DoS/DDoS Saldırı ve Tespit Araçları

Merhabalar,

Bir önceki yazımda Dos/DDoS, DRDoS, IP Spoofing, Botnet, Zombiler hakkında bilgiler verdim. DDos yapılmış örnekleri, DoS/DDoS hakkında yanlış bilinen bilgileri ve yapılan saldırıların anayasamızda suç sayılan kanun maddelerini aktardım. Bu yazımda ise Dos/DDoS Saldırı ve Tespit Araçları hakkında bilgiler vereceğim.

 1.) SYN Flood ve Tespiti

à İnternet üzerinde kullanılmayan IP adreslerini kullanarak birçok SYN paketi hedef makineye yollanır.

    à Hedef makine, alınan her SYN paketi için kaynak ayırır ve bir onay paketini(SYN-ACK), SYN paketinin geldiği IP adresine yollar.

      à Hedef makine, kullanılmayan IP adresinden yanıt alamayacağı için SYN-ACK paketini defalarca tekrarlar.

        à Saldırgan bu yöntemi üst üste uyguladığında hedef makine ayırdığı kaynaklardan ötürü yeni bir bağlantıyı kaldıramaz duruma gelir ve bu sebepten makineye bağlanılamaz.

*** Syn Floof nasıl anlaşılır?

Terminale " netstat -an -p " tcp komutu çalıştırıldığında ekranda çok fazla sayıda SYN_RECEIVED görülüyorsa Syn Flood saldırısı altındasınız diyebiliriz.

2. LAND Flood Saldırısı

à Saldırganlar (hacker) hedef sistemin IP adresini, source (kaynak) IP adresi olarak kullanarak networkü SYN paketleri ile istila ederler.

   à Bu durumda host bilgisayar sanki paketleri kendi kendine göndermiş gibi görünür.

       à Hem dışarıdan paket almış, hem de kaynak kendisi olduğundan kendisine cevap vermiş olur.

         à Böylece hedef sistem bir paket alması gereken birim zamanda iki paket alır ve saldırının boyutu da iki katına çıkar. 

            à Yani hedef sistem kendi kendine yanıt vermeye çalışırken sistem kullanılamaz duruma gelir.

3. Treadrop Saldırıları

à Bir bilgisayara internet üzerinden gelen paketler, bilgisayarda bölünerek aktarılır.

à Paket verilere ayrıştırılırken, pakette bulunan ofsetler kullanılır.

à Bu ofset bilgilerinin çakışmaması gerekmektedir.

à Teardrop saldırılarında, paketi gönderen saldırgan, pakete üst üste gelecek ofsetler ekler.

à Paketi alan bilgisayar, böyle bir durumu kontrol edebilecek mekanizmaya sahip değilse sistem çöker.

4. Smurf Saldırıları

à Saldırgan hedef bilgisayardan ping isteğinde bulunur.

à Ancak ping paketi, hedef makinenin IP’sinden geliyormuş gibi görünecek şekilde hazırlanmıştır.

à Bu durumda ağ üzerindeki bütün makineler, hedef makineye ping atar.  Hedef makine bu trafiği karşılayamaz ve bağlantı kesilir.

5. UDP Flood Saldırısı

à UDP taşma saldırıları, uzak erişim noktalarındaki rastgele portlara büyük UDP paketleri yollanılarak gerçekleştirilir.

à Burada en önemli nokta, paketlerin sahte IP adresleri üzerinden yollanması gerekliliğidir.

à Dolayısıyla IP Spoofing tekniğinin kullanılmasının zaruri olduğu söylenebilir.

à Örneğin, bu yöntemle taşma saldırısı gerçekleştirildiğinde önemli olan, verinin karşıya ulaşıp ulaşmadığı değil, verinin karşıya ne kadar hızlı aktarıldığıdır.

hping3 Kullanımı

Aşağıdaki örnekte 192.168.150.145 ip adresine rastgele kaynaklardan SYN paketlerinin gönderildiği komut satırı vardır.

Saldırı öncesi Windows Görev Yöneticisindeki Performans Sekmesinden CPU Kullanım grafiklerini incelediğimizde aşağıdaki gibi sonuçlar ekrandadır.

Komut satırındaki hping3 komutumuzu çalıştırdığımızda süreç aşağıdaki görüntüdeki gibi ilerlemektedir;

Çalıştırdığımız komut sonrası hedefe gerçekleşen saldırı ve aşağıdaki ekran görüntüsünde gördüğünüz gibi %82 lere ulaşan bir grafik karşımıza çıkmıştır.

HTTP Flood Araçları

•DosHTTP

•Netstress

•Ab

•Skipfish

•Jmeter

•Siege

    AB(ApacheBenchmark)

      POST Flood

•#ab –c 100 –p post.txt – T application/x-www-form-urlencoded –n 10000 –r –q websitesi

GET Flood

•#ab –c 100 –n 10000  websitesi

NetStress

Netstress Linux sistemler üzerinde çalışmaktadır ve donanıma bağlı olarak kapasitesi değişmektedir. Netstress 4 CPU’lu bir sistemde 5.000.000 SYN paketi(diğer TCP/UDP paketleri de aynı sayıda), 3,5 Gb trafik oluşturabilmektedir.

