THT DUYURU

Bilgisayar Güvenliği Bilgisayar Güvenlik Sistemleri makaleleri, virüs korumasından, güvenlik duvarlarına kadar her şeyin nasıl çalıştığı hakkında bilgilere buradan ulaşabilirsiniz.

chat
Seçenekler

Bilgisayar Güvenliği

qartal16 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
08/2009
Nereden:
Bursa
Mesajlar:
187
Konular:
41
Teşekkür (Etti):
41
Teşekkür (Aldı):
46
Ticaret:
(0) %
29-05-2010 12:04
#1
Exclamation
Bilgisayar Güvenliği
Bilgisayar Güvenliği

(Önemli not: Aşağıda anlatılan teknikler sistem yapılandırmanızla doğrudan ilişkili olduğu için ileri seviye bilgisayar kullanıcıları dışındakilere tavsiye edilmez. Çünkü anlatılanlar haricine çıkılarak yapılacak bir hata sisteminizin yapılandırmasını bozacağı için tehlikelidir.)

İnternet üzerinden iletişim artık vazgeçilmez bir olay haline gelmiştir. Gelecek yıllarda tüm bilgisayarların bu devasa ağa bağlanabileceği hesaba katılırsa insanların henüz tam olarak tanıyamadıkları internet, artıları ve eksileriyle bizleri beklemektedir. Artıları elbette tartışılamayacak kadar fazladır fakat insanların fazla bilmedikleri eksileri ise neredeyse artıları kadar fazladır. Siz bilgisayarınızın başında oturarak internetin nimetlerinden faydalanırken, başka bir kullanıcı sizin bilgisayarınıza internet üzerinden girerek tahmin dahi edemeyeceğiniz zararlar verebilir. Mesela bilgisayarınızın hard diskini formatlayabilir, En tehlikeli virüsleri size bulaştırarak sisteminizin zarar görmesine sebep olabilir. Gizli zannettiğiniz şifrelerinizi alabilirler. Bunlardan daha tehlikelisi ise sizin bilgisayarınızı ya da internet giriş şifrelerinizi kullanarak suç işleyebilir ve sorumlu olarak siz aranabilirsiniz. Mesela Bursa da bir öğrenci interpol tarafından suç işlediği için Türk yetkililerine bildirilerek yakalanmıştır. Öğrencimizin suçsuz olduğu daha sonradan anlaşılmıştır. Aslında öğrencimiz sade bir internet kullanıcısıdır ve bilgisayarını kullanan kişilerin saldırısına uğramıştır. Örneklerin sayısı her geçen gün artmaktadır.

Güvenlik konusuna geçmeden önce bilgisayarın işleyişi ile ilgili temel birkaç bilginin verilmesi gerekiyor. Ağ (Network) birden fazla bilgisayarın birbirlerine bağlanarak bilgilerin paylaşımı esasıyla çalışır. Ağ daki her bilgisayarın bir ismi vardır ve bir bilgisayardan çıkarak diğerine giden bilgi alıcı ve gönderici bilgisayar bilgilerini kullanarak yerine ulaşır. İşte bu sırada alıcı gibi davranabilen bir bilgisayar sizin bilgilerinize ulaşabilir. İnternet de aslında büyük bir ağdır. İnternational Network (uluslar arası ağ)kelimelerinin kısaltılmasıyla ortaya çıkmıştır. İnternet ortamında her bilgisayarın İP olarak isimlendirilen bir adresi vardır.

