Şifre Kırma Saldırıları

29 Tem 2017
104
1
8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



Hocam eline sağlık yalnız ben yapmaya kalksam bir hafta uğraşırım zira ilk site şifresini brute forse yöntemiyle 8-9. Saatte kırdım rasgele geldi daha basit yöntem şimdilik yok galiba

8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



Bu arada eline sağlık
 

ERHAN_40

Yeni üye
29 Ağu 2021
6
1
16
8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



Tek kelime ile mükemmel
 

MartinX

Üye
5 Eyl 2019
68
42
Linux
8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



Yeni başlayan arkadaşlar için çok iyi olmuş hocam elinize emeğinize sağlık.
 

Phoenix.py

Katılımcı Üye
9 Tem 2021
568
292
THT
8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



Elinize sağlık hocam :)
 

QuietMan

Yeni üye
19 Ocak 2021
21
0
JİTEM
Resimlerde Kullandığınız İşletim Sistemi Ve Sürümü Nedir Acaba ?
Veya Bilen Biri Söyleyebilirmi
 

METE TAHA

Üye
15 Nis 2021
106
3
8BfzfS111434df5fdd155e.md.png

İyi günler dilerim Türk Hack Team ailesi.
Bugün şifre kırma tekniklerini inceliyeceğiz.
PASSWORD-ft-IMAGE.png


Konun içerişinde bulunan içerikler.
KhJDZS.gif

Salt Nedir?

Hash nedir?
Kişiye özgün wordlist oluşturma?

Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess
Attacks
04icnRhhekgNDXYDTcWvVmy-5.1569485259.fit_lim.size_1600x900.jpg

Salt nedir? Hash nedir?
KhJDZS.gif


Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.

Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.

Kişiye özgü wordlist oluşturma.
KhJDZS.gif

Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.

Simdi ise CUPP nasıl kullanılır onu öğrenelim.

İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
9e3w16s.png


Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.

Bash:
cd cupp
52xebw1.png

Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
4tyudby.png


Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.

ox2kib6.png

Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i


d5x3n3o.png

Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.


Brute-Force Attack
KhJDZS.gif

Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.

brute-force.png


Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.

Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.


lbybumc.png


Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.


r7r8xck.png


Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.

İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.

Bash:
git clone https://github.com/dhasirar/instax.git



Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.

hu5q8q7.png

Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.

Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.




q83zonb.png

Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
Screenshot_2021-09-03_22-04-18.png

İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.

Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.

Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.


Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
1*TPqWZjTz0DNWpyS0qR82TQ.jpeg

Dictionary Attack
KhJDZS.gif

Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.

KhJDZS.gif

Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
phishing-oltalama.png

Phishing Attack
KhJDZS.gif

Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.

Simdi ise örnek bir phishing mail'ine bakalım.
netflix1-768x709.png

İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.

KhJDZS.gif

İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.

Bash:
git clone https://github.com/xHak9x/SocialPhish.git


Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey
socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.

Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.

Bash:
./socialphish.sh





Screenshot_2021-09-04_04-53-00.png

Buradan İnstagram için bir link kullanmak istediğimden 1'inciyi seçiyorum. Ardından 02 diyerek ngrok'u seçiyorum.
Screenshot_2021-09-04_04-55-43.png

Gördüğünüz üzere bize link'i vermekte. Bu link'i kurbanlara atarak onları oltalamaya çalışabillirsiniz.

What-is-social-engineering.webp


Sosyal Mühendislik

KhJDZS.gif

Sosyal mühendislik, en tehlikeli ve siber alemdeki güvenliğinizi en çok tehtid eden tekniklerden birisidir. Yazılımlar gelişmiş alt yapılar yerine insanların zaafiyetlerini kötüye kullanmaktır. Saldırganın istediği şekilde davranmanızı sağlayan psikolojik bir saldırı türüdür. İnsanların geneli dolandırılıp kandırılacağına ihtimal vermez. Bu düşüncenin farkında olan bir saldırgan hedefine sezdirmeden onun güvenini kazanır. Yani olayın teknik bir kısmı yoktur. Tamamen kişinin rol yapmaşına göre değisiklik gösterir. Yani burada bu tekniği nasıl kullanıcağınızı göstermiyeceğim çünkü bunun belirli bir tekniği yok.


