- Credits
- 2,554
Bugün şifre kırma tekniklerini inceliyeceğiz.
Konun içerişinde bulunan içerikler.
Salt Nedir?
Hash nedir?
Kişiye özgün wordlist oluşturma?
Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess Attacks
Salt nedir? Hash nedir?
Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.
Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.
Kişiye özgü wordlist oluşturma.
Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.
Simdi ise CUPP nasıl kullanılır onu öğrenelim.
İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.
Bash:
cd cupp
Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.
Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i
Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.
Brute-Force Attack
Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.
Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.
Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.
Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.
Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.
İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.
Bash:
git clone https://github.com/dhasirar/instax.git
Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.
Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.
Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.
Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.
Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.
Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.
Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
Dictionary Attack
Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.
Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
Phishing Attack
Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.
Simdi ise örnek bir phishing mail'ine bakalım.
İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.
İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.
Bash:
git clone https://github.com/xHak9x/SocialPhish.git
Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.
Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.
Bash:
./socialphish.sh
Konun içerişinde bulunan içerikler.
Salt Nedir?
Hash nedir?
Kişiye özgün wordlist oluşturma?
Brute Force Attack
Dictionary Attack
Phishing
Sosyal Mühendislik
Guess Attacks
Salt nedir? Hash nedir?
Hash, girilen bir veriyi sabit uzunlukta çıktıya dönüştürmeye yarıyan algoritmanın terim anlamıdır. Bu işlemin amacı bir veriyi olabildiğince gizlemeye yöneliktir. Örnek olarak bir siteye üye olan kişilerin paroları otomatik olarak hash'lenerek dışarıdan gelen bir kişi veritaba'nına daği erişim sağlasabile şifreleri göremeyecektir.
Salt, bir parolaları hash'lemeden önce salt adı verilen rastgele bir metin parolanın başına sonuna veya ortalarına eklenerek bu parolanın hash'lenmesini sağlamaktır. Yani bir nevi bir veri'yi tuzladığınızı düşünün. Metine ekstradan karakterler ekliyerek olabildiğince okunması zor bir hale getirmektesiniz.
Kişiye özgü wordlist oluşturma.
Bir birey'e yönelik bir şifre metni çıkartıcağımızda kullanıcağımız yazılım süphesizki CUPP olmalıdır. Muhtemelen ismini bir çok yerde defalarca duymuşsunuzdur diye düşünmekteyim. Ama ben bu yazıyı okuyanların hiç CUPP adın'da bir yazılımı duymadığını farz ediyorum. Oyüzden bir bu yazılım hakkında bilgi sahip'i olalım. CUPP adlı yazılım bir kullanıcının bilgilerini kullanarak ona uygun şekilde şifreler oluşturuyor. Oldukça güçlü bir alt yapısı bulunan bu yazılımın geliştiricileri sürekli olarak yazılımı geliştirmeye devam etmekteler.
Simdi ise CUPP nasıl kullanılır onu öğrenelim.
İlk başta bu yazılımı kurmak ile başlıyalım. Bunun için Git üzerinden burdaki projeyi kopyalamamız gerekiyor.
Bash:
git clone https://github.com/Mebus/cupp.git
Evet simdi Cupp adlı projeyi bilgisayarımıza kopyaladık. Simdi ise ilk başta projenin içerisine giriyoruz.
Bash:
cd cupp
Evet ls yazdığımızda dosyanın içeriğini görebilliyoruz. İlk gördüğümüz şey ise bu programı çalıştırmak için bilgisayarımıza Python'u kurmamız gerektiğidir. Simdi python'u kurallım. Ben Arch Linux kullandığım için bunu Arch Linux üzerinden gösterebillirim. Asağıdaki kodu uçbirime giriyoruz.
Bash:
sudo pacman -S python
Python'u kurduğumuza göre simdi ise Cupp'ı çalıştıralım. Bunun için ise
Bash:
python cupp.py
şeklinde komutu uç birime girmekdeyiz.
Burada birçok parametre görmekteyiz. Bizim burada kullanıcağımız parametre -i yani interactive parametresini kullanıcağız. Bu parametreyi kullanmak için'de bu komudu uçbirime giriyoruz.
Bash:
python cupp.py -i
Bundan sonrası sizin kendi hedefinize göre değişiklik göstermektedir. Hedef kişinin bilgilerini buraya yazdığınızda onun adında bir .txt dosyası çıkartıcaktır. Cupp ile wordlist oluşturma bu kadar diyebillirim.
Brute-Force Attack
Brute-Force Attack olarak bilinen Kaba Kuvvet Saldırısı bir parolayı doğrusunu bulma amacıyla defalarca deniyerek parola bilgisini ele geçirmeye yarayan bir tekniktir. Çok eksi bir yöntem olmasına rahmen bu yöntemi kullanan veya kullanmaya çalışan bir çok hacker bulunuyor. Bir çok kullanıcı ve platform bu saldırıyı önlemek için çok fazla önlem almış olsabile bazı platformlarda suanda bile iş görmekte. Hazır olan wordlistleri kullanmak yerine yukarıda göstermiş olduğum gibi kişiye özBen örnek olmaael bir wordlist kullanırsanız bu durum daha etkili olabillir. Alınan en önemli tedbirlerden birisi 2 adımlı doğrulama oldu. 2013 yılındaki GitHub brute force saldırısında sonra insanlara 2 adımlı doğrulamalar kullanılmaşına tesvik edildi ayrıca bu konularda bilgilendirme yapıldı.
Simdi ise bir brutforce tool'nu inceliyelim ve kullanımına bakalım.
Madem yukarıda bir user üzerinden wordlist oluşturmayı gösterdik simdi ise o wordlisti nasıl kullanırsınız ona bakalım. Bir İnstagram hesabını kaba kuvvet saldırısı ile ele geçirmeye çalışıyım.
Ben örnek olması için kendime yeni bir İnstagram hesabı açtım. Kolay bir şifre koydum. Simdi ise bruteforce attack ile bu hesaba erişim sağlamaya çalışıcağım. Yukarıda gösterdiğim gibi bir wordlist oluşturuyorum.
Toplam 37 kelime oluşturdu simdi bruteforce tool'umuzu kullanarak bu şifreleri tek tek deniyelim. Tabi bundan önce İnstax adlı tool'umuzu kurmamız gerekmekte.
İlk basta Github repos'undan projeyi bilgisayarımıza kopyalıyalım.
Bash:
git clone https://github.com/dhasirar/instax.git
Ardından klasör'ün içerisine giriş yapıyoruz. İlk gördüğümüz install.sh adlı bir dosya bulunmakta. Bu dosyayı çalıştırmadan önce yetki vermemiz gerekmekte bunun içinde bu kodu uçbirime giriyorsunuz.
Bash:
chmod +x install.sh
gerekli yetkiyi verip vermediğinizi ls diyerek bakabillirsiniz. Eğer yazının rengi yesil ise yetki vermişsinniz demektir.
Gördüğünüz üzere ben gerekli yetkilendirmeyi gerçekleştirdim. Simdi ise ben oluşturduğum wordlist dosyasını bu klasör'ün içerisine atıcağım.
Bash:
move /home/user/cupp/wordlistismi.txt /home/user/instax
Yukarıdaki kodu editleyerek sizde bu işlemi gerçekleştirebillirsiniz. Ayrıca bu tool'u kurmadan önce tor ağını bilgisayarınan kurmanız gerekiyor. Arch Linux'ta bu işlem.
Bash:
sudo pacman -S tor
Şeklinde gerçekleştirebilliyorsunuz.
Simdi ise tool'u kuralım. Bunun için ise
Bash:
sudo bash install.sh
Yukarıdaki kodu uçbirime giriyoruz.
Gördüğünüz gibi gerekli bütün her şey'i kurduğumuza göre artık too'u deneme aşamasına geçebilliriz.
Bash:
bash instax.sh
Yukarıdaki kodu uçbirime giriyoruz.
İstediği bilgileri hedef hesab'a göre giriyoruz, ardından 5-10 saniye araşı bir parola deneme süresi bulunmaktadır. Ardından eğer doğru parola wordlist'in içerişinde bulunuyor ise size parolayı göstermektedir. Test etmiş olduğum hesap ise yaradığını söyliye billirim. Şifre nonantiy123'idi ve doğru bir şekilde erişim sağladı.