Her İP adresi ***.***.***.*** formatındadır. Örneğin superonline kullanıcısı olan bir bilgisayarın İP si 212.252.145.218 şeklinde olabilir. Kulanıcıların İP adresleri internete her bağlantı kurulduğunda değişir(Şayet statik İP tercihi yapmamış iseniz.). Fakat hangi saat ve tarihte, hangi telefon ve İP numarası ile nereye bağlanıldığı gibi bilgiler İSS(İnternet servis sağlayıcısı) tarafından dosyalandığı için yapılan bir suçun tesbitide kolaylaşmaktadır. Bilgisayarların internet üzerinde nasıl tanındığını çok basit bir şekilde anlattıktan sonra bilgisayarların internete bağlanırken nasıl çalıştığı üzerine de birkaç şey söylemek gerekir. Bilgisayarlarda bulunan veriler internete giderken veya aynı şekilde bilgiler size gelirken sanal kapılar olarak kabul edilen portlardan geçerler (Bazı bilgiler hariç). Portları bilgisayara giriş kapıları olarak ta düşünebiliriz. İşte sizin internetteki en önemli güvenlik noktanız bu portlardır. Şayet portlarınız açık ise başka bir kulanıcı bilgisayarınıza girerek, sizin bilgisayarınızda yapabileceğiniz herşeyi yapabilir. Bu noktada bilgisayarı korumanın en iyi yolunun portları kontrol etmekten geçtiği elbette anlaşılmıştır. (isteyen kullanıcılar için meselenin teknik detayını içeren dosyaları gönderebilirim). Temel bilgileri verdikten sonra bilgisayarınıza yapılabilecek saldırılar ve bunları önlemenin yolları üzerine yazıya devam edebiliriz.




TROJANLAR

Trojanlar aslında sizin bilgisayarınızın başka bir bilgisayar tarafından ağ üzerinden kontrol edilmesine yarayan programlardır. Bilgisayarınızın portlarından herhangi birisini açarak diğer kullanıcıların bilgisayarınıza girmesini sağlarlar. Server ve Client dosyalarından oluşur. Server portları açarak bilgisayarınızı hedef haline getirirken, Client ise bilgisayarınıza girilmesini sağlar. Örneğin bir kullanıcıya trojan bulaştırarak bilgisayarına girelim. İcq da hedef seçtiğimiz(vaya chat te) kurbanımıza elimizde bulunan Server programını herhangi bir şekilde gönderiyoruz. Güzel bir program kullan vazgeçemeyeceksin diyebileceğimiz gibi, içinde mükemmel bir resim arşivi var istersen bir bak diyerek te kurbanın Server programını almasını ve çalıştırmasını sağlayabiliriz. (Aslında trojanlar başka programlara entegre edilerekte karşı tarafa bulaştırılabilirler(Truva atı). Mesela kurbanımıza çok popüler İcq programını trojan ile birleştirilmiş halde verebilirsiniz. Bu durumda kurban İcq yu çalıştırdığında normalde farklı hiçbir şey fark etmeyecektir.) Kurbanımız gönderdiğimiz Server programını çalıştırınca trojanı bilgisayarına bulaştırmış olacaktır. Bu aşamadan sonra kurbanımızın İP sini alarak bilgisayarına girmek kalıyor. Bizdeki Client programını çalıştırdığımızda bizden bir İP numarası isteyecek. Oraya bulduğumuz kurbanımıza ait İP yi yazarak Connect tuşuna bastığımızda kurbanımızın bilgisayarına bağlanmış oluyoruz. Artık gerisi size kalmış, ister format atın, ister internet giriş şifrelerini çalın.(Meseleyi anlatırken teknik detaya girerek insanların dergimiz aracılığıyla bu işi öğrenmelerini istemedik. Verilen bilgiler sadece korunma amaçlıdır.) Kurbanımızda varolan trojan silinmediği sürece varlığını devam ettirecektir. Bugün benim girebildiğim bu bilgisayara yarın başka birisi girerek istediğini yapabilir. İnternet ortamında trojan yediği halde haberi olmayan bir çok insan vardır. Port Scanner diye bilinen programlarla bu insanları tesbit ederek, sahip olduğu trojana göre kullanacağımız bir Client programı sayesinde bu bilgisayarlara da girebiliriz. Port Scanner programıyla kontrol etmeniz durumunda internette 10 dakika içinde Netbus 2.0 (20034 numaralı portu kullanır.) trojanını yiyen en az 5 kişi bulabilirsiniz. Norton veya Mcaffe tarafından tanınmayan trojan sayısı çok sınırlı olduğu için bu anti virüs yazılımlarından birini yüklemeniz durumunda trojanların ekserisinden korunmuş olursunuz. (kendi bilgisayarımda denemediğim trojan kalmadı Norton 5.0 anti virüs programı trojanları yakalama konusunda harika. Fakat schoolbus isimli trojanı bulamıyor. Aşağıda bu trojanın nasıl temizleneceği anlatılıyor.) . Aslında çoğu trojan internet üzerinde sörf yaparken birisi sizin bilgisayarınıza girmediği sürece zararsızdır. İnternette iken bilgisayarınızda bir trojan olup olmadığını anlamanın çok kolay bir yolu vardır. Ayrıca bir trojan varsa bile, bilgisayarınızın içindeki bu casusun kimlere bilgisayarınızın kapılarını açtığını da öğrenebiliriz. Dos ortamında netstat -an komutunu yazarak enter tuşuna basarsanız bilgisayarınızın internet ortamındaki tüm bağlantılarını görebilir ve anormal bir durum olup olmadığını kontrol edebilirsiniz. Eskiden herbir trojanın kullandığı port numarası farklı idi. Örneğin netbus ın ilk versiyonu 12345 numaralı portu kullanırken Bo trojanı 31337 numaralı portu kullanıyordu. Şimdilerde ise her bir trojan kullanıcının(trojanı size bulaştırmak isteyen kişi) isteğine göre değişebilen portları açabiliyor. Bu nedenle trojanların kullandığı portlarda bir anormallik gözünüze çarpmasa bile bu bilgisayarınızda trojan yoktur anlamına gelmez. Peki trojanlar bilgisayarımıza nasıl bulaşırlar. Chat te veya İcq da muhabbet ederken size gönderilen herhangi bir resim(aslında çalışabilir bir program olup resim iconu yerleştirilmiştir) ve dosya trojan taşıyor olabilir. Sizin o dosyayı açmanızla birlikte bilgisayarınıza da trojan bulaşacaktır. Korunmanın en iyi yolu dosya almamak. Hatta dosyayı aldığınız kişi tanıdık bile olsa dosya almamak. Çünkü o da gönderdiği programda trojan olduğunu bilmiyor olabilir. Aşağıda bilgisayarınızın kullandığı portların numaraları vardır. Bu port numaraları haricinde bir bağlantınız var ise muhtemelen bir trojandır. Fakat İcq programı çalışıyor veya Chat te muhabbet halinde iseniz. Normal harici kullanılan portlar olacaktır. Bu portları Chat programınız veya İcq programınzı açmış olabilir. Aşağıda en çok kullanılan trojanlar ve kontrol ettikleri portlar verilmiştir. Gerisi size kalmış.

