU ===== > system_scan.txt
echo Tarih: %date% %time% >> system_scan.txt
echo. >> system_scan.txt

echo [1] KULLANICI VE SİSTEM BİLGİSİ >> system_scan.txt
whoami >> system_scan.txt
echo. >> system_scan.txt
hostname >> system_scan.txt
echo. >> system_scan.txt
systeminfo | findstr /C:"OS Name" /C:"OS Version" /C:"System Type" >> system_scan.txt
echo. >> system_scan.txt

echo [2] AĞ YAPILANDIRMASI >> system_scan.txt
ipconfig /all | findstr /C:"IPv4" /C:"Physical Address" /C:"DNS Servers" >> system_scan.txt
echo. >> system_scan.txt

echo [3] AKTİF BAĞLANTILAR (İlk 10 kayıt) >> system_scan.txt
netstat -ano | findstr /V "127.0.0.1" | head -n 10 >> system_scan.txt 2>nul
echo. >> system_scan.txt

echo [4] KULLANICILAR VE GRUPLAR >> system_scan.txt
net users >> system_scan.txt
echo. >> system_scan.txt
net localgroup administrators >> system_scan.txt

echo Rapor 'system_scan.txt' dosyasına kaydedildi.

PowerShell Temelleri: Penetration Tester'ın Gerçek Silahı​

• Get-WmiObject veya Get-CimInstance: Windows Yönetim Araçları'na (WMI) erişir. Sistem hakkında her türlü bilgiyi çekmek için sınırsız bir kaynaktır. (Not: Get-CimInstance daha moderndir).
  
  
  
  Kod:

  # Sistem Bilgisi
  Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object Caption, Version, OSArchitecture
  # Tüm kullanıcı hesapları
  Get-CimInstance -ClassName Win32_UserAccount
  # Tüm diskler ve boş alan
  Get-CimInstance -ClassName Win32_LogicalDisk
  # İşlemci bilgisi
  Get-CimInstance -ClassName Win32_Processor
  # Oturum açmış kullanıcılar
  Get-CimInstance -ClassName Win32_ComputerSystem | Select-Object UserName

  
  
  
• Get-NetTCPConnection: netstat -ano'nun PowerShell versiyonu, ancak çıktısı işlenebilir nesnelerdir.
  
  Kod:

   Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess
  # Dinlemede (Listen) olan portları ve hangi PID'in dinlediğini gösterir.

  
  
• Get-LocalUser, Get-LocalGroupMember: Yerel kullanıcı ve grupları yönetir.
• Test-NetConnection: Gelişmiş ping ve port testi aracı.
  
  Kod:

  Test-NetConnection -ComputerName 192.168.1.1 -Port 80  # 80 portunun açık olup olmadığını test eder

# 1. Çalışan tüm prosesleri al
# 2. CPU kullanımı 50'den fazla olanları filtrele
# 3. Sadece İsim, ID ve CPU sütunlarını seç
# 4. CPU'ya göre büyükten küçüğe sırala
# 5. Sonucu bir CSV dosyasına yaz (ileride analiz için)
Get-Process | Where-Object {$_.CPU -gt 50} | Select-Object Name, Id, CPU | Sort-Object CPU -Descending | Export-Csv -Path "high_cpu_processes.csv" -NoTypeInformation

# Uzak bilgisayarda komut çalıştırma (Yetki ve WinRM servisi gerekir)
Invoke-Command -ComputerName TARGET-PC -ScriptBlock { Get-Process }

Birkaç Pratik Egzersiz Yapalım: Kendi Makinenizi Keşfedin​

1. CMD ile Temel Keşif:
   • Bir CMD penceresi açın.
   • whoami, hostname, ipconfig /all komutlarını çalıştırın.
   • netstat -ano | findstr :3389 komutuyla RDP portunun (3389) dinlenip dinlenmediğini kontrol edin.
   • net localgroup administrators komutuyla yöneticileri listeleyin.
     
2. PowerShell ile Derinlemesine Enumeration:
   • PowerShell'i Yönetici olarak başlatın.
   • Get-CimInstance -ClassName Win32_OperatingSystem | Select-Object * komutuyla OS bilgilerinin tamamını görüntüleyin.
   • Get-NetTCPConnection -State Listen | Where-Object {$_.LocalPort -lt 1024} komutuyla "well-known" portlarda (1024'ten küçük) nelerin dinlediğini bulun.
   • Get-CimInstance -ClassName Win32_StartupCommand | Select-Object Name, Command, User komutuyla sistemle başlayan programları listeleyin.
     
3. Çıktıyı Raporla:
   • Yukarıdaki PowerShell komutlarından birinin çıktısını | Out-File -FilePath my_scan.txt ile bir dosyaya yazın.

Güvenlik ve Etik Uyarıları Tekrar Vurgulayalım​

• Execution Policy: PowerShell, güvenlik için varsayılanda betik çalıştırmaya izin vermez (Restricted). Laboratuvarınızda Set-ExecutionPolicy -ExecutionPolicy RemoteSigned -Scope CurrentUser komutuyla geçici olarak değiştirebilirsiniz. Asla bunu gerçek bir sistemde yapmayın.
• Log Kaydı: Windows, PowerShell komut geçmişini (Get-History) ve olay günlüklerini (Event Log) detaylı kaydeder. Gerçek bir pentest sırasında bu izleri temizlemek (logging) ayrı bir konudur.
  
  
• Antivirüs/EDR: Modern güvenlik yazılımları (Defender, CrowdStrike, SentinelOne vs.) şüpheli PowerShell aktivitelerini (uzak betik indirme, kod yürütme) yakalayıp engeller. Testlerinizi AV/EDR'siz bir lab ortamında yapın.

ZahirCoder' Alıntı:

Aleyküm selam eline emeğine sağlık hocam her zamanki gibi detaylı ve emek dolu bi anlatım

Genişletmek için tıkla ...