#STHM-Ortadaki Adam Saldırısı Tespiti(MITM)

​

Yaygın MITM Saldırı Türleri​

• Paket dinleme (Packet sniffing): Genellikle açık Wi-Fi ağlarında, ağ üzerinden iletilen şifrelenmemiş veri paketlerinin yakalanması.
• Oturum ele geçirme (Session hijacking): Kullanıcıları taklit etmek için oturum belirteçlerinin çalınması ve kullanılması.
• SSL stripping: HTTPS bağlantılarını güvensiz HTTP’ye düşürerek iletilen verileri çalmak veya değiştirmek.
• DNS sahteciliği (DNS spoofing): DNS yanıtlarını manipüle ederek meşru web sitesi trafiğini sahte alan adlarına yönlendirmek.
• IP sahteciliği (IP spoofing): Güvenilir sistemlerden geliyormuş gibi görünen kötü amaçlı IP paketleri oluşturmak.
• Sahte Wi-Fi erişim noktası (Rogue Wi-Fi access point): Kullanıcı trafiğini ele geçirmek için sahte ağlar oluşturmak.

Gerçek Dünya Örnekleri​

MITM ve Siber Öldürme Zinciri (Cyber Kill Chain)​

• Keşif (Reconnaissance): Saldırgan, zafiyetleri belirlemek için hedef hakkında istihbarat toplar.
• Silahlandırma (Weaponization): Saldırgan, bir açığı kötü amaçlı bir yük ile birleştirerek dağıtıma hazır bir paket oluşturur.
• Teslimat (Delivery): Saldırgan, bu paketi hedef ortama iletir.
• Sömürü (Exploitation): Saldırganın kodu tetiklenir ve yazılım, donanım ya da insan kaynaklı bir zafiyeti kullanarak ilk erişimi sağlar.
• Kurulum (Installation): Saldırgan, ele geçirilen sisteme kötü amaçlı yazılım yükler veya kalıcı bir arka kapı oluşturur.
• Komuta ve Kontrol (C2): Saldırgan, ele geçirilen sistemi kontrol etmek için gizli bir iletişim kanalı kurar.
• Hedeflere Yönelik Eylemler (Actions on Objectives): Saldırgan, veri sızdırma, yok etme veya yatay hareket gibi nihai hedeflerini gerçekleştirir.

MITM’nin Siber Öldürme Zinciri İçindeki Yeri​

ARP Protokolü Nedir?​

ARP Spoofing​

ARP Spoofing Neden Çalışır?​

• Kurbanın ARP önbelleği (ARP cache) zehirlenir.
• Ağ geçidine gitmesi gereken tüm trafik önce saldırgandan geçer (MITM).

Saldırı Göstergeleri (Indicators of the Attack)​

• Çift MAC-IP Eşleşmeleri: Aynı IP adresi için birden fazla MAC adresi görülmesi (kimliğe bürünme belirtisi).
• İstenmeyen ARP Yanıtları: Karşılık gelen bir istek olmadan çok sayıda ARP yanıtı (“gratuitous ARP”).
• Anormal ARP Trafik Yoğunluğu: Kısa süre içinde çok sayıda ARP paketi gönderilmesi.
• Olağandışı Trafik Yönlendirme: Trafiğin saldırganın MAC adresi üzerinden yönlendirilmesi.
• Gateway Yönlendirme Desenleri: Aynı gateway IP’si için birden fazla hedef MAC adresi görülmesi.
• ARP Sorgu/Yanıt Döngüleri: “Who has 192.168.1.x? Tell 192.168.1.y” şeklinde çok sayıda ARP isteği.

Ağ Bilgileri (Network Information)​

ARP Trafiğini Daraltma​

İlgilendiğimiz protokol ARP olduğu için, aşağıdaki filtreyi kullanarak trafiği izole ederek başlayabiliriz. Bu, istekleri ve yanıtları incelememize ve anormal yoğunluk ya da kalıpları fark etmemize olanak tanır.

Filtre:

Kod:

arp

“who-has” ve “is-at” ifadelerini içeren hem ARP isteklerini hem de yanıtlarını göreceksiniz. Sonuçları, anormal veya tekrarlayan istekler ya da yanıtlar açısından inceleyebiliriz.
Önemli Not: Görüntülenen zamanı düzeltmek için CTRL + ALT + 1 tuşlarına basın.

ARP İstekleri​

Aşağıda gösterildiği gibi ARP isteklerine bakalım.
Filtre:

Kod:

arp.opcode == 1

ARP Yanıtı​

Sahte ARP zehirleme saldırıları genellikle istenmeden gönderilen “is-at” yanıtlarını (gratuitous/istenmeyen yanıtlar) kullanır. Bunlar güçlü birer göstergedir. Aşağıda gösterildiği gibi ARP yanıtlarına bakalım:
Filtre:

Kod:

arp.opcode == 2

Bu filtre, çeşitli ana makinelerden (host) gelen ARP yanıtlarını gösterir. Bunlar yakından incelendiğinde, istenmeden gönderilen (gratuitous) yanıtlar da dahil olmak üzere birden fazla yanıt olduğu görülür. Meşru yanıtlar genellikle yakın zamanda gönderilen “who-has” isteklerine karşılık gelir. Şüpheli durumlar ise, görünür bir istek olmadan çok sayıda yanıtın bulunması veya aynı IP adresinin şüpheli bir MAC adresi tarafından tekrar tekrar duyurulmasıyla anlaşılır.

Gratuitous ARP Yanıtları​

Şüpheli bir ana makine, özellikle birden fazla hedefe yönelik çok sayıda istenmeyen (gratuitous) ARP yanıtı gönderir. Tekrarlayan gratuitous ARP’ler, bir saldırganın zehirleme durumunu sürdürmeye çalıştığını gösterebilir. Aşağıda gösterildiği gibi gratuitous paketleri filtreleyebiliriz:
Filtre:

Kod:

arp.isgratuitous

Ağ Geçidi ile İlişkili ARP Trafiği
Ağ geçidiyle ilişkili IP ve MAC adresi bilgilerine sahibiz. Aşağıda gösterildiği gibi, ağ geçidiyle ilişkili ARP trafiğini incelemek için şu filtreyi uygulayalım:
Filtre:

Kod:

arp && arp.src.proto_ipv4 == 192.168.10.1 && eth.src == 02:aa:bb:cc:00:01

Çıktıya baktığımızda yalnızca ARP yanıtlarını görebiliriz. Şimdi, aşağıda gösterildiği gibi, ağ geçidi IP’sine odaklanarak bu IP ile ilişkili MAC adreslerini daha detaylı incelemek için şu filtreyi kullanalım:
Filtre:

Kod:

arp.opcode == 2 && arp.src.proto_ipv4 == 192.168.10.1

Bu çıktı ilginç görünüyor. Yakından incelediğimizde, bazı ARP yanıtlarının Ağ Geçidi IP’sini şüpheli bir MAC adresine yönlendirdiğini görüyoruz. Bu ARP yanıtlarının sıklığı, bunun gerçekten bir ARP spoofing olduğunu gösteriyor. Aşağıda gösterildiği gibi başka bir filtre uygulayarak bunu doğrulayalım:
Filtre:

Kod:

arp.opcode == 2 && _ws.col.info contains "192.168.10.1 is at"

Bu filtrenin iki bölümü vardır. Birinci bölüm ARP yanıtlarına odaklanırken, ikinci bölüm olan _ws.col.info contains "192.168.10.1 is at" bilgi sütununda gösterilen içeriğe filtre uygular. Bu, Ağ Geçidi IP’si 192.168.10.1’i MAC adresine yönlendiren ARP yanıtlarını filtreler. Ancak yakından bakarsak, saldırganın ARP spoofing kullanarak IP’yi kendi MAC adresine yönlendirdiğini görebiliriz. Aynı sonucu gösteren başka bir filtre de kullanabiliriz:

Kod:

arp.opcode == 2 && arp.src.proto_ipv4 == 192.168.10.1.

Şüpheli MAC Adresini İnceleme​

Artık ARP spoofing’in aktif olduğunu tespit ettiğimize göre, Ağ Geçidi IP’si ile kendisini ilişkilendiren saldırganın MAC adresine odaklanalım. Aşağıdaki filtreyi kullanalım:
Filtre:

Kod:

arp.opcode == 2 && arp.src.proto_ipv4 == 192.168.10.1 && eth.src == 02:fe***********

Sonuç, saldırganın ARP spoofing yaptığını açıkça doğruluyor.

Çift IP-MAC Eşleşmelerini Kontrol Etme​

Kontrol edebileceğimiz ve doğrulayabileceğimiz son şey, tek bir IP adresine atanmış birden fazla MAC adresini filtreleyerek kontrol etmektir.
Filtre:

Kod:

arp.duplicate-address-detected || arp.duplicate-address-frame

DNS Sahtekarlığını Tespit Etme
DNS Protokolü Basit Anlatım
Öncelikle DNS’i anlayalım. Bunu telefonunuzdaki kişi listesi gibi düşünebilirsiniz. Arkadaşlarınızın telefon numaralarını ezberlemezsiniz; isimlerine dokunursunuz. Benzer şekilde DNS, insanların kolayca okuyabildiği web sitesi adlarını (örneğin www.google.com) bilgisayarların anlayabileceği IP adreslerine çevirir.
DNS Spoofing (veya DNS Önbellek Zehirleme), bir saldırganın bu sistemi bozmasıdır. Ziyaret etmeye çalıştığınız bir web sitesi için bilgisayarınıza yanlış “telefon numarası” verir.
Bu, bir Man-in-the-Middle (MITM) saldırısı başlatmak için güçlü bir tekniktir. İşleyişi şu şekildedir:

• Kurban, my-real-bank.com adresi üzerinden bankasına girmeye çalışır.
• Saldırgan (muhtemelen ARP spoofing yoluyla) zaten yerel ağda bulunduğu için kurbanın DNS sorgusunu ele geçirir.
• Sahte Yanıt (Spoof): Saldırgan, kurbana hızlıca sahte bir DNS yanıtı gönderir. Bu yanıtta “ZiraatBankası.com şu IP adresindedir: ATTACKER_IP” denir.
• Ele Geçirme (Interception): Kurbanın bilgisayarı bu sahte yanıtı gerçek kabul eder ve DNS önbelleğine kaydeder. Kurban bankasına bağlanmaya çalıştığında, farkında olmadan doğrudan saldırganın sunucusuna bağlanır. Bu sunucu, gerçek bankacılık sitesinin birebir kopyasını barındırıyor olabilir.

​

Saldırı Göstergeleri​

• Aynı sorguya birden fazla DNS yanıtı: Hem meşru bir çözümleyici (resolver) hem de sahte bir yanıtlayıcı aynı sorguya yanıt verir. Bu, en güvenilir göstergedir.
• Beklenmeyen bir kaynaktan DNS yanıtı: DNS yanıtı, yapılandırılmış herhangi bir çözümleyiciye (ör. 8.8.8.8 veya kendi DNS sunucunuz) uymayan bir IP adresinden gelir.
• Şüpheli derecede kısa TTL (Time-To-Live) değerleri: Saldırganlar, zehirlenmiş kayıtların kısa süreli kalmasını ve kontrolü yeniden sağlamayı sağlamak için çok düşük TTL değerleri (1–30 saniye) kullanır.
• İstenmeyen DNS yanıtları: Kurbandan gelen bir DNS isteğine karşılık olmadan DNS yanıtı görünür

DNS Trafiğini Daraltma​

İlgilendiğimiz protokol DNS olduğundan, trafiği izole etmek için aşağıdaki filtreyi kullanabiliriz. Bu, istek ve yanıtları incelememize ve anormal yoğunluk veya kalıpları fark etmemize olanak tanır.
Filtre:

Kod:

dns

Meşru Trafiği Filtreleme​

Meşru DNS sunucuları (örneğin Google’ın 8.8.8.8’i) bilinen bir dış IP adresinden yanıt verir. Bu IP’den gelen yanıtları filtreleyerek, normal yanıtların nasıl göründüğünü karşılaştırma amacıyla görebiliriz.
Filtre:

Kod:

dns.flags.response == 1 && ip.src == 8.8.8.8

DNS Yanıtlarını İnceleme​

Aşağıdaki filtreyi kullanarak DNS yanıtlarına bakalım:
Filtre:

Kod:

dns.flags.response==1

Çıktıda, olağan DNS sunucusu dışındaki IP adreslerinden gelen yanıtları da arayabiliriz. Yakından incelediğimizde, 8.8.8.8 dışındaki bir IP’den gelen bir DNS yanıtı buluyoruz. Bu ilginç bir bulgu. Potansiyel bir DNS spoofing girişimini işaret eden bu olağandışı DNS isteğini not ediyor ve daha sonra tekrar inceleyeceğiz.

DNS Sunucusundan Gelen Yanıtlar​

Aşağıdaki filtre, DNS sunucusundan gelen yanıtları gösterecektir:
Filtre:

Kod:

dns.flags.response == 1 && ip.src == 8.8.8.8

Alan Adımız İçin DNS İsteği​

Şimdi ilgilendiğimiz alan adı olan corp-login.acme-corp.local için DNS trafiğine meraklı bir bakış atalım. Aşağıdaki filtreyi kullanabilirsiniz:
Filtre:

Kod:

dns && dns.qry.name == "corp-login.acme-corp.local"

Şimdi, ilgilendiğimiz alan adımız için DNS sunucusundan (origin) gelen DNS isteğini filtreleyelim. Aşağıdaki filtreyi kullanabilirsiniz:
Filtre:

Kod:

dns.flags.response == 1 && ip.src == 8.8.8.8 && dns.qry.name == "corp-login.acme-corp.local"

DNS Sunucusu Dışındaki Yanıtlar​

Önceki sonuçlarda, ilgilendiğimiz alan adından gelen DNS trafiğini DNS sunucularından inceledik. Şimdi, DNS sunucusu 8.8.8.8 dışındaki sunuculardan herhangi bir DNS yanıtı gelip gelmediğini görmek için aşağıdaki filtreyi uygulayalım:

Filtre:

Kod:

dns.flags.response == 1 && ip.src != 8.8.8.8 && dns.qry.name == "corp-login.acme-corp.local"

Bu, DNS spoofing’in nasıl göründüğünü gösterir. Ağ içindeki bir sistemin sahte bir DNS sunucusu gibi davranarak sahte DNS yanıtları gönderdiğini ortaya koyar.

Analiz Özeti​

• Başarılı bir çok aşamalı Man-in-the-Middle (MITM) saldırısı: Saldırgan önce ağ geçidi (192.168.10.1) için ARP eşlemesini zehirlemiş.
• Bunu, corp-login.acme-corp.local için sahte DNS yanıtları takip etmiş ve kurbanın trafiğini saldırganın IP’sine yönlendirmiş.

SSL Stripping Nedir?​

Nasıl Çalışır?​

1. Kurban bir web sitesine HTTPS isteği başlatır.
2. Saldırgan, ARP spoofing veya sahte bir erişim noktası kullanarak isteği keser.
3. Saldırgan, web sitesine HTTPS üzerinden bağlanır ancak yanıtı kurbana HTTP üzerinden iletir.
4. Kurban farkında olmadan HTTP üzerinden iletişim kurar ve hassas verileri açık metin olarak iletir.

SSL Stripping Belirtileri​

• İlk İstek vs. Yanıt: Kullanıcının ilk isteği HTTPS (port 443) olabilir, ancak sonraki paketler aynı alan için şifrelenmemiş HTTP (port 80) üzerinden gelir.
• Yönlendirmeler / Link Yeniden Yazımı: HTTPS isteğini sürekli HTTP kaynağına yönlendiren 301 veya 302 durum kodlarını izlemek.
• Sertifika Hataları: Saldırgan genellikle bunu gizlemeye çalışır; ancak başlangıçtaki TLS/SSL el sıkışma (Handshake) başarısız olabilir veya saldırgan daha doğrudan bir proxy tekniği kullanıyorsa self-signed sertifika gösterebilir.

SSL Trafiğini İzole Etme​

HTTPS protokolü ilgilenilen protokoldür. SSL isteklerini incelemek ve anormal hacim veya desenleri fark etmek için aşağıdaki filtreyi kullanarak trafiği izole edebiliriz:
Filtre: t

Kod:

ls || ssl

Bu filtre, SSL ile ilişkili tüm trafiği gösterecektir.

Sunucumuzun SSL Trafiğini İnceleme​

Aşağıdaki filtreyi uygulayarak sunucumuza kurulan TLS el sıkışmalarını (handshake) gösterebiliriz. Bu, sitenin normalde iletişim için TLS kullandığını kanıtlar.
Filtre:

Kod:

tls.handshake.type == 1 && tls.handshake.extensions_server_name == "corp-login.acme-corp.local"

Yukarıdaki çıktılardan elde edilen temel gözlemlerden biri, ilgili alan adının iletişim için TLS kullandığının doğrulanmasıdır.

SSL Stripping Öncesi DNS Yönlendirmesini Gösterme​

SSL stripping ile ilgili hipotezimiz, saldırganın DNS spoofing işlemini başarıyla gerçekleştirdikten sonra mağduru saldırganın IP adresine yönlendirmesiyle yapıldığıdır. Önceki görevde DNS spoofing’i gerçekleştiren saldırganın IP adresini tespit etmiştik. Aşağıdaki filtreyi kullanarak saldırgandan gelen DNS yanıtlarını izole edelim ve mağdurun saldırganın IP adresine yönlendirildiğini gösterelim:
Filtre:

Kod:

dns.flags.response == 1 && ip.src == 192.168.10.55 && dns.qry.name == "corp-login.acme-corp.local"

Yukarıdaki sonuç, saldırganın IP’sinin ilgili alan adı için sahte DNS yanıtları gönderdiği iki olayı göstermektedir.

TLS’in Kaybolduğunu Doğrulama​

SSL stripping’in temel göstergelerinden biri, spoof işleminden sonra alan adının artık meşru sunucu ile TLS el sıkışmaları yapmamasıdır. Bu, mağdurdan gerçek sunucuya TLS trafiğinin olmadığını doğrular. Aşağıdaki filtreyi sunucu IP’si ve saldırgan IP’si üzerinde uygulayalım:
Filtre:

Kod:

http && ip.src == 192.168.10.10 && ip.dst == 192.168.10.55

SSL stripping işleminden sonra mağdurun sunucuya bağlandığını ve giriş yaptığını açık bir şekilde görebiliyoruz.

Ayrıca, kullanıcının kimlik bilgilerini düz metin (plaintext) olarak tespit edebiliyoruz; bu da saldırganın mağdurun kimlik bilgilerini elde edebildiğini doğruluyor. Tabii ki, gözlemlememiz gereken başka SSL stripping göstergeleri de mevcut. Bu senaryoda yalnızca bir göstergeyi gözlemledik: portalımızın HTTPS trafiği HTTP’ye düşürülmüş.

Özet
Saldırı zaman çizelgesi ile birlikte soruşturma özeti aşağıdaki gibidir:

• ARP Spoofing (önbellek zehirlenmesi):
  ARP spoofing başlar, saldırgan, varsayılan ağ geçidi IP’sini iddia ederek isteksiz (unsolicited) ARP is-at paketleri gönderir.
• DNS Spoofing (sahte DNS yanıtları):
  Mağdur, corp-login.acme-corp.local alanı için DNS sorgusu yapar.
  Saldırgandan gelen sahte DNS yanıtı, alan adını → 192.168.10.55 IP’sine yönlendirir.
• SSL Stripping (TLS düşürme / kimlik bilgisi yakalama):
  Mağdur, çözümlenen IP’ye bağlantı başlatır; HTTP üzerinden saldırgana yönlendirilir (SSL stripping etkisi).
  Kimlik bilgisi POST isteği gözlemlenir (düz metin olarak).

CW-Ommah
Bug Researchers Tim Sundu...
​

ZahirCoder' Alıntı:

Aleyküm selam Allah'ın rahmet ve bereketi seninde üzerine olsun kardeşim serimizde sıra ortadaki adam saldırısına geldi demek nihayet bu seri ansiklopedi niteliği taşıyacak eline sağlık Allah razı olsun

Genişletmek için tıkla ...