(Aşağıda trojanlara yönelik verilen bilgiler ve savunma yöntemleri server dosyasının ayarları değiştirilmediği takdirde geçerlidir. Fakat Çoğunlukla ayarlar değiştirilmeden kullanılır)

SUBSEVEN:

Adı: ratgele seçilmiş bir isim. (uyfghj.exe gibi)

Boyutu: 374 KB

Yerleştiği yer: Çalıştırıldığı dizin

Start up yöntemi: Win.ini dosyasına ekleme yaparak

En belirgin özelliği: Çok zengin kullanım seçenekleri sunması.

Özellikleri:

En yaygın trojandır. Kullanım kolaylığı ve bağlantı anında sağladığı gelişmiş özellikleriyle tercih sebebidir. Bağlanılan bilgisayarın registery ayarları, şifreleri, icq ve mail hesapları kolayca kullanılabilir. File manager ile karşı bilgisayarın dosyalarına erişebilir, key logger ile hedef bilgisayarda klavye aracılığıyla yazılan herşeyi görebilir, screen capture özelliği ile hedef bilgisayarın anlık ekran görüntüsüne mous ile müdahele edebilirsiniz. Kısacası son derece gelişmiş ve profesyonelce hazırlanmış bir remote control aracıdır subseven(daha bir çok özelliği de vardır.). Edir server ile server programı kullanıcı tarafından ayarlanabilir. Yani kullanılan port, start up metodu ve server dosyasının iconu değiştirilebilir. Bu şekilde bulunması da zorlaşmaktadır. Fakat çoğu kullanıcı subseven ı default ayarlarıyla kullanmaktadır. Aslında bu da bizim için bir avantajdır. Bu ayarlar bilindiği için bulunması da kolay olur.

Subseven sadece hedef bilgisayara zarar vermeyi amaçlayan bir trojan da değildir. Aynı zamanda bu trojanı başkalarına bağlanmak için kullanan kişinin de bilgisayarında ki özel bilgileri internetten başkalarına göndermektedir(Sisteminize bir firewall programı kurarak sadece subseven client programını çalıştırmanız durumunda 20-30 dk sonra }-xæØ gibi anlamsız isimlere sahip bir dosya aracılığıyla bilgileriniz internette ilgili kişiye gönderilir. Muhtemelen subseven ı yapan şahsa. ).Ayrıca yine client programının çok kullanımı sonrasında sistem ayarlarınız değişebilmekte, programlarınız çalışmayı durdurabilmektedir.

Default olarak(yani edit server ile değiştirilmemişse) 27374 numaralı port u kullanır. Start up metodu olarak kendini win.ini dosyasına Windows altına "run= dosya ismi" ekler. Dosya ismi rastgele seçilmiş bir isimdir. Bu satır sayesinde bilgisayarın her açılışında kendini yükleyerek 27374 numaralı port u açık hale getirerek bekler. Port ları açmak için kullanılan bu dosya c:\windows altında bulunur.


Temizlenmesi:

Öncelikle subseven ın kullandığı yardımcı server programını bulmalıyız. Biraz önce start up yöntemi olarak win.ini dosyasını kullandığını söylemiştik. Başlat tan çalıştır a gelerek win.ini yazıp enter a basın. Karşınıza win.ini dosyasının içeriği gelecek. Burada

[windows]

NullPort=None
Options=85663
device=TRIO DATAFAX,DATAFAX,WINSERVE:
run=nyuw.exe

[Desktop]
TileWallpaper=0
WallpaperStyle=0
Pattern=(None)
Wallpaper=C:\WINDOWS\WEBSHOTS.BMP
.........

gibi satırlar karşınıza çıkmış olmalı. Windows altında run=nyuw.exe trojanımızın server programının ismi. Yani bilgisayar açıldığında bu program 27374 numaralı port umuzu açıyor. Şimdi "run=nyuw.exe" satırını silelim win.ini dosyasından saklayarak çıkalım. (fakat bahsettiğimiz bu server programı her makinede farklıdır. Yani rastgele seçilmiştir. Sizin bilgisayarınızda run= dan sonra başka bir isim yazıyor olmalı.) Burada dikkat etmemiz gereken server programımızın ismi. Bu ismi bir yere kaydederek. İşlemimize devam edelim. Buraya kadar yaptıklarımızla artık bilgisayar açıldığında portlarımızı açan programın çalışmasını önlemiş olduk. Fakat server programı her açılışta çalışmasa bile hala bilgisayarımız içinde(aslında buraya kadarki işlemlerle trojandan kurtulmuş olduk. Yani artık zararsız.). Başlat tan bilgisayarı kapat ı seçin ve çıkan ekranda ms-dos kipinde başlat seçeneğini aktif yaparak tamam tuşuna basın. Bilgisayarınız ms-dos kipinde açılacak. Karşınıza

c:\windows> işareti gelecek.

c:\windows>del nyuw.exe

yukarıdaki satırı yazıp enter tuşuna basınca artık server programı bilgisayarınızdan silinmiş olacak.(tabi ki siz nyuw.exe yerine win.ini de görüp kaydettiğiniz dosya ismini yazacaksınız.)

