Zombie Makine Üzerinden Hedefe Yönelik Tarama ve Bilgi Toplama

Saldırganlar kurban olarak gördüğü hedefe yönelik saldırı yapmak, zarar vermek ve bilgi toplamak gibi amaçlarını yerine getirmek için bir çok yöntemi uygulamaktadır.

İlk adım olarak da hedef hakkında bilgi toplama yöntemini söyleyebiliriz. Bilgi toplama işlemini yerine getirmek için hedefe yönelik taramalar yapılır. İşte bu tarama yöntemlerinden biri olan ve en popüler olan Nmap taramasının tarama türlerinden biri de IdleScan dir.

IdleScan : Hedef makineye yönelik yapılan tarama esnasında, taramayı başlatan kaynak makinenin (saldırganın) aktif rol oynamadığı tarama türüdür. Kaynak makine "Zombie" olarak adlandırdığımız makineler üzerinden kurbana - hedef makineye yönelik tarama gerçekleştirir ve bilgi toplamaya çalışır. Yapmış olduğu tarama esnasında Wireshark gibi network sniffer araçlarıyla gözlem yapıldığında paketlerin saldırgan makineden değil Zombie makineden Hedef Makineye gittiği bilgisi gözlemlenebilir.

IdleScan Tarama Komutu:  nmap -sI [Zombie Makinenin IP si] [Hedef-Kurban Makinenin IP si]

Aşağıdaki resimlerde uygulamanın resimlerine ulaşabilirsiniz. Yapılan uygulama sanal makineler üzerinden yapılmıştır.

1.) Saldırgan ilk adım olarak kendi IP sini ve networkteki PC lerin IPsini öğrenmek için ifconfig ve nbtscan komutlarını kullanmaktadır. Uygulama tek bir pc üzerindeki sanal makineler ile yapıldığı için nbtscan  taraması yapıldı.

Saldırganın IP: 192.168.150.136
Kurban PC IP: 192.168.150.128
Zombie PC IP: 192.168.150.130

2) IP leri öğrendikten sonra IdleScan Taraması aşağıdaki şekilde başlatılır ve tarama sonucuna ulaşılır.

3) Tarama sonucunu beklerken Wireshark üzerinden yapmış olunan network sniffte taramanın Zombie makinenin IP si üzerinden Hedef Makineye yapıldığı bilgisine ulaşılabilinir.

nmap.org adresinde IdleScan taramasını aşağıdaki şekilde göstermiştir.

      the attacker(Saldırgan)

     the zombie(Zombie Makine)

     the target(hedef-kurban)

1) Hedefin portu açıksa;

2) Hedefin portu kapalı ise;

3) Hedefin portu filtreli ise;

[1] https://nmap.org/book/idlescan.html

siberhat@gmail.com

Sızma Testinde 3N(Neyi,Nereyi,Nasıl) Tarama Yapacağız?

Sızma(Penetration) Testi yapmaya yeni başlayan acemi biri değilseniz zaten bu yazının hemen hemen hepsini biliyorsunuzdur. Bu yazıda daha çok yeni başlayanlar ve bu konuda merakı olanlar için yararlı olacağını düşünüyorum.

Sızma Testinde footprinting adımlarından sonra tarama(scanning) kısmına geçilir. Taramada 2 taraf vardır: Biz ve hedef. Hedefe doğru tarama adımlarını gerçekleştirirken araya firewall-IPS-IDS gibi şeylerin çıkacağını, belki kullanacağımız adım yada araçların(tool) beklediğimiz sonuçları vermeyeceğini de görebileceğiz. Tabi böyle bir durumla karşılaşmamak için birden fazla araç ve yöntemle sağlıklı şekilde taramaları gerçekleştirmemiz gerekir.

Tarama yaparak temel şunlara ulaşmaya çalışırız:

•  Hostların durumları (up/down)
•  Port ve Servislerin durumları (open/closed/filtered/start/stopped)
•  Güvenlik açıklıklarını

Tarama yaparken baktığımız yöntemler ise; 

• Ping Sweep ile bir anlamda karşı tarafın kapısını sürekli çalışıyoruz. Gönderilen ping paketleri ile hedefe ulaşabildiğimiz kontrol ederiz. Not: Bazen hedefin çalıştığını bildiğimiz halde ping paketi gönderdiğimizde cevap alamayız. Böyle bir durumla karşılaşırsanız şaşırmayın. Sebebi ise firewall gibi cihazlarla yapılan konfigürasyon sonucu pinge kapatılmasıdır.
• Subnet Masks: Hedefin ipsinin yanında alt ağ maskelerini de bilmemiz gerekir.
• TCP:Transmission Control Protocol (Sin Rst Ack Fin Urgent Push Flagları vardır. UDP de flag yoktur.)
• 3 Way Hand Shake (3'lü el sıkışma) TCP paketleri gönderimi sırasında hedef ile gerçekleştirilen iletişim.

Tarama yaparken en sık kullanacağımız araçlardan biri Nmap diğeri ise Hping diyebiliriz.