Peki biz bu bruteforce'dan nasıl korunabilliriz. Bunun için yöntemler nelerdir diyecek olurşanız.
Daha uzun ve tahmin edilmesi zor şifreler kullanmak.
Büyük ve küçük harf kombinasyonları kurmak.
Şifre oluştururken özel karakterlerden yararlanmak.
İki faktörlü kimlik doğrulamayı aktif hale getirmek.
Bu yöntemlerin hepsine uyarsanız bruteforce ile hesabınız'ın çalınma olaşılığı imkansıza yakın bir hal alır.
Dictionary Attack
Sözlük saldırısı, şifre ile korunmuş bir makinenin içerişine sızabilmek için kullanılan bir tekniktir. Sözlük saldırısında sözlük olarak belirlediğiniz bir dosyanın içerisindeki bütün sözcükleri tek tek dener ve doğru olanı bulmaya çalışır. Brute Force'e benzediğinden dolayı 2 başlığı alt alt'a koymayı tercih etim. Belki hatırlarsın bir zamanlar dorklar ile site bulurduk ve o siteleri bir tool yardı'mı ile belirlediğimiz kullanıcı adı ve şifrelerle hedef siteye sızmaya çalışırdık. Aslen o zaman kullandığımız yöntem Dictionary Attack yani sözlük saldırısı. Bu saldırıyı suanda test etmek baya bir zor olduğu için saha'da kullanımını maaleseft gösteremiyorum.
Çok ama çok eski bir yöntem olduğundan dolayı bu saldırıya karşı birçok önlem zaman içerisinde oluşmuştur. Bunlardan en çok kullananları geçikmeli yanıt yöntemidir. Geçikmeli yanıt yöntemi, hacker bir parolayı girdikten sonra ikinci parolayı girmesinin belirlenen süre dolana kadar önler. Böylece hacker birden fazla şifre deniyemez. Diğer ve genelikle sosyal medya platformlarında kullanılan yöntem ise hesabın kilitlenmesi. Örnek olarak 3 tane yanlış şifre girdikten sonra hesabınız otomatik olarak kitleniyor.
Phishing Attack
Phishing, sanal alemin en etkili saldırılarından birisidir, etkili olduğu kadar'da eski bir saldırıdır. Hedef kişinin e-postası'na veya telefon numarası üzerinden onu tatmin edicek şeyleri yazarak zararlı bir link gönderir. Eğer kişi kanıpta link'e tıklarsa açık hedef haline bürünür. Muhtemelen sizede bir mail gönderildi fakat size ulaşılamadan spam olduğundan dolayı siz görmediniz.
Simdi ise örnek bir phishing mail'ine bakalım.
İnterneten bulmuş olduğum bu fotorafa ilk baktığınızda size Netflix Team tarafından gönderildiğini düşünüyorsunuz. Fakat üst taraftaki e-postanın yazdığı kısma baktığımız zaman aslında bir phishing saldırısı olduğunu anlayabillirsiniz. Mail'i nasıl ayarlıyacağınız size kalmış yukarıda bir örneğini vermekteyim. Peki bu linki nasıl yaparız sıra ona geldi. SocialPhish adlı bir tool'un yardımını kullanarak bir phishing bağlantısı kurucaz.
İlk başta bilgisayarımıza projeyi kopyalıyarak baslıyoruz.
Bash:
git clone https://github.com/xHak9x/SocialPhish.git
Eğer projeyi sorunsur bir şekilde kendi bilgisayarına kopyaladıysanız projeyi klasör'ün içerisine girin
Bash:
cd SocialPhish
Klasör'ün içerisini incelediğimizde ilk gördüğümüz şey socialphish.sh adlı dosyanin gerekli yetkiye sahip olmamasıdır. Bunun için aşadaki kodu uçbirime giriyoruz.
Bash:
chmod +x socialphish.sh
Gerekli yetkiyi verip vermediğinizi ls yazıp bakabillirsiniz. Eğer dosyanın ismini yazdığı renk yesil ise doğru yetkilendirme islemini yapmışsınızdır demektir. Simdi ise projeyi çalıştıralım.
Bash:
./socialphish.sh