SCHOOLBUS:

Adı: grcframe.exe(hidden olarak bulunur), runonce.exe

Boyutu: 321 KB

Yerleştiği yer: c:\windows\system

Start up yöntemi: System dizinine yerleştiği için açılışta sisteme yüklenir.

En belirgin özelliği: Önceden norton ve mcafee tarafından bulunamıyordu. Fakat bu virüs tarama programlarının yeni sürümleri schoolbus ı buluyor.

Özellikleri:

Son zamanlarda özellikle Türkiye de oldukça yaygınlaşan bir trojandır. Bir Türk tarafından yapılmış olması ve norton tarafından bulunamaması en önemli yaygınlaşma sebebidir. Bağlantı yapıldıktan sonra bir çok kullanım seçeneği sunar(fakat subseven kadar zengin seçenekleri yoktur). Bu sayede karşı tarafın şifreleri, icq hesabı, dosyaları kontrol edilebilir. Edit server programı ile server dosyası istenildiği şekilde ayarlanabilir. Kullanılan port ve server dosyasının icon u değiştirilebilir. Bu trojan bilgisayarınızın 54321 ve 4****(değişiyor sürekli) numaralı portlarını açar. Elbette bu portların açık olması için bilgisayarınızda sürekli çalışır halde bir programın mevcut olması gerekli. Bu program c:\windows\system\ dizinindeki grcframe.exe isimli programdır.

Schoolbus sadece bulaştırılmış kişiye zarar vermez. Aynı zamanda bu trojanı kötü amaçlar için kullanan kişilerin şifrelerini de trojanı yapan kişinin mail hesabına gönderir. Kısacası kullanan da bulaştırılan da zarar görür.

Ayrıca trojanımız c:\windows\system dizinindeki runonce.exe isimli bir backdoor virüsünü de bilgisayarınıza bulaştırıyor. İşte bu programların silinmesiyle trojanımız da etkisiz hale geliyor. Fakat windows ortamında bu programları silmenin imkânı olmadığı için dos ortamına geçmeliyiz.

Temizlenmesi:

Bilgisayarı kapat bölümünde Ms-dos kipinde başlat seçeneğini işaretleyerek bilgisayarı kapatın. Ekrana çıkan dos ekranında sırasıyla aşağıda söylenenleri yapın

C:\windows> cd system

C:\windows\system>attrib -h -r grcframe.exe (aradaki boşluklara dikkat ediniz)



C:\windows\system>del grcframe.exe

C:\windows\system>del runonce.exe

Trojandan bu şekilde kurtulmuş olursunuz. Sisteminizi yeniden başlatın.

PORTLARIN KONTROLÜ:

Yazımızda da belirttiğimiz gibi trojanlar açık olan portlar aracılığıyla diğer bilgisayar ile irtibat kurar. Artık neredeyse tüm yeni trojanların portlarını değiştirmek mümkün olmaktadır. Fakat trojan kullanmayı seven arkadaşlar genellikle port ve diğer ayarlarını değiştirmeden kullandıkları için default olarak trojanlar tarafından kullanılan portların bilinmesinde fayda var(en azından çok kullanılan trojanların). Peki sisteminizde tehlikeli bir port un açık olduğunu nasıl anlayabiliriz. Burada yine windows imdadımıza yetişiyor. Başlat-Programlar-MsDos komut istemi çalıştırılırsa karşımıza ms-dos ortamı çıkar. Burada

c:\windows>netstat -an

yazıp enter a basarsanız o anda bilgisayarınızın iletişim halinde olduğu bilgisayar ile arasındaki kullanılmakta olan portlar ve ip numaraları gösterilir. (Portları kontrol için totostat adında bir programı tavsiye ederim. Netstat ile aynı işlemi yapıyor. Kullanımı daha pratik. Buraya tıklayarak download edebilirsiniz.)



Yukarıdaki şekilde yerel adres sizi, yabancı adres bağlantı kurduğunuz karşı bilgisayarı gösterir. Dikkat edersek 54321 ve 31337 numaralı portlar açık görünüyor. Bunlar kesinlikle bilgisayarda trojan olduğunun göstergesidir. 54321 schoolbus 31337 BO trojanın kullandığı default portlardır. Ayrıca aktif olan iki bağlantı var. Bunlardan ikisi de bir web sayfasına bağlı olduğumuzu gösteriyor. Şayet web sayfasına bağlanırsak karşı bilgisayarın kullandığı port olarak 80 (8080 de olabilir.), mail server a bağlanarak mailleri kontrol ediyorsak 110, ftp programı ile web sitemize dosya gönderiyorsak 21, telnet ile bağlantı kurmuş isek 25 numaralı portlar yabancı bilgisayarın açık portları olarak görünür. Bunun haricindeki portlardan yapılan(yabancı bilgisayarın portları) bağlantılar tehlikeli olabilir. Fakat ve Chat ve proxy istisnası var. Chat programı karşı tarafın 6667, 7000 gibi portlarını açabilir. Eğer internete bir proxy üzerinden bağlanıyorsak bağlantı yapılan bilgisayarın portu 1080 olarak görünebilir(tabi ki proxy istisna bir durumdur. Çoğu kullanıcı normal bağlantı kurar.)

Bir portun açık olması bağlantı kurulduğu anlamına gelmez. Yukarıda görüldüğü gibi 54321 numaralı port açık fakat yabancı adreste bir bağlantı görünmüyor. Bu o anda bağlantı olmadığını gösterir. 54321 numaralı porta bir bağlantı olduğunu görmüş olsaydık. Kesinlikle birisinin bilgisayara girdiğinden bahsedebilirdik.


TROJANLARIN KULLANDIĞI PORTLAR:

Aşağıda gösterilen port numaraları server dosyasının ayarları değiştirilmediği sürece doğrudur.

TROJAN İSMİ..........................KULLANDIĞI PORT


icqtrojana...................................4950

girlfriend.....................................215 54

bo.............................................313 37

ftp99cmp....................................1492

master paradise.........................40421

fire hotker..................................5321

sockets de troje........................30303

executor....................................80

gate crasher............................6969

hackers paradise......................456

hack99 keyloger .................... 12223

netspy................................... 31339

net monitor..............................7300

subseven...........................1243-27374

invasor..................................2140

Wincrach 1.03.......................5742

Wincrach 2.0.......................2583

Silencer...............................1001

Devil...................................65000

Millenium.............................20001

Phineas.................................2801

Backdoor..............................1999

Evilftp...................................23456

Phasezero..............................555

Psyber Streaming Server...........1509

SSTROJG..............................11000

Voice Client............................1514

Netbus..............................12345-20034

Schoolbus............................. 54321
Konu qartal16 tarafından (30-05-2010 10:34 Saat 10:34 ) değiştirilmiştir.
v3nomtR - ait Kullanıcı Resmi (Avatar)
E-Mail onayı yapılmamış üye
Üyelik tarihi:
02/2010
Nereden:
İstanbul
Mesajlar:
2.781
Konular:
456
Teşekkür (Etti):
63
Teşekkür (Aldı):
462
Ticaret:
(0) %
30-05-2010 00:53
#2
bnm anlamadığım bişey var pc güvenliği başlığı altında antivirüsler çeşitli korunma tarzzları olması gerekirken neden başka konular oluyor anlamadım :S kardeş snn yazdığın konu alakalı olmuş bilgiler için saoLL
qartal16 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
08/2009
Nereden:
Bursa
Mesajlar:
187
Konular:
41
Teşekkür (Etti):
41
Teşekkür (Aldı):
46
Ticaret:
(0) %
30-05-2010 10:35
#3
Alıntı:
serqanymn´isimli üyeden Alıntı Mesajı göster
bnm anlamadığım bişey var pc güvenliği başlığı altında antivirüsler çeşitli korunma tarzzları olması gerekirken neden başka konular oluyor anlamadım :S kardeş snn yazdığın konu alakalı olmuş bilgiler için saoLL
Bişey değil kardeşim bilgiler THT ailesinin yararına

Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler