Android mobil uygulama güvenlik testleri

Android mobil uygulamlar bilindiği üzere bir çoğu arka tarafta http ile çalışır. Bu yüzden mobil uygulama testlerinde burp zap gibi web proxy araçları ile kendi pc-notebook sistemimiz ile araya girersek gelen giden trafik üzerinde istenildiği gibi manipulasyon işlemine tabi tutulur.

Kendi pc mizi le mobil cihaz ile sunucu tarafının arasına girmek için aşağıdaki adımlar uygulanabilir.
Öncelikle mobil android cihazimiz ve notebook'umuz aynı kablosuz networkte olmalıdır. Aynı ağdan IP almalıdırlar.

Kendi pc mize zap veya burp benzeri bir proxy kurulabiliriz. Biz ZAP kuracağız.

Zap üzerinden proxy ayarlarını aşağıdaki gibi yapıyoruz. 3.3.3.12:8080

W3af aracını proxy olarak kullanıp web güvenlik testleri gerçekleştirme

Burp Suite ve Zed Attack proxy (ZAP) gibi, w3af yazılımı da web application proxy olarak kullanılabilir. Bu şekilde kullanılan w3af yazılımı gezinti boyunca tüm URL bilgilerini indexler. Ardından topladığı tüm GET/POST talebi içeren isteklere kendi inputlarını vererek açıklık taraması gerçekleştirebilir.

W3af yazılımını proxy olarak kullanmak için; plugun menüsünden spiderMan ve webSpider eklentileri aktif edilmelidir.  SpiderMan altındaki proxy ayarları girilir.

Sızma testlerinde sqlmap kullanımı - I

Sqlmap açık kaynak kodlu sql injection açıklığı tespit ve istismar etme aracıdır. Kendisine sağlanan hedef web uygulamasının kullandığı veritabanı  sistemine gönderdiği çeşitli sorgular/komutlar ile sistem üzerindeki sql injection tipini tespit eder yine kendisine sağlanan parametrelere göre çeşitli  bilgileri  hedef veritabanından alır.

Sqlmap ile hedef hakkında elde edilebilen bazı veriler;

• Veritabanı türü ve versiyonu (--banner,--all)
• Mevcut kullanılan veritabanı ve erişilebilen tüm veritabanı isimleri (--current-db, --dbs)
• Veritabanı tabloları(tables) ve bu tablolara ait kolonları(columns) (--tables, --columns)
• Veritabanı datası(--dump, --dump-all)
• Veritabanı mevcut kullanıcısı ve tüm kullanıcılar(--current-user,--users)
• Veritabanı kullanıcı parolası (--passwords)
• Veritabanı kullanıcısının DB admin olup olmadığı bilgisi(--is-dba)
• Hedef sunucu hakkında bilgi(İşletim sistemi, Uygulamanın kullanıldığı teknoloji vs. , -f)

Local File Inclusion açıklığı istismar ederek shell alma

Bu makalede Local File Inclusion(LFI) açıklığı barındıran bir sistem üzerinde nasıl shell alınabileceği anlatılmıştır. LFI açıklığı ile genellikle hedef sistem üzerindeki yeri bilinen bazı dosyaların içeriğinin okunması şeklinde yapılan saldırılar sebebi ile çoğu web geliştiricisi tarafından önemsenmeyen basite alınan bir açıklık olarak bilinir. Oysa LFI açıklıkları da tıpkı XSS açıklıkları gibi masum görünen ama oldukça tehlikleli açıklıklardandır.

Uygulama esnasında kullanılan araçlar;

• NOWASP ( Mutillidae)
• Burp Suite
• Netcat

Local sistemimizde Burp Suite uygulamasını çalıştırdıktan sonra öntanımlı çalıştığı port 8080 olduğu için (değiştirilmediğini varsayılıp) browserinizda 127.0.0.1:8080 olarak proxy ayarlarınızı yapmanız gerekmektedir.

Öncelikle LFI(Local File Inclusion) açıklığı bulunan web sunucumuza browser aracılığı ile bir bağlantı isteği gönderiyoruz ve talebimiz hedefe gitmeden önce burp suite üzerinde Proxy/intercept altında aşağıdaki gibi görebilir değiştirebilir daha sora sunucuya gönderebilirsiniz.

Mimikatz ile Windows Sistemlerde, Hafızadan Açık Olarak Parola Çekme

Windows sistemlerde kullanıcı adı ve parolamızı girdiğimizde bunun doğrulanması için windows
üzerinde varolan lsass.exe uygulaması (C:\Windows\System32) devreye girer. LSASS(Local Security authority subsystem service) olarak bilinen bu windows uygulaması sistemlerdeki güvenlik politikasını uygulamaktan(kullanıcı oluşturma/değiştirme,kimlik doğrulama) sorumludur.

Sisteme login işleminin başarılı yada başarısız olduğuna karar vermek için kullanıcıdan aldığı verileri SAM ve LDAP dosyasındaki veriler ile karşılaştırır. Karşılaştırma sonunda sonuç doğru (true) ise kullanıcıyı sisteme dahil ederken aynı anda kullanıcıya ait parola bilgisini (NTLM hash ve şifrelenmiş parola) memory de saklar.

İlgili memory alanındaki hash verisi ele geçirilip başka bir LSASS oturumuna enjekte edilirse kimlik doğrulama aşaması atlatılarak sisteme login olunabilir. Pass the hash yazılımlarının (WCE, Psexec v.s) çalışması bu mantıkla olmaktadır. Yukarıda parantez içerisinde birde şifrelenmiş parola (hash değil) ifadesi kullanmıştık. Bu geriye döndürülebilir parola bilgisini ifade etmektedir. Hash'den farklı bir durumdur. Hash fonksiyonlarına sokulan veri geriye döndürülümez şekilde tuz değerleri ile gerçekleştirilmektedir(windows için tuz değeri kullanılmaz). Fakat şifrelenmiş parola bilgisi kolaylıkla cleartext(şifresiz) hale dönüştürülebilir.

Sızma Testlerinde Laudanum ile Antivirüs Yazılımı Atlatma

Sizma testi uzmanlari için hedef sistemlerde güvenlik açigi bulmak her zaman isin bittigi anlamina gelmemektedir. Bazen hedef sistemde çok büyük bir güvenlik açigi bulursunuz fakat açiktan faydalanip sistemi ele geçirmek istediginiz de uzak sistemdeki veya önündeki güvenlik sistemlerine(waf, ips, antivirus vs.) takilirsiniz.
 

Hedef sistemde Ms08-067 açikligi buldugumuzu farzedelim, bu herzaman uzak sistem üzerinde kolaylikla bir oturum elde edilebilecegi anlamina gelmez. Uzak sistem üzerinde kurulu olan bir antivürüs yazilimi bize çelme atmak isteyecektir. Bu engeli atlatmak için çesitli yöntemler (encoding teknikleri) denenmesi gerekebilir. Veya bir web uygulamasinda bir Sql injection açikligi buldugumuzu farzedelim bunu exploit edip sistemden shell almak her zaman çok kolay olmamaktadir bazen mümkün dahi olmamaktadir. Özetle basarili pentest çalismalari çikarmak için güvenlik sistemlerini atlatma önem arzetmektedir.

 Bu blog girdisinde antivirus ile korunan bir sunucu üzerinde kurulu olan Tomcat uygulamasindaki açikliklik kullanilarak sisteme sizmaya deginecegiz. Sistem üzerinde kurulu olan antivirus yazilimi sisteme upload etmek istedigimiz zararli fonksiyonlar barindiran .war dosyalarini engelledigi görülmüstür.

Nslookup ile DNS keşif çalışması

Sızma testleri yapılmadan önce(esnasında) hedef sistem(ler) hakkında keşif yapmak önemlidir.DNS, keşif aşamasında ve sonrasında pentester için önemli olan bir servistir.Basit olarak domain isimlerine karşılık gelen IP bilgisini  bulmak için kullanır.Reverse DNS sorgusu ile bu işlemin tersi(IP adresinden hostname) de yapılabilir.DNS üzerinden bilgi toplamak için çeşitli sorgu araçları (dig,nslookup,host) kullanılabilir. Bunlardan nslookup üzerinde duracağım.Dig ileri düzey bir araçtır.Fakat nslookup gibi windows sistemler üzerinde bulunmadığı için zaman zaman nslookup ile sorgu çekmeyi bilmek hayat kurtarır.Pentest esnasında bir windows makinanın komut satırına eriştiniz ve yerel ağdaki DNS server IP'sine ihtiyacınız olduğunu varsayın.Nslookup ile bir sorgu çekmek yeterli olacaktır.

Dahil olduğumuz networkte default kullanılmak için ayarlanan DNS adreslerini Nslookup ile bulmak için;

root@pamuksekeri-pc:/home/pamuksekeri# nslookup
> server
Default server: 192.168.5.5
Address: 192.168.5.5#53
Default server: 192.168.5.6
Address: 192.168.5.6#53
Default server: 8.8.8.8
Address: 8.8.8.8#53
> 

Arachni ile web uygulamalarına yönelik sızma testleri

Arachni, açık kaynak kodlu olarak geliştirilen oldukça başarılı bir web güvenliği zaafiyet tarama yazılımıdır. Bu blog girdisinde genel hatlarıyla Arachni yazılımının kurulumu ve güvenlik testlerinde kullanımına değinilecektir.

Arachni Kurulumu:

root@bt:~# wget http://downloads.arachni-scanner.com/arachni-0.4.1.2-linux-i386.tar.gz
--2012-11-17 18:08:43--  http://downloads.arachni-scanner.com/arachni-0.4.1.2-linux-i386.tar.gz
Resolving downloads.arachni-scanner.com... 74.220.200.193
Connecting to downloads.arachni-scanner.com|74.220.200.193|:80... connected.
HTTP request sent, awaiting response... 200 OK
Length: 30816506 (29M) [application/x-gzip]
Saving to: `arachni-0.4.1.2-linux-i386.tar.gz'

100%[======================================>] 30,816,506   246K/s   in 5m 8s 

2012-11-17 18:13:54 (97.7 KB/s) - `arachni-0.4.1.2-linux-i386.tar.gz' saved [30816506/30816506]

HowTo Use DroidSheep - Tutorial

Sızma Test Araçlarını SSH Tüneli Üzerinden Kullanmak

Sızma testleri yapılırken genellikle testi yaptıran firma kendisine hangi ip adresi, ip adreslerinden testler yapıldığını bilmek ister. Bazı durumlarda Firewall/IPS/WAF sistemlerden bu ip adreslerine özel erişimler tanımlanması da gerekebilir.

Eğer sızma test ekibi birden fazla kişiden oluşuyorsa tek bir ip adresinden çıkış yapabilmek için ofis çıkış ip adresi ya da internet üzerinden alınacak VPS sunucular kullanılabilir. VPS sunucunun Linux olması durumunda birden fazla kişi bu sunucuya bağlanarak sızma testlerini gerçekleştirebilir.

Sunucu üzerinden iki farklı şekilde sızma testleri gerçekleştirilebilir. Bunlardan biri VPN diğeri ise Proxy olarak kullanma.VPN kullanımında,linux sunucu üzerine VPN kurulur.Tüm sızma test uzmanları VPN'le bu sunucuya bağlanır bunun üzerinden çıkış yaparak testi gerçekleştirirler.

VPN kurulumu ve yönetimi zahmetli olduğu için diğer yöntem olan uzaktaki sunucuyu SOCKS Proxy olarak kullanma da tercih edilebilir.

Burada değinilecek olan araç, SSH üzerinden kolay VPN kurulumuna izin veren sshuttle (proxy+ssh+vpn) isimli araçtır.

Hping ile uzak sistemlerde komut çalıştırma

Bu makalemde UDP paketlerin data kısmına istenilen herhangi bir komut yerleştirerek uzak sistemlerde koşturulmasından bahsedeceğim.BGA tarafından düzenlenen CTF(Capture the flag) 2012 yarışmasında karşılaştıgım bu adım biraz zorlamıştı ama nihayetinde şöyle bir çözüm bulmuştum.Bize verilen bilgi yalnızca bir URL adresi(start.hack2net.com) ve bu adresin UDP 9999 portunun bir daemon tarafından dinlendigini ve bu porta yalnızca 5.5.5.5 IP adresinden gelen isteklerin dogrudan işletim sisteminde çalıştırıldığı şeklindeydi.

Yani sunucuda şuna benzer bir komut çalıştırılmış:
ncat -u -c /bin/bash -k -n -v --allow 5.5.5.5 -l 9999

Bu bilgi ışığında bizim bu sistemden ismi verilen(bgactf.tc) isimli trucrypte ile şifrelenmiş dosyayı alıp kırmamız istenmişti.Bu durumda UDP paketlerine istediğimiz datayı yerleştirip hedef sisteme göndermemiz gerekiyordu.Bu şekilde istenen dosyayı bulup bunu web dizinine atıp download edebilecektik.Spoof işleminin yapılmasında NAT arkasındaki sistemler sorun çıkardığı için VPS server kullanılmamız gerekti.Istenilen bir datayı istenilen bir ip ile spoof edip hedefe gönderebilmek için hping aracını kullandık.

Webshell üzerinden default RDP portunu değiştirerek firewall bypass

Bir süredir boş vakitlerimi BGA tarafından düzenlenen CTF 2012 Ethical Hacking yarışması ile geçirmekteydim.Yarışma gerçek sistemler üzerinde yapılan çeşitli hacking yöntemlerini içerisinde barındırmaktaydı.Yaklaşık 500 kişi ve 40 civarı grubun katıldığı yarışmada, Np004 grup ismi ile katıldığım yarışmada 540 puan toplayarak en yüksek puanı almış olsamda 6 adımdan oluşan yarışmada 5. adımda kaldığımdan dolayı ödüle ulaşamadım :)  Yarışmada tüm adımları tamamlayan olamadığı için sanıyorum tekrarlanacak :) Detaylı bilgi için: http://www.hack2net.com/ Puanlar: http://bit.ly/IVG2Pi

Yarışma süresince bloğ'umu her ne kadar aksatmış olsamda yarışmadan aldığım notları kısa kısa post olarak atmaya çalışacağım.Hacking süresince karşılaştığımız adımlardan birinde; nihai hedef web sunucu arkasındaki başka bir sunucu olduğu için web sunucuyu remote desktop olarak ele geçirmemiz gerekiyordu.Web uygulaması üzerinden sqli açıklığı ile sisteme sızılarak webshell ile sistem üzerinde kontrol sağlandı fakat sistemin önünde bulunan firewall incoming trafikte 80 ve 22 dışındaki portları engelliyordu.Dolayısıyla 3389 üzerinde çalışan RDP'ye erişmemiz sunucu üzerinde bu port açık olsada mümkün olmuyordu.Firewall'u bypass etmek için burada RDP TerminalService hizmeti default 3389 üzerinden 22 üzerine alındı.

Burpsuite proxy ile web uygulamalarına yönelik login bruteforce

Bu yazımda burpsuite proxy kullanarak bir web uygulaması üzerinde login formu varsa buraya yönelik login denemeleri nasıl yapılabileceğini göstereceğim.Bu örnek üzerinden giderken burpsuite'in çalışma mantığını ve neler yapılabileceğine de ara ara değineceğim.Burada göstereceğim örnekteki aynı mantık kullanılarak input alan farklı bölümlere yönelik de çeşitli istekler gönderilebilir.Dönen cevaplara bakarak sql injection açıklığı bulma,databasedeki kullanıcı adları ve mail adresleri enumuration veya directory enumuration gibi çalışmalar yapılabilir.
Öncelikle browser'imiz üzerinden proxy ayarlarını burp'a uygun olarak girmeliyiz.Burp default olarak localde 8080 portunu dinler.Bunun için biz de browserimizin tüm internet trafiğini bu port üzerinden taşınmasını sağlamalıyız. Veya bu portu istediğiniz başka bir port ile de güncelleyebilirsiniz.

Mozilla firefox üzerinden proxy ayarlarını aşağıdaki gibi değiştirelim.

Nmap Script Engine(NSE) kullanımı

Nmap aracını port scan amaçlı kullanabileceğimiz gibi, gelişmiş özelliklerini kullanıp pentest amaçlı da kullanabiliriz.Port tarama aracı olarak Fyodor tarafından geliştirilmeye başlanılan nmap günümüzde zaafiyet bulma ve exploit etme özellikleri ile kendisini aşmış durumda :) Hackerlar ve pentestçilerin olmazsa olmaz araçlarından biridir.Bu yazımda nmap'in NSE(nmap script engine) özelliği üzerinde duracağım ve canlı bir örnek ile konuyu ele alacağım.

Ubuntu sistem üzerinde /usr/local/share/nmap/ yolunda nmap dosyalarına erişebilirsiniz:


root@pamuksekeri-pc:/usr/local/share/nmap# ls -lh
total 5.5M
-rw-r--r--  1 root root  10K 2012-01-08 19:02 nmap.dtd
-rw-r--r--  1 root root 386K 2012-01-08 19:02 nmap-mac-prefixes
-rw-r--r--  1 root root 3.1M 2012-01-08 19:02 nmap-os-db
-rw-r--r--  1 root root 9.8K 2012-01-08 19:02 nmap-payloads
-rw-r--r--  1 root root 6.2K 2012-01-08 19:02 nmap-protocols
-rw-r--r--  1 root root  49K 2012-01-08 19:02 nmap-rpc
-rw-r--r--  1 root root 1.3M 2012-01-08 19:02 nmap-service-probes
-rw-r--r--  1 root root 608K 2012-01-08 19:02 nmap-services
-rw-r--r--  1 root root  32K 2012-01-08 19:02 nmap.xsl
drwxr-xr-x  3 root root 4.0K 2012-03-18 08:21 nselib
-rw-r--r--  1 root root  41K 2012-01-08 19:02 nse_main.lua
drwxr-xr-x  2 root root  20K 2012-03-28 15:33 scripts
-rw-r--r--  1 root root 1.4K 2012-03-29 20:45 test_nmap_results.xml

Backtrack Tool'larını Ubuntu Üzerine Kurma

Backtrack işletim sistemini sanalda kullanmak istemediğimiz gibi ana işletim sistemi olarak da kullanmak istemeyebiliriz. Bu durumda USB bellekten veya diskin bir bölümüne kurulum ile çözümler bulunabilir.Fakat eminim bir çok kimse Backtrack tool'larını Ubuntu veya debian tabanlı başka bir sistem üzerine kurup, ana işletim sistemi üzerinde backtrack tool'larını kullanmak istiyordur.Bu  yazımda Backtrack 5.1 üzerindeki güvenlik tool'larının, ubuntu 10.04 üzerine kurulumunu anlatacağım.

Öncelikle backtrack işletim sistemi üzerinde repository(depo) adreslerini kopyalayıp Ubuntu üzerine yapıştırıyoruz. Bu URL'ler her iki sistem üzerinde de /etc/apt/sources.list altında bulunmaktadır.

Backtrack üzerinden aşağıdaki 3 satırı alıyor ve ubuntu üzerine yapıştırıyoruz:

root@pamuksekeri-pc:~# cat /etc/apt/sources.list | more
# Backtrack
deb http://all.repository.backtrack-linux.org revolution main microverse non-free testing
deb http://32.repository.backtrack-linux.org revolution main microverse non-free testing
deb http://source.repository.backtrack-linux.org revolution main microverse non-free testing