Bir Hackin Anatomisi

8/7/2019 Bir Hackin Anatomisi

1/26

Bir Hack'in Anatomisi

Selamn aleykm dostlar.Alco yaktn beni 4. gn oldu dkman bitmedi.Neyse baladk bi kere devamn getirecez.

Dkman yeni balayanlar iin hack bilgileri , ak ve port tarama programlarnnkullanm ,bilgi toplamann nemi ve rnek olarak Linux server zerindeki bir siteninhackleni anatomisi zerinedir.

imdi arkadalar dkmana gemeden nce her zamanki gibi bi n bilgi vermek

istiyorum.

Bu dkmana daha nce balamtm hackturkden hatrlayanlar vardr. Ama bazsorunlar yznden devam gelmedii iin tekrardan yazyorum. Daha aklamalolarak

imdi arkadalar unu bi anlayalm. Gnmzde kafasna gre site hackleyen biinsann istenilen bi siteyi hackleme olasl ok dktr. nk belli aklarbilmekle hacker olunmaz. Yine gnmzden rnek veriyim. Phpnuke aklar bilindiizere bu ara ok mehur. Phpnuke bele bi script olduu iin ada ok. Pekisadece bu aklar bilip site hacklediimizde biz phpnuke hacker m olmu oluyoruz?HayrTamam site hacklemek ok zevkli biey ve kolay bi i deil bunu yapmak da birbaar belki. Ama kafamza gre her grdmz siteyi hacklersek arkamzdankfretmeyen kalmaz. Tamam, ben de zamannda ok site hackledim belli aklarla ki

bunlar phpnuke aklaryd ama ben hibir Trk sitesini sebepsiz yere hacklemedim.Laf gidecei yeri bilir.steyen istedii gibi hareket eder tabii ama bu iin de prensipleri olmal. Herneyselaf fazla uzatmadan dkmana geelim.

Yeni balayan arkadalar baz durumlardan ok yaknmlar biraz ar dille anlatyorfalan diye. Evet bunu biliyorum ama baz terimleri renmemiz gerekiyor arkadalarartk. Madem hack renmek hacker olmak istiyorsunuz baz alt bilgileri kendiniz

renmeniz gerekli.Dkmanmda sade bir dil kullandm dnyorum bakalm siz de okuyun dayorumlarnz yapnimdi vereceim bilgiler yeni balayan arkadalarn dkman daha iyi anlamasiindir

n bilgi 1: Domain ve host kavramlar:Domain hepimizinde bildii zere alan ad anlamna gelir. Yani bir web sitesininaddr. http://www.yahoo.com gibi.

Host ise domain ismini web browsermza yazdmzda yantn geldii web alandr.Yani domainin ynlendii web alandr. Web browsermza http://www.yahoo.comyazdmzda karmza gelen sayfa Yahoonun serverlarna kurulmu kodlarbtnlemesidir. Yani hosta yahoonun anasafyasndan tutun dier tm sayfalar belli bir

is document is created with the unregistered version of Document2PDF Pilot.
http://www.yahoo.com/http://www.yahoo.com/


2/26

dzen iinde yklenmitir ve biz bu dzeni karmzda web sayfas olarak grrz.Domain hack ve host hack kavramlar da buralardan gelmektedir.

n bilgi 2: Hack ve Hacker kavramlar:Bu kavramlar kiiden kiiye deimekle beraber. Kimileri hacki bilgi almak,hrszlkanlamnda ,kimileri ise bir zevk olarak nitelendiriyor.Hacker ise bu konumda bilgi alan kii hrsz olarak biliniyor. Ayrca hackerlar networkbilgisi mkemmel security masterlar olarak da nitelendirilebilir.

n bilgi 3: Whois nedir?Whois bir sitenin tm zelliklerini barndran bir sorgudur. Yani site hakkndarenebileceimiz her ey whois kategorisine girer.

n bilgi 4: Linux nedir?Linux bir iletim sistemidir. Kaynak kodlar aktr. Unix tabanldr. Bir ok deiik

trevi vardr. Fedora , redhat , slackware , suse , turbolinux , debian/gnu Linux ,gentoo vs vs. tak kar Linux da bu ara mehurdur. (knoppix)

n bilgi 5: Unix ve unix tabanl iletim sistemleri:Unix bir ok sistemin tabann oluturan bir programlar zinciridir. C ile yazlmtr.Bsd, aix, irix, Gnu/Linux , sun-solaris gibi iletim sistemlerinin tabann oluturur. Tmiletim sistemleri iin. Oslar topicine bakabilirsiniz.rnek: Linux-unix=Windows-dos

n bilgi 6: Shell nedir?Shell unix sisteminin komut yorumlaycsdr.En yaygn olarak kullanlan 4 eit shell vardr.Bunlar C shell (csh) , bourne shell (bsh) , bourne again shell (bash) ve korne shell(ksh) dir. Linuxta en yaygn olarak kullanlan bash dr. Dier unix tabanl sistemlerdede en ok kullanlan csh dr.