KhJDZS.gif

Sosyal mühendisliği 4 aşamaya bölebilliriz. Bunlardan ilk'i pasif durumda olduğunuz bilgi toplama aşaması. Bu aşama genelikle en sıkıcı zamanların geçtiği sadece hedef kisiyi izleyip hakkında bilgi sahibi olduğunuz aşamadır. Bilgi toplama aşamasından sonra diğer bir aşama ise hedef kişi ile iletişim kurmaya denebillinir. İletişim kurduktan sonra genelikle hedef kişinin yeterince güvenini kazandıktan sonra yapılır. Sosyal mühendislik ile kişi'nin bilgilerini almak. Örnek olarak konuşurken kanka senin numaran neydi ekliyim demek gibi. Bu aşamadan sonra gerekli bilgileri elde etikten sonra kapanışa geçmenize denir. Hedef kişi fark etmeden yavas yavas iletişimi kesmeye denmektedir. Dediğim gibi bu yöntem sanal alemin en etkili yöntemlerinden birisidir.



r9ykqlz.png



Guess
KhJDZS.gif

Bu saldırı türü karşı tarafın şifresini tahmin etmeye yöneliktir. Çoğu zaman başarısızlıkla sonuçlanır. Fakat iyi bir sosyal mühendislik ile yeterince bilgi toplıyabillirseniz bu saldırı tehlikeli bir hale bürünebillinir. Örnek olması adın'a benim basımdan geçmiş bir olayı size anlatmak isterim.

Eski bir arkadaşımla oyun oynarken onun hesabına girmek istedim ve bana şifresini atmıştı. Şifresi ise klasik eski moda bir şifre örnek olarak mehmet124567890 tabi ismi mehmet değildi. Hevesimi aldıktan sonra hesaptan çıktım. Fakat 1-2 gün içerisinde oynadığımız oyuzdan dolayı aramızda tartisma çıktı ve birbirimizle olan iletişimimizi kestik. Ardıdan hesabına tekrardan giriş yapmayı denediğimde şifresini değistirdiğini gördüm. Sonra aklıma niyese çok sevdiği abisinin ismi geldi. İsmi Mirac'idi şifreyi mehmet124567890 yerine mirac124567890 seklinde yazdım. Ve
hesaba giriş yapabildiğimi gördüm.

Yukarıdaki anlatığım olay gibi eğer karşı taraf hakkında yeterli bilgi birikimine sahip iseniz bu saldırı çok tehlikeli bir hal almaktadır. Yani bu yöntemi sosyal mühendislikle birleştirmenizi öneririm.


KhJDZS.gif

Konumu bu kısma kadar okuduysanız teşekür ederim.
İyi günler dilerim sağlıcakla kalın.

jyo2qm.png



ÇOK GÜZEL OLMUŞ ELİNE SAĞLIK :)
BENCE EN SAĞLAMI BRUTE FORCE
 
Üst

Turkhackteam.org internet sitesi 5651 sayılı kanun’un 2. maddesinin 1. fıkrasının m) bendi ile aynı kanunun 5. maddesi kapsamında "Yer Sağlayıcı" konumundadır. İçerikler ön onay olmaksızın tamamen kullanıcılar tarafından oluşturulmaktadır. Turkhackteam.org; Yer sağlayıcı olarak, kullanıcılar tarafından oluşturulan içeriği ya da hukuka aykırı paylaşımı kontrol etmekle ya da araştırmakla yükümlü değildir. Türkhackteam saldırı timleri Türk sitelerine hiçbir zararlı faaliyette bulunmaz. Türkhackteam üyelerinin yaptığı bireysel hack faaliyetlerinden Türkhackteam sorumlu değildir. Sitelerinize Türkhackteam ismi kullanılarak hack faaliyetinde bulunulursa, site-sunucu erişim loglarından bu faaliyeti gerçekleştiren ip adresini tespit edip diğer kanıtlarla birlikte savcılığa suç duyurusunda bulununuz.