Sızma Testleri
ve
OWasp Zap Proxy Örneği-2
1. Bölüm
Konu: Zap Proxy-1 (Pentesting Aracı) Kurulum ve Kullanım
Dokümanlar:
Sızma Testi ve OWasp Zaproxy ile ilgili dokümanlar
-Alıntıdır-
Herkese selamlar, merhabalar.. Ben TurkHackTeam den ‘Halaskâr..
Bayram tatilinin şu son günlerini yaşadığımız bu pazar gününde sızma testleriyle ilgili olan konumu THT ailesiyle paylaşmaktan mutluluk duyuyorum. Kendinize iyi bakın, iyi çalışmalar diliyorum. Ne yazık ki bundan kaçış yok biliyorsunuz..
) Önümüzdeki haftada yarından itibaren yine çalışmaya başlayacağız arkadaşlar..) Herkesin geçmiş bayramını tekrar kutlar, geleceğin bizlere, ailelerimize, vatanımıza, milletimize sağlık, mutluluk, başarı, huzur getirmesini diliyorum..
Yani iyi bir dünya olsun diyorum. Özelde Sızma testleri, genelde de tüm yaptığım konular, harcadığım emekler de bu düşünce ve inanca faydalı olsun istiyorum..Sızma testi, sistemin güvenliğini güvene almak için düşünülmüş ve kurgulanmış bir siber taarruzdur. Testler, verilerine erişimi ve yetkisiz kişilerin sistem işlevleri de içinde olarak güvenlik açıklarını (güvenlik zaafiyetleri diye de bilinir) tarar, sistemin daha güçlü yönlerini belirler ve kapsamlı bir risk değerlendirmesi gerçekleştirir.
-Alıntıdır-
Süreç tipik olarak belirli bir hedef sistemi ve hedefi tanımlar, ardından mevcut bilgileri değerlendirir ve hedefe ulaşmak için farklı yollar arar. Sızma testinin amacı, beyaz kutu (genel ve sistem bilgilerini içeren) ya da kara kutu (sadece basit bilgileri içeren ya da kuruluş ismi haricinde hiçbir bilgi içermeyen) olabilir. Öte yandan, iki penetrasyon testinin bir kombinasyonu gri bir kutudur (dinleyiciyi konuyla ilgili sınırlı bilgi hakkında bilgilendirir). Bir sistemin saldırılara karşı savunmasızlığı, savunmasının yeterliliği veya saldırıların bu savunma yöntemlerini tehlikeye atıp atmadığına sızma testi belirlemekte yardımcı olabilir.
Sızma testi sırasında bulunan güvenlik açıkları sistem sahibine bildirilmelidir. Ayrıca, sızma testi raporları potansiyel iş etkilerini değerlendirebilir ve yine bu riskleri minimuma indirmek amacıyla karşı tedbirler önerebilir.
-Alıntıdır-
Sızma Testini, Ulusal Siber Olaylara (USOM) Müdahale Merkezi, "Bir saldırganla aynı teknik ve araçlardan yararlanarak bir bilgisayar sisteminin güvenliğini kısmen veya tamamen ihlal etmeye çalışarak bir bilgisayar sisteminin korunması" olarak tanımlar.
Sızma testinin amacı, bir saldırganın yararlanabileceği ve müşteriye sunabileceği güvenlik açıklarını belirlemek ve önerilen risk yönetimi stratejilerini belirlemek için sözleşmenin türüne bağlı olarak değişir.
Sızma testleri, güvenlik yoklamalarının bir parçasıdır. Mesela, kredi kartı endüstrisindeki güvenlik kalitesi, düzenli aralıklarla ve sistemde yapılan değişikliklerden sonra yine siteyi taramak için sızma testi gerektirir.
OWasp Zap Sızma Testi
Bugün size en yaygın web açıklarını taramak için kullanılan sızma testlerinden biri olan OWASP ZAP hakkında kısa bir bilgi vermek istiyorum. Öncelikle OWASP ZAP tek tek kelime olarak ne anlama gelir onunla başlayalım. OWASP açık web uygulama(application) güvenliği projesi anlamına gelmektedir. Web uygulamaları güvenliği ile ilgili ücretsiz olarak kullanılabilen metodolojiler, makaleler, araçlar, belgeler ve teknolojiler üreten çevrim içi bir topluluktur.
Bu topluluğun en önemli geliştirdiği araçlardan bir tanesi de ZAP olup, bu aracın temel amacı internette ağ uygulamaları(application) ile ilgili güvenlik ve ağ taraması yapmaktır. OWASP ZAP, bir açık kaynak web uygulaması güvenlik tarayıcısı olup, hem uygulama güvenliğinde yeni olanlar hem de profesyonel açık tarayıcı (penetrasyon) test uzmanları tarafından kullanılması amaçlanmıştır. Ayrıca Owasp ZAP en aktif web(ağ) uygulama güvenliği projelerinden biridir ve flagship statüsü verilmiştir.
Otomatik Tarama Zap Hud
OWASP ZAP 'ın avantajlarına bir göz atalım. Avantajlarını sıraladığımızda, ZAP çapraz platform sağlar, yani tüm işletim sistemlerinde çalışır. Tüm işletim sistemlerinin örnek olarak verebileceğimiz şey olarak Linux, Mac, Windows tüm işletim sistemlerinde çalışabiliyor. Bir kısıtlama getirmiyor. Bu anlamda diğer sızma testlerine göre daha avantajlı diyebiliriz. ZAP yeniden kullanılabiliyor. Raporlar oluşturabiliyor. Yeni başlayanlar için çok iyi bir sızma testidir. Ayrıca ücretsiz bir araçtır. Proxy sunucusu oluşturan OWasp ZAP, internet sitesinin trafiğinin sunucudan geçmesini sağlayarak çalışmaktadır. ZAP'ta otomatik tarayıcının, burada gösterdiğiniz gibi HUD Scan, Manual Explore, Learn More gibi otomatik olarak, manuel aramak istersek bu şekilde arayabiliyoruz. OWasp ZAP'ta otomatik tarayıcının kullanılması, web sitesindeki açıklığa yakalanmasına yardımcı oluyor.
-Bulunan Açıklar-
ZAP terminolojilerine baktığımızda ilk olarak oturum bizi karşılıyor. Oturum, saldırı alanını belirlemek için web sitesinde gezinmek anlamına geliyor. Bu amaçta Mozilla Firefox gibi herhangi bir tarayıcının, Proxy ayarlarını değiştirerek kullanılabilir. Ya da ZAP oturumunu sesi on olarak kaydedebilir ve yeniden kullanabiliriz. İkinci olarak bizi bağlam karşılıyor. Bağlam bir Web (ağ) uygulaması. ZAP’ta oluşturan içerik çok fazla veriden kaçınmak için belirtilere saldıracak ve geri kalanı yok sayacaktır. Üçüncü olarak bizi ZAP’ın saldırısı türleri karşılıyor. Bunlar da tarayarak farklı sahip saldırı türlerini kullanarak bir güvenlik açığı raporu oluşturabiliriz. Örnek olarak otomatik saldırı dediğimizde. Burada bize işte eksik kaynakları gösteriyor. Biz bunların tool vasıtasıyla açıklarını bulup, saldırabiliyoruz. Buradan manuel olarak da durdurabiliyoruz.
Evet, örnek yapmadan önce Owasp ZAP'ın 3 farklı modda kullanabildiğini göstermek istiyorum. Owasp ZAP'da ilk önce bunlardan bir tanesi olan otomatik tarama, manuel tarama var. Biz otomatik taramayla bir örnek yapacağız. Burada direkt taratmak istediğimiz sayfanın IP'sini alarak saldır dediğimizde direkt taratıyoruz. Şimdi bir tane bunun üzerine örnek yapalım. Şöyle benim daha önceden seçtiğim https://www.*********.com'ın ilk önce ip ismini kodladım, tarayıcıya yazdım. Sonra saldırıya başlıyoruz. Öncelikle web adresini (domain) tarayacak. Domaini tarıyor. Sayfanın yapısını anlayıp çözmeye çalışıyor. Dizisinin yapısını burada anlamaya çalışacak. Sayfaya istekler gönderecek, sayfayı gezecek daha sonra taramaya başladıktan sonra tarama devam ediyor. Görebileceğiniz gibi burada kırmızılar var işte bunlar bize yolladığı bulgular oluyor. Şimdi, taramayı 2 aşamada yapıyor. Bundan bir tanesi pasif tarama; burada bize uyarılar gösteriyor, gösterdiği gibi hala uyarılar devam ettiği için gösterecek mesela örneğin sarılar tehlikeli, kırmızılar daha tehlikeli anlamına geliyor. Bazısının üstüne tıkladığımızda, görünebileceği gibi Java Script kullanılmış. Bunun ne kadar tehlikeli olduğunu gösteriyor. Bu bulgular yani bu pasif bulgular sayfadan gelen eksiklikleri olan çerezler varsa, güvenlik çerezleri gibi veya iç ip adresi ifşası varsa bize bunu gösteriyor. Açıklamasında ne eksik olduğunu anlatıyor; bakalım devam ediyor hala, örneğin kırmızının içine tıkladığımızda bize eksikliklerini gösteriyor.
Arama devam ettikçe; Yeşil kod, tehlike arz edecek bir şey yok. Kırmızı kod ciddi açık, turuncu kod ise orta düzey açık anlamına geliyor. Mavi kod ise uyarıları gösteriyor. Şu anda tarattıkları yer kadar güvenlik açığı gösteriyor. Mesela maviye bakalım, “Bilginin açığa çıkması şüpheli…” tarzında bir uyarı gösteriyor. Gördüğünüz gibi burada çözümü de veriyor, bilgileri de veriyor, kodlarını da veriyor. Buna tıkladığımızda, burada işte, bir tanesine tıklayalım.
Burada bize gösterdiği bir çözüm olarak, düzeltmemize yardımcı olan yorumlardan bahsediyor. Burada Java Script 'ini gösteriyor. Bir diğer tarama yöntemimiz ise Aktif Tarama. Burada aktif tarama sunucu bulduğu bulguları herhangi bir bulgun üzerine geldiğimizde bu bahsettiğimiz şey aslında aktif tarama. Üzerine geldiğimizde bulgu kategorisi de ne olduğunu ve bu nereden geldiğini ve saldırı ve vektörlerini gösteriyor ve bizim tıkladığımızda buradan bir tanesi saldırıda bize şey yapıyor, çözüm de üretiyor.
Bu şekilde bir sayfayı incelediğimizde bize eksikliklerini göstererek sayfaya yardımcı olmasını sağlıyor.
Bu şekildeki bilgiler inşallah sizlere konuyu anlamak açısından daha yardımcı ve kolay olmuştur.
Konumu okuyup, videoları izlediğiniz için; ayrıca “Beğen” butonuna bastığınız için çok teşekkür ederim..
Saygı ve Sevgilerimle,
‘Halaskâr
Son düzenleme:
