İPUCU

Web & Server Güvenliği Doğru web ve veritabanı sunucusu güvenliği sağlanmadan, bilgisayar korsanları hassas verilerinize erişebilir. Web, Sunucu ve veritabanı güvenliğini nasıl sağlayacağınızı buradan öğrenebilirsiniz.

Seçenekler

commander PL

11-11-2011 17:18
#1
combat1 - ait Kullanıcı Resmi (Avatar)
Üye
Üyelik tarihi:
11/2011
Mesajlar:
8
Teşekkür (Etti):
1
Teşekkür (Aldı):
2
Konular:
6
Ticaret:
(0) %
Şimdi web hacking olayı Hack olayının en akıl isteyen kısmıdır. Şimdiden söylüyorum aranızda bu işlerden anlamayan veya kafası bu tarz işlere basmayanlar varsa bu yazıyı okuyupta vaktini boşa harcamasın. Bu işlerde yeteniği olan kişiler yanlızca web hacking yapabilir. Gerisi avcunu yalar.

Olaya giriyorum. Şimdi en önce olayı mantık ve felsefe sınırlarına oturtalım. Bu benim kendi felsefem. Felsefem ise şu: Bir sistemin nasıl çalıştığını bilmeden, o sistemi kıramazsın! Bunu bir diğer anlamda açıklarsak bir sistemin arkasını görmeden onu önden çökertemezsin.

Peki ne bu? mesela senin bir web siten yok! Ama web hacking yapmak istiyorsun mümkün mü? Hayır değil! Nasıl işlediğini bilmediğin birşeye zarar veremezsin.

Peki yöntemler neler. Herkezin yapacağı basit yöntemler var başta. Mesela Brute Force, Dict Attack falan. Bunları yapmak için nerdeyse web bilmeye bile gerek yok. Sadece FTP bil yeter. Tabii bunlar Lamerlara göre şeyler, biz olayı aştığımız için fazla bilgi isteyen şeyleri yapıcaz. En önce bir sisteme girmek için açık olması gerekli ki açıktan dalalım. Nasıl açıklar olabilir bunlar, mesela bir script açığı PHF gibi. PHF kullanan sitelere şunu yazarsak bize şifrelerin bulunduğu yer gözükür /cgi-bin/phf?Qalias=x%0a/bin/cat%20/etc/passwd . Ne bu? Açık tabii ki. Çoğu site yama**ştır şimdi ama bu bir açık. Nasıl bulunur? Script yazmayı bilenler bunu bulur. Kaynak koda bakarsın, açık olduğunu işleyiş tarzından anlarsın işte YOL! Burdan şifreleri alırsın bazılar Shadowed falan olur, bazılarını kırmak gerekir falan Cracker Jack tarzı programlarla kırarsın olur biter.

Şimdi bu bir yöntemdi ama başkalarıda var hatta hayal bile edilmemişleri var bu işlerde.

Mesela diğer bir yöntem, Commander.PL. şimdi diyeceksiniz ne bu? Bu commander.pl upload edildiği UNIX makinalara CHMOD 777 ve 755 sayesinde istediğiniz komutu girmenizi sağlayan birşey. Mesela benim hostingimi ****************** sağlıyor ve site adı *********.com. Şimdi bana ayrılan subdomain olan spmaster a ben bunları upload edip çalıştırsam, ftp ile yetkimin olmadığı dosyalara ulaşır istediğimi silerim falan! Anladınız mı? Bakın ne kadar basit! Gidin bunu beleş yer veren yerlere yapın bakalım şimdi.

Diğer bir yöntem derim ama o kadar çokki. Zaten bu yazıyı okuyorsanız ya kendinizi geliştirmek istiyorsunuzdur yada bunu öğrenmek istiyorsunuzdur. Söyliyim şimdiden ikinci seçenektekiler için üzgünüm...