n bilgi 7: Knoppix-tak kar Linux kurulum ve kullanm:

Knoppix Linux trevlerinden biridir en byk zellii hdd zerinde ek bir partitionoluturmadan cd ile alabilmesidir. Hdd ye herhangi bir ey yklemeniz gerekmez.rnein benim kullandm knoppix 3.3 e bakarsak. Netten download edip isodosyasn extract edersiniz winrar ile.Linux download edebileceiniz linkleri full programlar topicinde verdim. Daha sonrabu extract ettiiniz dosyalar cd ye ekersiniz. Daha sonra cd yi ap knoppixdizininde mkfloppy.bat dosyasn altrp floppy ye bir disket takp boot diskoluturursunuz. Sonra biostan ilk boot drive n floppy,ikinci boot drive n cd-rom, ny de hdd yapp restart atarsnz ve ite karnzda

Knoppix Linux. lk ekranda kan boot: ksmna expert yazn gein. Sonra kan hereye yes deyin. lk bata floppy den gerekli mount (yklenecek driverlar filan)edilecek dosyalar alr. Onun iin birka kere yes deyip enterladktan sonra no deyipgein. Sonras zaten kolay.



3/26

Knoppix kullanm kolaydr. Dier Linux trevlerindeki tm komutlar verebilirsiniz.Ama herhangi bir program kuramazsnz. Dosya ekimi yapabilirsiniz. Sadece hdd yedaha nceden Linux programlarndan birini kurduysanz bunu tmp dizinine ekerekkurabilirsiniz. Mesela ben mess.be adresinden amsn i windowsta download edipKnoppixde altrmtm.Bu arada tar.gz uzantl dosyalar shellde u komutla aarsnz.$ tar -zxvf dosyaad.tar.gzDosya altrma komutu: $ ./dosyaad eklindedir.

n bilgi 8: Registrar server-Dns server kavramlar:Registrar server bir domainin alnd site , dns server domainin ynlendirildiiserverdr.

n bilgi 9: Proxyler ve internette gizlenme:Proxy bizim ip numaramz saklayarak baka bir ipden nette dolamamz salayan

sistemdir. Saniye ba Proxy deitirerek bizim nette gizlenmemizi salayanprogramlar vardr. Steganos gibi Proxy bir zm deildir ama geici gvenliksalar

n bilgi 10: Command promptu: (Xp iin altr: cmdWin98 iin altr: command)Bildiimiz dos komut sistemidir. inde birok komut barndrr.Ping,finger,tracert,nbtstat,netstat,net ve tm dos komutlar (copy,deltree vs)

Kendi ip numaramz: command promptunda ipconfig yazarak grebiliriz.nternet kafede command promptuna ipconfig yazarsak karmza 192.198.1.1 veya10.0.0.1 gibi bir deer kabilir. Bu kendi ipmiz deil a ipsidir. Kendi ip mizi mirc gibiprogramlar altrarak yada programlar vasyasyla grebiliriz.Grdmz ip gerekte cafenin server ip sidir

n bilgi 11: Port karvram:Port bir pc nin veri giri k yapt kaplardr.

n bilgi 12: Kernel ekirdei:Kernel ekirdei unix tabanl iletim sistemlerinin kalbidir. Tm unix sistemler bukernel ekirdei zerinden alr. Kiiye gre dizayn edilebilir.Deitirilebilirdir.

Bu kadar n bilgi yeterli bence. Anlamadnz noktalar web hack hakkndarenmek istedikleriniz topicinde sorabilirsiniz.

Hadi bismillah balayalm artk

Arkadalar hepimizin bildii bii var o da whois artk bunu bilmeyen yok gibi.Whois sorgusu alabileceimiz bir sr siteyi konu bal olarak amtk daha



4/26

nceden dernek olarakhttp://www.whois.schttp://www.arama.com/domain.php3http://www.networksolutions.comhttp://www.netcraft.comverilebilir.

Dkmann ilerleyen safhalarnda setiim bi site iin ayrntl whois sorgusu veaklamasn vericem.Whois sorgusu bize site hakknda ok ey verir ki bunlar domain bilgileri ve hostbilgileri olmak zere ikiye ayrlr.Domain bilgisi olarak:Sorgunun bize verdikleri domain sahibinin ad,soyad,telefon,adres, (doru girilmisetabii) akas bizi ilgilendiren taraf bu deil. Bizim amacmz belli: Hack. O zaman

dikkat etmemiz gereken asl nokta domainin kaytl olduu mail yani reg mail veregistrar server Peki bunlar niin nemli? nternetteki her domain yani alan ad birmail zerine kaytldr. Bu mail adresi kimin elindeyse domainin sahibi de odur.O zaman biz bi sitenin reg mailini hacklersek (Alco bu i tam senluk) o site artk bizimolur ve kimse de hak iddia edemez.Sadece domain bilgilerini tam giren kurulular ve kiiler hari.Onlar registrar serverlaryla balantya geip domainlerini geri alabilirler Pekiregistrar server bizim iin niye nemli dersek. registrar server domainin alndserverdr. Bu serverdaki bi ak demek bu serverdaki tm domainleri ele geirme

frsat demektir. Bu ilem tabii reg mail hacke nazaran daha zor bi yntemdir.

Host bilgisi olarak :Whois sorgusu bize domain bilgisine nazaran daha ok bilgi verir ki en nemlibilgileri burada alrz. Host bilgisi olarak elimize geenlerunlardr. Web server tipi,[rnek Linux apache 1.3.31 (unix), Microsoft IIS 6.0 gibi] ,ip nosu (bunu zaten dosta ping http://www.siteadi.com-net-orgvs. yazarak da grebiliriz.) , host zerinde scriptlerin almasna olanak veren

programlar(daemonlar) ve srmlerini de grrz ki bu seenek aslnda hostunzellikleridir ama bizim iin bi frsattr. (rnek PHP 4.3.1. vs vs.. gibi). Ayrcabunlardan baka hostun zerinde bulunduu ip blou, host zerinde alan diersiteler gibi seenekleri de grebiliriz.Host zerinde alan dier siteleri reverse ip tool la bulabiliriz kihttp://www.whois.sc sitesinin reverse ip tool seenei host zerinde alan sadece3 siteyi veriyor sadece yelere.imdi size bi de programlarla whois sorgusu+ayrntl port taramas nasl yaplr onugsteriyim.

imdi arkadalar yeni balayan herkes web hackin programla yapldn sanyorama web hackin programla bi alakas yok. Sadece bize yardmc olan belliprogramlar var ki bu programlarda sadece bilgi edinme amal.. tabii ak taramaprogramlar da var ama onlar size siteyi hackletmez sadece a verir.

http://www.whois.sc/http://www.siteadi.com-net-org/http://www.netcraft.com/http://www.networksolutions.com/http://www.arama.com/domain.php3http://www.whois.sc/


5/26

Portlarn ne demek olduunu biliyoruz

Tcp portlar ve ilevleri:

Port: Servis: Aklama:7 echo Bu porttan sunucuya ne yollarsanz aynen geri yollar9 discard Dev/Null11 systat Kullanclar hakknda bilgiler13 daytime Tarih ve zaman bilgisi. Bilg.in nerede olduu bulunur15 netstat Network ile ilgili onlarca bilgi19 chargen sistemde kullanlan ASCII karakterler ^Cile durur.21 ftp FTP portu23 telnet Telnet.25 smpt istediiniz mail adresi ile mail atmak.37 time Saat

39 rlp Resoruce Location43 whois host ve a hakknda bilgi.53 domain Name server70 gopher gopher79 finger kullanclar hakknda bilgi80 http Web sunucu110 pop Gelen mail119 nntp News group.443 shttp Secure Web Sunucu

512 biff Mail habercisi513 rlogin uzaktan giri ve kontrol

who514 shell uzaktan kontrol , ifre kullanmadan!

syslog uzaktan sisteme giri520 route Ynlendirme protokol

imdi benim de ahsen kullandm bika program ismi vericem..

ilk programmz NMAP bu program ok baba bi programdr ki bizi uzun porttaramas yapma zahmetinden kurtarp hostun veri giri k yaplan ve sk kullanlanportlarn ve bu portlar zerinde veri giri k yapan programlar tcp/ip protokollerizerinden guess yaparak bize verir. Daha bir sr ilevi vardr. Asl amac hacklemekistediimiz hostu haritalar ve bize yol gsterir. Peki bu bizim ne iimize yarar? tehackin en nemli ksm budur. Biz bu portlar zerinde alan bir programn ankullanarak sisteme szabiliriz. Sistem Windows ise administrator, Linux ise root

olabiliriz. Dier sistemler iin de en yksek user seviyesine ulaabiliriz. Programnkullanm bata zor gelebilir ama kullandka renirsiniz.Nmap kullanm klavuzunu ekte vericem Screenshotunu da veriyim



6/26

Bu Linux versiyonu:

Bu dos versiyonu:



7/26

Bu da Windows versiyonu:

Program indirebileceiniz link: http://www.insecure.org/nmap

Sradaki programmz Nessus Nessus kullanm zor bir programdr.NASL (Nessus Attack Scripting Language) dili ile zel saldrlar dzenleyebilmezellii olan bir scanner programdr. Asl nemi gvenlik deliklerini yakalayarak bize

sunmasdr. Nessus daha nceden bedava iletim sistemlerinde alyordu amaartk Windowsta da alabiliyor. Winpcap eklentisiyle tabiiWindows versiyonunu hi kullanmadm ok banal Linux versiyonu gibi deilNessusun Linuxta kurulumu iin nessusun library dosyalarn,nasl dili iinyorumlaycsn,nessus istemci ve sunucusunu,zayflk tarama eklentileriniyklemeniz gerekmektedir.Kullanmn ekte vericemScreen shotlarn da veriyim tabii bunlar Linux altnda alan Nessus screenleri

http://www.insecure.org/nmap


8/26



9/26



10/26

Program indirebileceiniz link : http://www.nessus.org

Sradaki program yine pek ok yetenee sahip oxid.it yapm CAN&ABELBu programn zellikleri cracker,sniffer,traceroute ve bir sr ek zellikScreenshotu:

http://www.nessus.org/


11/26

Program indirebileceiniz link: Win98-XP iin ayr ayr setup dosyalar bulunmaktahttp://www.oxid.it

Sradaki programmz hepimizin bildii John The Ripper

Bu program bilindii zere crackerlarn en ok kulland programlardan biridir vehalen de tutulmaktadr. Bu programn bizi en ok ilgilendiren taraf criptolu ifrelerikrabilmesidir. Md5-base 64 gibi criptolanma yntemleriyle encrypte edilmipassword dosyalarn bu programla decrypte edebilir yani krabiliriz. Ben elimdeki biretc/shadow dosyasn johnla krdm screenshotunu da verdim. Programn kullanmzaten kolaynce krmak istediim shadow dosyasn veriyim

cat: bu komut unixde dosya ieriini grntler, dosya aar , dosya dzenlercat etc/shadow dan kan sonu: pass.txt olarak johnun run dizinine copy edilmitir

root:$1$Ke6huM9F$LIkFk9F668gYMsK8nTops1:12598:0:99999:7:::daemon:*:11453:0:99999:7:::bin:*:11453:0:99999:7:::sys:*:11453:0:99999:7:::sync:*:11453:0:99999:7:::games:*:11453:0:99999:7:::

man:*:11453:0:99999:7:::lp:*:11453:0:99999:7:::mail:*:11453:0:99999:7:::news:*:11453:0:99999:7:::

http://www.oxid.it/


12/26

uucp:*:11453:0:99999:7:::proxy:*:11453:0:99999:7:::majordom:*:11453:0:99999:7:::postgres:*:11453:0:99999:7:::www-data:*:11453:0:99999:7:::backup:*:11453:0:99999:7:::msql:*:11453:0:99999:7:::operator:*:11453:0:99999:7:::list:*:11453:0:99999:7:::irc:*:11453:0:99999:7:::gnats:*:11453:0:99999:7:::nobody:*:11453:0:99999:7:::knoppix:*:11593:0:99999:7:::mysql:!:11550:0:99999:7:::postfix:!:11678:0:99999:7:::

sshd:!:11864:0:99999:7:::partimag:!:11916:0:99999:7:::telnetd:!:12090:0:99999:7:::distccd:!:12106:0:99999:7:::bind:!:12141:0:99999:7:::sslwrap:!:12187:0:99999:7:::

John the ripper indirmek isteyenler:http://psycash.cjb.net

http://psycash.cjb.net/


13/26

Bunlardan baka bir sr program anlatlabilir ama dokman ok uzar onun iinsadece nemli olanlar verdim.Siz de kendinize zel scannerlarla istediiniz bilgileri ele geirebilirsiniz. Dierprogram isimlerini de veriyim ama siz arayn bulun artk di miN-stealth , Retina Securtiy Scanner , NSS (Network Security Scanner) , Strobe ,SATAN , Jakal , IdentTCPscan ,Wingate(bu scanner deil ama eski ve ho biprogram) vs vs

Ayrca nemli bi yntemde ilgili siteye ftp,telnet,ssh gibi yollardan balanmaydeneyerek sistemin kulland programlar renmektir

Localhost a ektiim ftp komutunun cevabn gryoruz

Ftp serverm da renmi oldum bylece

Bii daha bata da anlattm gibi bi phpnuke furyasdr gidiyor. Phpnuke aklarnteker teker denemekten yoruldum diyorsanz o zaman size faydal bir programveriyim.Programn ad CMxploiter 4 (spymaster arkadamzn bana hediyesi). Yapmanzgereken elinizde bulunan exploit listesini programa vermek ve startlamak. AyrcaProxy de istiyor. Programn linkini sonda vericem. Proxy bulabileceiniz ok site var.http://www.atomintersoft.com bunlardan biri

Ayrca bunlardan baka bizim gizlilik prensibimizi salamaya yarayacak olanSteganos Internet Anonymous program var. Buna benzer Permeo Security Driverda iyi bir programdr.

Bir de Where is ip program var ip saptamak iin gsel bi program tavsiye ederim.Ayrca ilemlerimizi hzl bir Proxy zerinden yaparsak daha gvende oluruz. Tabiieer bi sistemde iz brakmamak istiyorsak loglarmz da silmeliyiz.

http://www.atomintersoft.com/


14/26

Host hakknda ayrntl bilgi alabileceimiz dier yntemler:Dos altnda finger , tracert (traceroute) komutlarn kullanmaktr.

Finger komutu bize ilgili host zerindeki kullanclar ve izin verilmise bukullanclarn host zerindeki zelliklerini verir. Bir protokoldr yani belli bir portzerinden balant kurularak yaplr. ncelikle bilgi almak istediimiz hosta 79.porttan yani finger portundan telnet balants yapmalyz tabii aksa. Bunu daWindows xp de screendeki gibi. 98 de ise altra telnet yazp balan ksmna hostadn balant tr ksmna 79 yazyoruz.

Screenshotu:

tabii benim sistem finger a izin vermiyor.

Traceroute: Dos zerinde tracert komutu.Bu komut bize hosta gnderdiimiz paketin ka yol geerek hosta ulat hakkndabilgi verir. Routerlar falan listeler

Screenshot:



15/26

kendi localhostuma ektiim tracert komutunun cevabn gryoruz

Evet dkmanmza devam edelim

Buraya kadar yaptmz ilemler ilgili hostun haritalanmas ve gerekli bilgilereulalmas aamasyd. Bundan sonras ise bizim bilgi , deneyim ve tecrbelerimizekalyor.Bundan nceki aamay ve kalan aamay rnek bir site zerinde anlatcamrnek olarak aklma bir site gelmedi bende Alconun tavsiyesi zerine

http://www.turkarea.com sitesi zerinde gstericem.imdi whois bilgimizi alyoruz. http://www.whois.sc sitemize girdik Domain Explorerblmne getik. http://www.turkarea.com yazdk. Karmza u bilgiler kt. BunlarHost Bilgileri: Screenshot:

TURKAREA.COM

http://www.turkarea.com/http://www.whois.sc/http://www.turkarea.com/


16/26

imdi bu bilgileri gzden geiriyoruz Bizi ilgilendiren blmler unlar:

Reverse ip, server type, ,ip adres( ping ekerek de bulabiliriz), name server ,ICANN

registrar,bu bilgilerimizi bir yere kaydediyoruz. imdi srasyla aldmz bilgileri zetleyelim.

Reverse ip: Bu tool yani seenek bize server zerinde alan dier siteleri verir.Whois.sc iin sadece yelere zel olmakla birlikte 3 site grme hakk vermektedir.Silver membershipe geerseniz host zerindeki tm siteleri grebilirsiniz.(yani hostzerindeki tm domainleri grebilirsiniz)Bu seenein bizim iin nemi u. Server zerinde hacklemek istediimiz bir site varve bu site ok salam diyelim. Herhangi bir ak elde edemediimizde elimizin

altnda bulunan bir anstr. Server zerinde zayf bir site demek server iin tehlikedemektir. Mesela http://www.turkarea.com sitesi iin herhangi bir akbulamadmz farzedelim. Ama server zerinde baka bir site var ve a ok. Bua ok olan sitenin sitenin ftp sine erierek ilgili kodlar atabilirsek server kompleele geirebilir, Root veya admin(servera gre) olabilir istediimiz her eyi yapabiliriz.

Server type: Bizim iin en nemli noktalardan biri. Server tipi bizim baz aldmznokta. Mesela ilgili site iin server tipi Apache/1.3.31 (Unix). Buradan anlyoruz ki bu

server 80. porttan Apache 1.3.31 Http server altryor. Ayrca PHP/4.3.5FrontPage/5.0.2.2634a ve Mod_ssl/2.8.18 OpenSSL/0.9.7a kullanyor. BunlarDaemon dediimiz yaplardr. Daemonlar arka planda alrlar ve servern aslaktivitesini yerine getirirler. Peki bunlarn bizim iin nemi nedir?

http://www.turkarea.com/


17/26

te asl nokta burada balyor. Exploitler Server zerinde kullanlan daemon veyahttp servern bir andan ieri szabiliriz. Peki ne yapmalyz. Security sitelerinidevaml takip etmeli en son kan exploit , ve sistem gncelletirme paketlerini gzard etmemeliyiz. unu unutmamalyz ki hz bizim iin ok nemli. imdi size pek deeski olmayan bir apache exploitinin derlenmesini screenshotla beraber anlat cam.Bundan nce exploitlerle ilgili ksa bir bilgi veriyim.Exploit nedir?Bir sistemin a zerine yazlm kodlardr. erik olarak include ve define edilmideiik kod kmeleri barndrrlar(h kodlar).Bu kodlar bizim uzun uzun uramamzagerek brakmadan hzlbirekilde servera gerekli komutlar verdirerek exploitin amacn yerine getirirler.Exploitler root ve local olmak zere ikiye ayrlr.Ayrca exploitler: C exploitleri ve Perl yani pl uzantl exploitler olmak zere de yineikiye ayrlr.C exploitler unix tabannda derlenir. Perl exploitler ise dos tabannda. Tabii Active

Perl kullanarak. Perl exploitleri daha sonra yazacam bir dkmanda anlatmakistiyorum onun iin bu dkmanmda yer vermiyeceim.C exploitlerin bulunmas daha kolaydr. nk Linux ak kaynak kodlu bir dildir. Yaniherkes kendine gre Linux yazabilir. C exploitler gcc compiler ile derlenir.Bu kadar bilgiden sonra devam edelim.Ben exploiti knoppixde derledim linuxun farkl trevlerinde deiik derlenebilir.Yaptmz ilem basit gcc compilern(derleyicisini) kullanarak c kodunu compileettik yani derledik.Daha sonra da ./ komutu ile altrdk. unu unutmayn ki tm unix sistemlerde her

komut bir programdr. Linux da unix tabanl olduu iin her komut bir programaltrr.Screenshotlar:

1: Derlenimi:



18/26

2: Kullanm:

Tabii biraz ingilizceniz ve unix komut bilginiz iyi olmal yoksa exploitikullanamazsnz



19/26

Eer bu kta ilerleme kaydedebiliyorsak devam ederiz ve exploitimizin zelliinegre ya root oluruz ya da local kullanc. ayetki local user olursak local exploitlerkullanarak sistemi rootlarz. Yani root oluruz. Sonras ise bizim hayal gcmz ,server nasl kullanmak istiyorsak yle kullanrz.

Exploit derlenimi hakkda bi screen daha vermek istiyorum. Bu vbulletin eskiversiyonlarnda bulunan bir ak. Calendar.php modulnn a.

Screenshotu:

Kullanm screenshotta var.

p adresi: ip adresi bulmak artk bizim iin ocuk oyunca gibi bii olmal. Hemen

ayoruz komut satrmz Balat=>altr>cmd yazyoruz tabii bu Win Xp iin. 98iin command yazyoruz. Sonra ping yazyoruz karmza yle bi screen kyor.



20/26

Daha sonra yapmamz gereken ilem bizim isteimize kalm. stediimiz ekildeping ekebiliriz.

p nosunu da rendik. Zaten whois de yazyor.69.93.104.90http://www.turkrarea.com un ip nosudur.

Devam edelim:Name server: ite hostun asl sahibi olan site. artk servern asl sahibi mi reseller moras bizi ilgilendirmiyor.http://www.turkarea.com sitesi iin NS1.SERVER4US.NET host salayc sitedir.http://www.server4us.net e giderek server hakknda daha da ok bilgiye ulaabiliriz.

Mesela server hangi iletim sistemini kullanyor. Servermz unix tabanl bunubiliyoruz yani zerinde unix tabanl bi iletim sistemi altryor. Artk bu Linuxtrevleri olabilir. Bsd trevleri olabilir vs vs. bunlar OS'lar topicinde yazmtmbilmem ka kii bakt. Tabii hostun ana sat sitesinden renemediklerimiziprogramlar kullanarak renebiliriz.

ICANN Registrar: Domainin kaytland site. Registrar yani. Bunun nemini domainbilgilerinde anlatcam.

Eklemeden geemicem. p location ksmnda yazanlar bu servern iss si yani internetservis salaycsdr.rnekte Theplanet.com Internet Services Inc bu servern iss sidir.

http://www.server4us.net/http://www.turkarea.com/http://www.turkrarea.com/


21/26

Ayrca ip adres ksmnda yazan Arin ve Ripe veritabanlardr yani whois Serverlarnndatabaseleridir.Bu veritabanlarndan Arin Amerika zerindeki iplerin whoislerini barndrr.Ripe ise Avrupa zerindeki iplerin whois sorgularn barndrr.

imdi domain bilgilerini zetliyeim:

Registrant:TurkAreaBesiktasIstanbul34000Turkey

Registeredthrough:GoDaddy.comDomainName:TURKAREA.COM

Createdon:14-Jun-04Expireson:14-Jun-05LastUpdatedon:25-Jun-04

AdministrativeContact: [email protected],TurkBesiktasIstanbul34000Turkey

902121111111Fax--TechnicalContact: [email protected],TurkBesiktasIstanbul34000Turkey902121111111Fax--

Domainserversinlistedorder:NS1.SERVER4US.NETNS2.SERVER4US.NET

Ivr zvr bilgileri bizim iin nemli deil burada nemli olan administrative contact yanidomainin kaytl olduu mail adresi Bir de domain register edildii server. Buradadomainin register edildii server en alttakiler deil. Onlar domainin ynlendii hostundns serverBurada domain registrar server;

Registered through blmnde yazan Godaddy.com.Yani bu domain http://registrar.godaddy.com adresinden alnm.Peki yapabileceklerimiz neler:Administrative contact mailini hackleyerek domaini ele geirebiliriz. Sonras zaten

http://registrar.godaddy.com/


22/26

ok kolay domaini kendi hostumuza ynlendiririz olur biter. Zaten domain bizim oluyorbu ilemden sonra. Registrar serverda da bi ak bularak domainin stne yatabiliriz.

Devam ediyoruz bu kadar bilgi rendik. Zaten bu siteyi bi nevi hacklemi oldukdiyebiliriz. Bundan sonra yapabileceimiz ok ey var.imdi birka nemli bilgi daha aldktan sonra ilemlerimize devam edicez.Bu nemli bilgiler hostun ayrntl port taramasBunu da bata screenshotlarn verdiim Nmap program ile yapcaz

Funny kardeimin nl Linux/Fedora Core 2 iletim sisteminden kan nmap screenshotlarn verip ayrntl olarak anlatcam.Funny olm hadi yine iyisin reklamn bile yaptm ehehhe..:)

Screenler:



23/26

ite bizim yolumuzu belirleyecek olan bilgiler Ak olan ve veri iletiiminde bulunanportlar ve zerinde alan programlar elimizde

Nmap screenlerine gelirsek tekrardan:

Bu bilgileri nmap te:nmap -A -P0 www.turkarea.comkomutunu vererek aldk. tabii ayn ilemi nmap dos versiyonunda da yapabiliriz.Linuxa hevesiniz artsn diye linuxta yaptk ve screen aldk.nmap -sS eklinde bir komut veremedik nk turkarea.com sitemizde bir firewallsaptadk. Bu firewall bize baz izinleri vermedi ama biz yinede istediimiz bilgilereulatk. Sadece kernel ekirdek versiyonunu renemedik. Bu da imdilik bizim iinnemli deil. Bu aratrmamzda bir ey benim ok dikkatimi ekti. O da fingerprintedilen yani parmak izi verilen 2 port zerindeki servisin tam olarak saptanamamas.

Bunlar 110. ve 995. tcp portlar ve ikiside pop3 portu biri normal biri ssl/pop3 yanigvenli pop3. Bu portlar gnderilen pakete yanl bir cevap vermi olacaklar ki nmapbize bu ekilde bir sorgu tablosu kard.Bu arada servermzn tam olarak ne olduu da belli oldu:



24/26

Redhat/Gnu Linux i386 zerinde Apache 1.3.31 (unix) web server

Devam edelim. Batan balayarak sorguyu inceleyelim. Portlara gre anlatcam:

20/tcp closed ftp-data : bu port kapal.21/tcp open ftp PureFTPd 1.0.12 : ftp portunda alan ftp server22/tcp open ssh OpenSSH 3.5p1 (protocol 1.99) : sisteme shellden balanlabiliyor yani shell destekli host. OpenSSH shell server ve versiyonu.25/tcp open smtp Exim smtpd 4.34 : smtp mail server26/tcp closed unknown Kapal. (bilinmiyor)53/tcp open domain ISC Bind 9.2.1 : domain server80/tcp open http Apache httpd 1.3.31 : web server110/tcp open pop3 Bilinmiyor (fingerprint edilmi)113/tcp closed auth Bu port kapal.143/tcp open imap UW Imapd 2003.339-cpanel : e-posta server

443/tcp open http Apache httpd 1.3.31 : secure web server465/tcp open ssl/smtp Exim smtpd 4.34: gvenli smtp mail server873/tcp closed rsync Bu portda kapal993/tcp open ssl/imap UW Imapd 2003.339-cpanel :e-posta server ssl995/tcp open ssl/pop33306/tcp open mysql MySQL 4.0.18-standard : Mysql server ve versiyonu

Sistemde ak bir port yakalarsak ilemimiz zaten bitmi olucakt.Ak bir porttan bir pc ye girmek iin cmd de

telnet ipadresi port eklinde komut vermemiz yeterli olucaktr.

Daha sonra ise telnetin bizi nereye attna ve kullanc durumumuza greilemlerimizi tamamlarz. Mesela bash shell e dersek. Hemen id mize bakp onagre hareket etmeliyiz. Root isek zaten bu port daha nceden bir hacker tarafndanalm ve hizmete sunulmutur. Ama local user isek yine local root exploitlervastasyla sistemi rootlamamz gerekecektir.

stteki port bilgilerine gre devam ediyoruz.

En can alc nokta buras bundan sonras artk aramaya kalyor

Bu portlarda alan programlardan herhangi birinde bulduumuz bir ak bizimsisteme girmemizi salyacaktr. Sisteme girmek bizim iin yeterli daha sonra rootolsak da olur. Peki nasl yapcaz? Ak olan portlardaki programlarn herhangi birininexploitini bulup derleyeceiz daha sonra ise sisteme szmaya alacaz.Bulduumuz exploitini trne gre ya root oluruz ya da local kullanc. Root olursak

zaten i bitmitir. Server istediiniz gibi ynetirsiniz. Ama local bir kullanc olursakyani shell e dersek yapabileceimiz ilemler unlar:ncelikle id yazp kullanc durumumuzu reniriz. Byk ihtimalle apache yazacaktr.Daha sonra sistemdeki yetkilerimize bakarz. Neleri altrabiliyoruz? Unix komutlar



25/26

vererek bu ilemlerimizi yaparz. Mesela gcc compilern altrabiliyor muyuz,sisteme dardan dosya ykleyebiliyor muyuz bunlar bizim iin nemli. Daha dailerisi X server altrabiliyor muyuz? Hepsini deneriz srayla. ouna permissionkonduu iin yapabildiimiz maximumu deneriz. Mesela sisteme dosya ekebiliyoruzdiyelim. Gcc de alyor. O zaman uname -a yazp kernel ekirdek versiyonumuzureniriz ve buna gre local root exploit ararz. Local root exploiti bulabilirseksisteme ekerek gcc ile derleriz. Daha sonra da./derlenmiexploitad komutuyla altrp sistemde root oluruz. Bunlar dayapamyorsak.Bilgi toplamaya devam ederiz. Bizim taramalarmzda ulaamadmz bilgileresistem iinde ulaabiliriz. Ulaabileceimiz maximum bilgiye ulatktan sonra zaten ibitmi olacaktr. Buna da rnek mesela port taramalarnda gzkmeyen ak biporttur ki bunu sistem iinde rahata grebiliriz tabii root tarafndan permissionkonmamsa. Etc/passwd ve etc/shadow dizinlerine ulaabiliyor muyuz deneriz. Catkomutu verebiliyor muyuz? Byk ihtimalle permission denied yazcaktr vs vs. her

eyi deneriz. Mutlaka bir yol bulunacaktr. En nemli ey ve bizim bata yapmakistediimiz olay ilgili siteyi hackleyebiliyor muyuz? Bunu da ilgili sitenin dizinine giripdosya oluturmay deneyerek veya kendi hostumuzdan dosya ekerek yapabiliriz.rneimiz iin home dizinindeki kullanclar arasndan turkarea iine girip dosyaoluturma ve dosya ekme yetkilerine bakarz. Mesela sitenin ana dizinine index.htmlekme olanamz var m? bunu kontrol ederiz.

Root olduktan sonra yapabileceklerimiz ise bizim hayal gcmz. Serverda izimizibelli etmemeliyiz. Mesela bi rootkitle bu ii halledebiliriz.

Bir de ilerleyen safhalarda yle bi durumla kar karya kalabiliriz ki bu ikilemiamak ok zordur. Diyelim ki sistemde root yetkilerine sahip olduk. Unix komutlaryaistediimiz her eyi yapma yetkimiz var.lk bataki amacmz sadece bir siteyi hacklemekti peki imdi elimizde serverzerindeki tm siteleri hacklemek gibi bir olanak var. te bundan sonras bizimvicdanmza kalmtr. ster amacmz eda edip sistemden karz , istersek serverzerindeki tm siteleri hackleriz , ok sinirliysek de server komple datrz.

Backdoor atabiliriz, baka sitelere ddos attack dzenleyebiliriz vs vs.yapabileceimiz ok ey var. Artk gerisini siz dnn. Amma ve lakin bata dasylediim gibi sebepsiz yere site hacklemek hi iyi bir ey deildir. Bir hackernprensipleri olmal ve bunlardan taviz vermemeli bence

Dkmanm artk bitiriyorum. ok uzun oldu ama bildiiniz gibi hack zor bir ilem.Bana msn de gelip abi bana hack ret diyenlere imdi neden kzdmanlyorsunuzdur umarm. unu unutmayn ki:

El Elden stndr

Dkmanm yazmamda emei geen Alcotras ve Zimamdar arkadalarmateekkr ediyorum.



26/26

Yardmlarndan dolay da Funny kardeime thanxler ehehhee:D:D:D:D

4 gndr bu dkman yazyorum Aratrma vs. anca bitti.inallah bieyler anlamsnzdr. Takldnz noktalar ve sormak istediiniz sorularWeb hack hakknda bilmek istedikleriniz konu balnda sorabilirsiniz

Dkman dier sitelerde yaynlayabilirsiniz. Tabii altna ufak bi not ekleyip :Cash tarafndan yazlmtr yazarsanz emeim boa gitmemi olur di mi

Hepinize baarlar diler. Bol gvenlikli srfler dilerim Eyvallah

Kaynaklar:Whois sorgusu http://www.whois.sc

Nmap : http://www.insecure.org/nmapNessus: http://www.nessus.orgNmap sorgusu: http://www.funnyninfedorakor.com ( byle bi site yok ehehe)

A haritalama ,gvenlik aklar exploitler:http://www.mdkgroup.comhttp://www.olympos.orghttp://www.securityfocus.comhttp://www.securitytracker.com

http://www.packetstormsecurity.org

Ayrca localhostuma teekkr bir bor bilirim.Linux rulazzz

Nmap kullanm klavuzu: http://psycash.spymac.net/resimler/nmap.pdfNessus kullanm klavuzu: http://psycash.spymac.net/resimler/nessus.pdf

http://psycash.spymac.net/resimler/nessus.pdfhttp://psycash.spymac.net/resimler/nmap.pdfhttp://www.packetstormsecurity.org/http://www.securitytracker.com/http://www.securityfocus.com/http://www.olympos.org/http://www.mdkgroup.com/http://www.funnyninfedorakor.com/http://www.nessus.org/http://www.insecure.org/nmaphttp://www.whois.sc/

Documents

Bir Hackin Anatomisi