# ./netstress -d hedef_dns_ip_adresi -P 53 --attack dns -n 3 --buffer 35 --dnsqname dns.txt --dnsqtype A

# ./netstress –t randow –d 192.168.150.131 –a dns –q a –n 2 –P 53

Web Sunucularına Yönelik Saldırı

   Web Sunucularına yönelik yapılacak DDoS saldırı Testi Araçlarından birtanesi de DoSHTTP dir. Target URL kısmına hedefin ip adresini veya url adresini, User Agent kısmına sisteminde uyumlu seçeneği seçip, Socket Sayısını belirleyip, Requests (İstek) sayısını seçtikten sonra Start Flood butonuna basarak testi gerçekleştirebilirsiniz. Teste başlamadan önce hedefinizi doğru girdiğinizi tespit etmek için Verify URL butonuna basabilir ve çıkan ekrandan hedefi teyit edebilirsiniz.

Saldırı sonrası aşağıdaki ekranla karşılaşabilirsiniz veya CPU Kullanımını kontrol edebilirsiniz.

Macof Saldırıları

 Macof rastgele mac adresleriyle birlikte switche yapılan saldırıdır.

 Bu mac adresleriyle switch in CAM tablosu dolar ve yeni mac adresleri kaydedilemez.

 Bunun sonucunda switch hub gibi davranmaya başlar ve bütün paketleri bütün portlara  göndermeye başlar.

 Bizde geçen bütün trafiği izleyebiliriz.

Syntax: macof [-i interface] [-s src] [-d dst] [-e tha] [-x sport] [-y dport] [-n times]

-i   interface Specify the interface to send on.

-s   src Specify source IP address.

-d   dst Specify destination IP address.

-e   Specify target hardware address.

-x   sport Specify TCP source port.

-y   dport Specify TCP destination port.

-n   times Specify the number of packets to send.

Macof Saldırı Örneği;

THC-SSL-DOS

Thc-ssl-dos aracı client ile server arasında oluşturduğu trafik ile sunucunun ssl isteklerine cevap verebilme performansını ölçmektedir. SSL/HTTPS servera sürekli istekler gönderir ve cevap veremediği durumda ise servis dışı kalacaktır, sistem “down” gözükecektir.

Kullanımı;

thc-ssl-dos 192.168.1.1 443  - - accept

LOIC Low Orbit Ion Cannon

    

    Diğer bir saldırı test aracımız ise low orbit ion cannon dur. Programı çalıştırdığımızda hedefe ait url adresini "URL" kısmına veya hedefin ip adresini "IP" kısmına yazıp sağ taraftaki "LOCK ON" tuşuna bastığımızda hedefimize yöneldiğimizi SelectedTarget kısmında ip veya URL adresimizi görünce emin oluyoruz. Sonraki adımda hedefe test yapacağımız "Port" numarasını ve "Method" u belirleyip sağ üst köşedeki "IMMA CHARGIN MAH LAZER" butonuna basıp testimizi gerçekleştirebiliriz.

Dos/DDoS Saldırı, Test, Tespit  ve kullanılabilecek birkaç araç hakkında bilgiler vermeye çalıştım. Umarım konu hakkında faydalı bilgiler vermişimdir.

Saygılarımla



siberhat@gmail.com

Hydra Parola Kırma Aracı

Kaba Kuvvet (Brute Force) Parola Kırma yöntemlerine birden fazla örnek verebiliriz. En sık karşımıza çıkan ve kullanılan Hydra aracı hakkında bilgi vereceğim.

Hydra: Kaba kuvvet parola atakları için en iyi araçlardan biri diyebiliriz. Diğer araçlara göre daha hızlıdır.

Hydra Parametreleri:
Hydra parametrelerine terminalden "hydra -h" komutuyla hydranın parametrelerini açıklamalarıyla görebiliriz. Bu parametrelerden birkaçı aşağıdakiler gibidir.
-l: Kullanıcı adı biliniyorsa bu parametre ile birlikte kullanıcı adı yazılır.
-L: Kullanıcı adını bir dosya içerisinden tarama
-p: Parola biliniyorsa bu parametre ile birlikte parola yazılır
-P: Parolayı bir dosya içerisinden tarama
-e nsr: Boş parola olduğunda yada kullanıcı adı ile parolanın aynı olduğu durumları tarama
-V: Denenilen kombinasyonları ekrana yazdırır.
-f / -F: Kullanıcı adı ile şifre bulunduğunda işlemi durdur.
-s PORT: servis default portta değilde başka bir portta çalışıyor ise parametre ile birlikte port tanımlanır.

Hydra kullanımına örnek aşağıdaki senaryoyu verebilirim;
Kullanıcı adını ve ip adresini bildiğimiz bir hedefe elimizdeki parola dosyasındaki parolaları deneyerek ssh bağlantı bilgilerine ulaşmak istiyoruz. Öncelikle kali yi açıp terminale aşağıdakileri yazıyorum.
hydra -l  <kullanıcı adı>  -P   <parolaların olduğu dosya>   <ip adresi>   <servis>

Hydra komutlarını yazarken -V parametresini ekledim ve dosyadaki denediği parolaları ekranda gösterdi.

Hydra yapmış olduğu denemeler sonrası bulduğu parolayı ekranda gösterdi. "hacker" kullanıcı adının parolası "hacker" olarak buldu. Daha sonra bulmuş olduğumuz parolayı denemek için hedefe ssh bağlantısını denemeye çalışıyoruz.

ssh -l <kullanıcı adı>   <ip adresi>

Kullanıcı adını ve parolayı doğru girdiğimizde ssh bağlantımız başarılı şekilde gerçekleşmiştir. Bundan sonraki adımda kullanıcının yetkileri dahilinde hedefe yönelik saldırılar gerçekleştirebiliriz.

Saygılarımla

siberhat@gmail.com

Siber Güvenlik Yaklaşımlarımız

       

         Ülkemizde Siber Güvenlik Algısı Ne Durumda?

          Siber güvenlik denildiğinde konuyla pek ilgisi olmayan birinin aklına iki şey gelir. Birincisi sosyal medya  hesaplarının şifreleri (facebook,twitter,instegram vs) nasıl hacklenir, ikincisi ise korku ve endişedir. Çünkü teknolojiyi özellikle bilgisayarı çok sık kullanan birisi bilgisayarına, maillerine, sosyal medya hesaplarına sızıldığı/sızılacağı endişesi duyar. Hemen gidip kendisine o basit brute force ataklarına karşılık daha karmaşık bir şifre belirler. Webcaminin önüne bant çeker, oturum şifresi koyar daha da abartırsa fiziksel sızma korkusu ile evinin kapı kilidini bile değiştirebilir. Tabi bu örnekler gün geçtikte değişmekte ülke olarak yaşadığımız olaylar sonucu siber güvenlik alanına yönelik çalışmalar artmıştır. 

         Siber Olaylarda Ne Durumdayız?

         Son dönemde hem dünya genelindeki birçok ülkenin hemde ülkemizin kamu kurum ve kuruluşlarına yönelik siber saldırılar olmuştur. Bu saldırılar sonucu hackerlar çok gizli belgeleri, kişilerin bilgileri ve şifrelerini ele geçirdiği gibi maddi zararlar da verdi. 

Devletimiz ise bu konuda ülkemizin siber güvenliğine karşı siber ortamda ortaya çıkan tehditlerin belirlenmesi, muhtemel saldırı ve olayların etkilerini azaltılması veya ortadan kaldırılmasına yönelik önlemlerin geliştirilmesi ve belirlenen aktörlerle paylaşılması için ulusal ve uluslararası düzeyde çalışmak üzere Ulusal Siber Olaylara Müdahale Merkezi (USOM, TR-CERT) kurdu.. [1]

     USOM, ulusal ve uluslararası seviyede siber ortamda ortaya çıkan tehditler ile ilgili kendisine ulaştırılan ihbarları da değerlendirerek, söz konusu tehditlerin tespit ve bertaraf edilmesi için Kamu Kurumları ve özel kişiler ile koordinasyonunu sağlamaktadır. Bu itibarla gelen ihbar ilk aşamadan başlanarak, çözüm sürecine kadar takip edilerek değerlendirilmektedir.[1]

     Sadece devletimiz mi siber güvenlik konusunda çalışmalar yapmaktadır? Hayır tabi ki gerek sektörde gerekse  de akademik alanlarda çalışmalar yürütülmektedir. Bu çalışmaların yanı sıra insanları bilinçlendirmek, siber güvenlik alanında kendini geliştirmek isteyenleri teşvik ve eğitimler düzenlemek vb gibi konularda etkinlikler düzenlenmektedir. Bildiğim kadarıyla ülkemizde düzenli bir şekilde organize edilen bu etkinliklerin sayısı çok az. Sebeplerini araştırmak adına aklıma takılan soruları sizlerle paylaşıyorum.

•        Her sene-ay-hafta düzenli olarak gerçekleşen etkinlik, konferans, söyleşi vs. oluyor mu?

•        Yapılıyor ise ne sıklıkta yapılıyor bu etkinlikler?

•        Yeterli-tatmin edici katılım oluyor mu? 

•        Etkinliğe konuşmacı olarak davet edilen misafirlerin niteliği ne alemde? (bir kaç site hackledim - geçmişte yaptık işte bir şeyler abi - İstesem yaparım uğraşmak zor geliyor - iyi niyetli hackerım ben açığı bulur haber veririm - iyi niyetli profesyonel çalışan sızma testi uzmanıyım ....)

•        Etkinlikler faydalı oluyor mu ve öğrenilenler etkinlik sonrası unutulup kenarda mı duruyor? 

         Hem bu soruların cevapları hakkında yazmak hem de yılın geri kalan kısmında bildiğiniz gerçekleşmesi planlanan etkinlikleri paylaşmak isterseniz siberhat@gmail.com adresine mail atabilirsiniz.  Teşekkürler.

          Saygılarımla

         

[1] www.usom.gov.tr