Çığır İlbaş

5 Dakikada Hack

30.03.2019 Tüm hakları saklıdır. Bu sayfaya referans vererek kullanabilirsiniz.

Ağ Güvenli alanında, teknoloji geliştikçe saldırganların bilgi düzeyindeki düşüş ve saldırı etkisindeki yükseliş arasında ilişki olduğu bilinir.

Yukarıdaki grafiği; Gelişen teknoloji, saldırganlara hem kendi güvenlik açıklarını hem de açıklara saldırmak için daha gelişmiş araçları sunuyor şeklinde özetleyebiliriz.

Bu yazıda bahsedeceğim yöntemle, hiçbir teknik bilgi gerekmeden Google sonuçlarında çıkan yüz binlerce web sitesinden seçilenlerin nasıl ele geçirildiğini (hacklendiğini) ve IP tabanlı kameraların nasıl izlendiğini öğreneceksiniz.

Yazının amacı elbette ki sizi suça teşvik etmek değil. Ancak İnternet’in büyük bölümünü tehdit eden güvenlik açıklarının bilinmesi ve duyulması oldukça önemli. Ülkemizde ne yazık ki bu misyonu sahiplenen bir kurum ya da kuruluş yok! Ana akım medya ve kanaat önderi kuruluşlar, gerçek tehditlere karşı önlem almak yerine daha ilgi çekici masallarla (Mavi Balina, MOMO vb.) oyalanmayı tercih ediyorlar.

Anlatacağım yöntem yeni nesil saldırı araçlarından. Yani yukarıda bahsi geçen “az bilgiyle çok zarar veren” türler arasında yer alıyor.

Hayatımızın en önemli parçalarından biri haline gelen ve faydaları saymakla bitmeyen Google, yıllardır web saldırganlarına da büyük kolaylıklar sağlamaya devam ediyor. İlk yıllarında dil desteğine hacker alfabesi olarak bilinen 1337 (LEET) alfabesini eklemesini hackerlara göz kırpma olarak yorumlayan çevreler olmuştu.

Google’da çeşitli sorguları arayarak güvenlik açığı bulunan siteleri listelemek çok kolay. Bu işleme yeraltı dünyasında ve ağ güvenliği literatüründe Google Dorking adı veriliyor. Pek çok blog ve forumda “Google Dorks” listelerine rastlamak mümkün.

Dorklar güvenlik bültenleriyle birlikte yayınlandıkları için konuya ilgi duyan çevrelerde hızla yayılıyor. Yayınlanan dorkların sayısı arttıkça tehdit menzili de genişliyor.

Ülkemizde Google Dork tehdidine karşı hiç bir yasal uyarı yapılmazken FBI, ilgili kuruluşlarla birlikte 7 Temmuz 2014 tarihinde alttaki bülteni yayınlamıştı.

Konu son derece önemli ve güncel. Ancak daha önce de belirttiğim gibi ülkemizde gereken önem verilmiyor.

Website Ele Geçirme Örneği

Google Dorking tehtidinden en çok etkilenen web siteleri içerik yönetim sistemi (CMS) dediğimiz Joomla, WordPress gibi açık kaynak kodlu sistemlerle hazırlanan siteler. Özellikle ücretsiz tema ve eklentiler kullanılarak hazırlanan siteler her dönemde ciddi tehlikelerle karşı karşıya kalıyorlar. Freelance çalışan web geliştiriciler ve KOBI’lerin “hesaplı” çözüm arayışları güvenlik risklerinin artışındaki en büyük nedenler arasında yer alıyor.

Ucuz Çözümlerde Karşılaşılan Riskler :

  1. Web site yönlendirmeleriyle (porno, bahis vb.) kişisel veya kurumsal itibarınız zedelenebilir.
  2. Website yönlenmeleri nedeniyle suç unsuru içeriklerin yayılmasına iştirak etmek ciddi yasal sorunlara neden olabilir.
  3. Web site içinde bulunan kritik bilgilerin (özellikle kişisel veriler) sızması sonucu yasal sorunlarla karşılaşabilirsiniz.
  4. Site içeriğinin kurtarılamayacak ölçüde bozulması nedeniyle yeni maliyetler gündeme gelebilir.
  5. En kötü senaryolardan biri de web sitenize eklenen kodlar yardımıyla yalnızca Google trafiğinin başka bir siteye yönlendirilmesi. Yani siteniz normal görünürken Google’dan gelen tıklamalar farklı bir siteye yönlenebilir.

Bu listeyi uzatmak mümkün. Şimdi bir örnekle Dorking işleminin nasıl yapıldığına bakalım.

Google arama motorunda popüler bir slayt eklentisinin güvenlik açığını tespit eden:

revslider.php “index of”

Google Sorgusu

Sorgusunu aratalım. Sonuç sayfasında listelenen web sitelerinin büyük çoğunluğu “Hacklenebilir” durumda. Büyük çoğunluğu diyoruz çünkü sonuçlar arasında bu tekniğin nasıl yapıldığını tarif eden blog ve forumlar ile “yamanmış” siteler de mevcut.

Sorgu sonucu çıkan siteleri tıkladığınızda üzerinde “Index of /wp-content/plugins/revslider/” yazan dosya ve klasör listeleri çıkıyorsa ilgili sitenin şifre ile korunan dosyalarına erişmişsiniz demektir. Kelimenin gerçek anlamıyla bir Backdoor (arka kapı).