Şimdi benim bulduğum bir yöntem! Bunu açıkla**yacaktım çünkü sonuçta bahsediceğim şahıs benim sitemin bir ziyaretçisi. Ondan çok özür diliyorum bunu anlattığım için ama merak etmesin bu yazıyı okuyanların %99 u sana zarar verebilecek kadar bu işleri iyi bilmiyor. O yüzden sanıyorum sakıncası olmayacaktır.

Şimdi başlıyım, Panick bana jayjay diye bir dostunun olduğunu söyledi, bende baktım bize üye olmuş site kısmındada TYMSAH.COM yazıyor. Merak ettim siteye gittim. Bir baktım ki onlarda bizim formumumuz olan IKONBOARD un aynısını kullanıyor. Neyse baktım tymsah benim türkçeleştirmediği yerleri de türkçeleştirmiş forumun. Bende benim forumdan ve onun forumdan ona PM attım ve bu dosyaları istedim. Bana vereceğini söyledi, aradan vakit geçti dosyaları alamadım çünkü tymsah sanıyorum ki evinde değilmiş şehir dışındaymış.

Bende baktım olmuyor bekle bekle, Allah'a şükür bu işlerden anladığım için hemen yapmam gerekeni yaptım ve onun bana yollayacağı dosyaları kendim aldın nasıl mı?

Ben ikonboard'un dil dosyalarını falan nereye kurduğunu biliyorum. Yani tüm klasörlerin nerede ve hangi isimle olduğunu biliyorum. Çünkü bende ikonboard kullanıyorum. Bende madem öyle dedim, ve forumun dil dosyalarını indirmeye başladım yaptığım şu idi. Mesela hata mesajlarını bulunduran dil dosyasını istiyorsam Trke Bedava Forum invisionTR.com Sitenize Bedava Trke Invision Power Board forum Turkish Trke invision vbulletin ikonboard download Support Forums sitenize forum free forum Best100 Toplisti Trkce Forum bedava forum eryaman.com etimesgut.com showhaber <http://www.tymsah.com/cgi-bin/ikon3/Languages/en/ErrorWords.pm> yazmam yeterli. Dan diye ben bu dosyayı download edebiliyorum.

İşte ben böylece tüm dosyaları download ettim ve gördüm ki onun forum ile benim forum farklı versiyon olduğundan dosyalar uyuşmuyor

Herneyse ben istediğimi aldım ama iyi bir insan olarak. Peki diyelim ki ben kötü biriyim ve neler yaparım. İlk yapıcağım iş forumun DATABASE dosyasını ele geçirmek olacaktır. Bu sayede ben tüm forumdaki kullanıcılara şifrelere ve maillere ulaşabilirim. Bu kadar basit! Ha bu şifereler ENCRYPT edilmiş olacağından siz okuyamazsınız bunları. Bunu DECRYPT etmeniz gerekir. Tabii ben okurum bunları. Olay basit aklını kullanacaksın.

Kendi bilgisayarımdaki COOKİE dosyasını açarım, Forum adminin ID sini ve ENCRYPT edilmiş şifresini o databaseden alırım ve kendi COOKİE dosyama koyarım. Forumun sayfasına girince bir bakarım ki ADMİN olarak forumdayım Daha sonra admin şifresini değiştiririm. Sonrada sitenin tama**nı hack ederim. Bu da basit en önce aldığım şifre ile FTP de bir deneme yaparım. Baktım olmuyor, bu forumların File Managerları var, isteyin dosyayı Admin odasından siliyorsun değişitriyosun falan. Ona girerim ve gerisini siz düşünün artık. Bu iş bu kadar kolay!
Kullanıcı İmzası
Kara Yollarında Değil Senin Kollarında Öleyim ; )


Bookmarks


« Önceki Konu | Sonraki Konu »
Seçenekler

Yetkileriniz
Sizin Yeni Konu Acma Yetkiniz var yok
You may not post replies
Sizin eklenti yükleme yetkiniz yok
You may not edit your posts

BB code is Açık
Smileler Açık
[IMG] Kodları Açık
HTML-Kodları Kapalı
Trackbacks are Kapalı
Pingbacks are Kapalı
Refbacks are Kapalı