«bir pentest gördüm sanki» Test sırasında olanlar ve olması gerekenler hakkında...
Kimdir? Can Deger : can.deger@gmail.com TwiBer: @candeger Blog: www.candeger.net Netaş da «Gelişmiş Güvenlik Hizmetleri Danışmanı» (Pentester yani ;)) 10+ yıllık sektörel tecrübe... Birçok üniversite ve özel seminerlerde sunum...
Günümüzde pentest beklentsi... Araç çalışvr Zafiyet bul Sızmayı dene Raporla
Peki.. Olması gereken? Bilgi Toplama Araş+rma Faliyetleri Tarama Faliyetleri Bulunan zafiyetlerden sızma Sızma sonrası adımlar Raporlama
Bilgi toplama... Sosyal Medya? Sosyal medya APT ler için müthiş bir kaynak... LinkedIN i sadece kullanarak; o Firma yapısı o Organizasyon bilgisi o Departman ilişkileri o Kişisel bilgilere... Vb ulaşmak mümkün Bir kişi veya grup için sosyal medyadan bir «wordlist» oluşturmak birkaç komut ile basit bir bash script ile gerçekleşebiliyor. Profil sayfalarını download ebkten sonra boşluk ve <> gibi karakterleri bash ve grep ile temizleyerek wordlist e sahip olabiliyoruz.
Dışarıdan zor, peki içeriden? Dışarıdan erişimin çok iyi denetlendiği bir yapıda, Gerekli tüm kontrollerin yerinde olduğu bir ortamda, ToplanV odasındaki network e bağlı bir cihaz... 3G üzerinden SSH erişimi... Kendiniz yapabilirsiniz ; o o o ATOM işlemcili minipc yada Rasberry PI, ancak PI 3G dongle için ekstra güç kaynağı istyor... KALI Linux ve bir kaç ufak programcık ile iş tamamdır. VINN larda ssh için özel firmware gerekli... VODEM ve JET lerde buna gerek yok.
Zor durumlarda? İçeriden dışarıya erişmek coğu zaman daha kolaydır. SSH açamıyorsak? O zamanda teamviewer akla gelebilir... Bir enerji cihazı üretmi yapan müşteride dışarıya erişim tamamen denetlenen bir guest networkünde TV çalışmışvr. Haliyle hayat kurtarmışvr...
İç ağda neler karşımıza çıkar? Password dosyaları... Paylaşımlardaki DB info dosyaları... SSH sertfikaları... Admin Paneller... o Mesela bir keresinde interneben edinilmiş bir admin panel ile karşılaşvk, yazarını ve adını bulduk, akabinde ufak bir araşvrma ile adamın bu kodu başka bir forumda yardım istemek amacıyla yayınladığını gördük, ordaki kod içerisinden SQLi yapabileceğimiz formları bulup ona göre burpladık J
İlginç bir tespit.. DNS ve Zone transfer Özellikle iç taramalarda çok zaman kazandırır... Hedefleri net şekilde ortaya koyar... Bir finans kuruluşunda dışarıdan bu bilgiyi elde etmiş olmamız oldukça sorun çıkarmışv J Tüm firewall ve Anomality detecton mimarileri elden geçt. Ayrıca bu durum DDoS lar içinde oldukça elverişli oluyor, eğer kapsamda bu da var ise kesinlikle büyük vakit kazandırıyor.
İlginç bir tespit... kameralar ATM, Güvenlik kameraları, Kamu takip ve denetm sistemleri.. Gibi görüntüleme cihazlarının tamamı IP kullanıyor. Bu sistemlerin bulunduğu networkler genelde merkezden yönetliyor ve merkez networkünde de bir ayrım söz konusu değil Yani kameranın kablosunu söküp laptop ına takan saldırgan, merkezdeki ağ a kadar ulaşabiliyor... Bunu en son Dubai de gerçekleştrdiğimiz bir test de gördük...
İlginç bir tespit... APNler APNler çoğu telco için önemsiz bağlanv türleri Müşteri içinde... Ama aynı network e erişiyorlar ;) Doğal olarak APN e girildiğinde VPN e girmiş olunuyor. Bu genellikle RADIUS ile engellenmeye çalışılıyor.. Peki RADIUS ne kadar güvenli? Arkada çalışan SQL connecton modulu? Yada DB ye yazan uygulama?
İlginç bir başka tespit... Vlanler... Vlan lerin esas amacı «broadcast domain» lerini ayırmak... Peki güvenlimi? o REF; hbp://rikfarrow.com/network/net0103.html Güvenliyse «Vlan Hopping» nedir? o REF; hbp://en.wikipedia.org/wiki/vlan_hopping Üniversiteler, çok clientlı ortamlar, Halen vlanlere güvenmektedirler...
Raporlama İyi bir pentest den beklenmesi gereken saldırı vektörlerinden söz ebk... Mükemmellik detaylarda saklı fakat, Herkesin çok vakt olmayabilir... Mümkün olan her açıdan özet, detay açıklama ve POC verisi raporda kullanılmalı Dikkat çekilecek her konu özellikle belirtlmeli Ve rapor öncesi pentester, her hareketni mutlaka loglamalı...
Sorular? Teşekkürler... Can Deger : can.deger@gmail.com TwiBer: @candeger Blog: www.candeger.net