Eğer kendi websitenizde bu güvenlik açığır var mı diye merak ediyorsanız. site adresi sonuna /wp-content/plugins/revslider/ satırını ekleyip açılan sayfaya bakmanız yeterli.

siteniz.com/wp-content/plugins/revslider/

Adres (URL) kontrol

Eğer sayfada “Index of /wp-content/plugins/revslider/” başlığı yoksa riskli grupta değilsiniz. Ancak bu örnek dork’un (ve ilgili exploitin) binlerce çeşidi olduğunu bilmenizde fayda var. Günümüzde özel uygulamalar kullanmadan manuel kontrollerle güvende kalmak tek kelimeyle imkansız.

Sitedeki dosya listesi görüntülendikten sonra yazılım bilgisi gerektirmeyen bir kaç adımla web sitesini dakikalar içinde ele geçirmek mümkün. Konuyla ilgili olarak Google’da çok sayıda dökuman ve video mevcut. Ancak yapılan işlemin bir bilişim suçu olduğunu ve ağır yasal yaptırımları olduğunu hatırlatmakta fayda var. Konuyla ilgili olarak 5237 sayılı Türk Ceza Kanunu’nun ilgili maddeleri:

Bilişim sistemine girme
MADDE 243

(1) Bir bilişim sisteminin bütününe veya bir kısmına, hukuka aykırı olarak giren veya orada kalmaya devam eden kimseye bir yıla kadar hapis veya adlî para cezası verilir.
Değişik fıkra: 24.03.2016 t. 6698 s. K. m.30
(2) Yukarıdaki fıkrada tanımlanan fiillerin bedeli karşılığı yararlanılabilen sistemler hakkında işlenmesi halinde, verilecek ceza yarı oranına kadar indirilir.
(3) Bu fiil nedeniyle sistemin içerdiği veriler yok olur veya değişirse, altı aydan iki yıla kadar hapis cezasına hükmolunur.
(4) Bir bilişim sisteminin kendi içinde veya bilişim sistemleri arasında gerçekleşen veri nakillerini, sisteme girmeksizin teknik araçlarla hukuka aykırı olarak izleyen kişi, bir yıldan üç yıla kadar hapis cezası ile cezalandırılır.
Ek fıkra: 24.03.2016 t. 6698 s. K. m.30

Sistemi engelleme, bozma, verileri yok etme veya değiştirme
MADDE 244

(1) Bir bilişim sisteminin işleyişini engelleyen veya bozan kişi, bir yıldan beş yıla kadar hapis cezası ile cezalandırılır.
(2) Bir bilişim sistemindeki verileri bozan, yok eden, değiştiren veya erişilmez kılan, sisteme veri yerleştiren, var olan verileri başka bir yere gönderen kişi, altı aydan üç yıla kadar hapis cezası ile cezalandırılır.
(3) Bu fiillerin bir banka veya kredi kurumuna ya da bir kamu kurum veya kuruluşuna ait bilişim sistemi üzerinde işlenmesi halinde, verilecek ceza yarı oranında artırılır.
(4) Yukarıdaki fıkralarda tanımlanan fiillerin işlenmesi suretiyle kişinin kendisinin veya başkasının yararına haksız bir çıkar sağlamasının başka bir suç oluşturmaması halinde, iki yıldan altı yıla kadar hapis ve beşbin güne kadar adlî para cezasına hükmolunur.

Google Dork aramalarıyla site ele geçirme dışında kamera görüntülerini izlemek veya akıllı ev sistemlerine, alarm sistemlerine, dosya sunucularına erişmek de mümkün.

IP Kamera WEB Kamera izleme

Şifresiz veya fabrika çıkış şifresi kullanan kameralara erişmek için marka ve model bazlı Google Dork listelerini bulmak çok kolay. Bütün kamera marka ve modelleri için dork sorguları mevcut.

IP kamera izlemek için kullanılan bir Google Dork örneği:

inurl:/view.shtml

Google Sorgusu

Sorgu sonucu listelenen siteler, erişim şifresi olmayan kameraların sayfaları.

İnternet’te bu işlemin zahmetsizce yapılmasını sağlayan web portalları da mevcut. Dorkları otomatik olarak tarayarak sorgu sonuçlarını kategorik bir şekilde yayınlayan siteler arasında en ünlüleri:

https://www.shodan.io/

http://www.insecam.org

Güvenlik açığı olan web kameraları için popüler arama siteleri.

Yukarıda bahsi geçen Türk Ceza Kanunu 243 ve 244 numaralı maddeler bu tür fiiller için de geçerli. Ancak sonuçların bir web sitesi üzerinden yayınlanıyor olması, erişim sağlayanlar için konuyu hukuki açıdan biraz karmaşıklaştırıyor. Üstelik arama işleminin siteye girmeden yapılmasını sağlayan tarayıcı eklentileri de mevcut. Hizmeti veren kuruluşların “güvenlik şirketi” olması konuyu daha da karmaşık bir boyuta taşıyor.

Teknoloji geliştikçe güvenlik – gizlilik risklerinin daha hızlı oranda artacağı gerçeğine alışmamız gerekiyor. Etkin önlem ve çözümler için ise iki yol var. Birincisi siber güvenlik konularını yakından takip edip kendimizi sürekli olarak güncellemek ve geliştirmek; ikincisi ise güvenlik süreçlerinde profesyonel danışmanlık hizmetleri alıp maliyetleri bu gereksinimlere göre ayarlamak. İki yoldan birini tercih etmeyenlerin ise daha yüksek maliyetlerle, itibar kayıplarıyla veya yasal sorunlarla karşılaşmaları an meselesi.

Çığır İLBAŞ


Bir yanıt yazın