Parola Saldırıları
Parola Nedir?
Parola,Login girişli bir sistem yada gizli tutulması gereken karmaşık söz dizimidir.
Şifre, OLuşturduğumuz parolanın bir algoritmik sistem ile komples bir format haline dönüştürülmesidir.
Hash; Bir veri grubunun sayılar yardımı ile farklı bir birim haline çevilmiş halidir. Açık metin olarak geriye dönüşü bulunmamaktadır. Hash methodu genellikle doğrulama işlemlerinde kullanılır.
Salt, Veriler hash algoritmik dizisinden geçerilirken Rainbow Table saldırılarından etkilenmesini önlemek için Başına, ortasına veyahut sonuna yerleştirilmiş olan karakter dağarcığı dizileridir.
Parola Saldırılarında Kullanılan Yöntemler
Yapılan saldırıların genel etmeni olarak İstihbaratı gösterebiliriz.
Yapmak istenilen hedef kişi yada kuruluş hakkında istihbarat toplanması gerekir. Bu istihbarat bilgileri de Siber güvenlik alanın da bildiğimiz bir alan olan Sosyal mühendisliğe girer.
Parola Saldırılarında genellikle Brute force yöntemi kullanılır.
Brute force yani kaba kuvvet saldıları nasıl yapılır diyecek olursak;
Öncelikle bir wordlist hazırlanır. Hazırlayacağınız wordlist kullanıcıdan topladığınız bilgilere göre değişiklik gösterebilir.Ardından brute force (kaba kuvvet) saldırısı için kullanılan toollar mevcut. Tool içine wordlisti upload ederek saldırıya start verilir. Ardından saldırı bu şekilde başlamış olur.
Genel olarak Saldırı türlerinden bahsetmek gerekirse;
Aktif Parola Saldırıları:
+ Brute Force (Kava Kuvvet) Saldırıları
+ Password Spraying Saldırıları
Pasif Parola Saldırıları:
+ Hash Crack Saldırıları
+ Rainbow Table Saldırıları
Wordlist Nasıl Oluşturulur?
Bir wordlist oluştururken random bir şekilde wordlist oluşturmanız mümkün.
Örneğin; 123456 , asdfasdf gibi...
Yada hedef kişi ve firmaya özel bir wordlist hazırlayabilirsiniz.
Örneğin; Yunanistan'a ait resmi sosyal medya hesabına sızmak istiyorsunuz. Şu şekilde bir wordlist oluşturmak isteyebilirsiniz; Greece123 , Greece_12 Gibi...
Bu gibi wordlistleri oluşturmak içinde Crunch isimli tool (araç) kullanıyoruz. Bu tool size kullanışlı esnek ve birden çok kombinasyona ahip bir wordlist oluşturmanıza olanak sağlar.
Farzedelim ki wordlisti oluşturdunuz;
CUPP
CUPP aracı bizlere hedef kişi için isim, soy isim, nickname, doğum tarihi gibi parametreleri alarak wordlist oluşturmamızı sağlar.
Oluşturduğumuz bu wordlisti kullanıma açık hale getirmemiz gerek. Bu işlem içinde Hydra tool (araç) kullanacağız. Bu araç sayesinde bir yada birden fazla kullanıcı için Brute force (kaba kuvvet) saldırısı düzenlenebilir.
Örnek verecek olursak hydra üzerinden saldırı yapılacak kodlar;
• hydra -l user -P passlist.txt ftp://192.168.0.1
• hydra -L userlist.txt -p defaultpw imap://192.168.0.1/PLAIN
• hydra -C defaults.txt -6 pop3s://[2001:db8::1]:143/TLS
IGEST-MD5• hydra -l admin -p password ftp://[192.168.0.0/24]/
• hydra -L logins.txt -P pws.txt -M targets.txt ssh
xHydra
Bir diğer seçeneğimiz ise xHydra. xHydra ise Hydra aracının görsel olarak geliştirilmiş grafik arayüzüdür.
Medusa
Medusa Hydra tool (araç) benzer bir brute force (kaba kuvvet) saldırı aracıdır.
Özelliklerinden bahsedecek olursak
Bir veya birden fazla kullanıcıya eş zamanlı saldırı düzenlenebilir.
Kullanılan wordlist sayesinde birden fazla protokole saldırı düzenlenebilir.
Kod yapısı;
• medusa -h 10.0.1.5 -u ”root" -P parolalistesi.txt -M http
• medusa -h 10.0.1.5 –U userlistesi.txt –p “secretpass” -M smbnt
• medusa -h 10.0.1.5 -u ”root" -P parolalistesi.txt -M ftp
• medusa -h 10.0.1.5 -u ”root" -P parolalistesi.txt -M telnet
Metasploit
Metasploit birçok saldırı için kullanılan özel bir tooldur. İçrisinde bulunan auxiliary modülleri sayesinde brute force (Kaba kuvvet) saldırılarının yapılmasını sağlar.
Sparta
Sparta basit seviyede zafiyet tarama aracı olmasıyla birlikte arayüz üzerinden bruteforce parola kırma saldırılarına izin veren kullanışlı bir tool (araç)dır.
Patator
Kali linux üzerinden yüklü olarak gelmez.
Github üzerinden manuel olarak yüklenmesi gerekir.
Github Tool: GitHub - lanjelot/patator: Patator is a multi-purpose brute-forcer, with a modular design and a flexible usage.
Burp Suite
Brup Suite genellikle XSS saldırısı için kullanılır.
İçerisinde bulunan Burp Suite Intruder aracı ile Brute force (Kaba kuvvet) saldırısı düzenlenebilir.
