~ Ali Kapucu | Network & System & Security Research Worker ~ » 2009

Archive for Temmuz, 2009

ZF05 Released

Posted on Temmuz 30, 2009, under Hacking.

aşağıdaki Liste Hacklenmiş... Gerisi verdiğim linkte 

1. Kevin Mitnick
2. 0x000000
3. Industry check
4. Dan Kaminsky
5. Hacking in gitmo
6. darkmindz
7. Robert Lemos II
8. Interlude
9. PerlMonks
10. elitehackers.info
11. Binary Revolution
12. Pwnie Awards
13. hak5
14. CF0
15. cr0.org
16. Scene check
17. blackhat-forums
http://antilimit.net/zf05.txt

Yaşıyorum!!!

Posted on Temmuz 26, 2009, under General.

Merhabalar bildiğinzi gibi uzun süredir yazamıyorum sanmayın ki Bu blog benim için bir hevesti!!

Bu aralar neler yaptığıma gelince; İstanbul’daki yaşantıma son verdim Amerika hazırlıklarım devam ediyor. Kafa dinliyorum ve Yeni hayatıma (tamamen) hazırlık yapıyorum.. Yakında Görüşmek Üzere.

Nikola Tesla Ve Gerçekler

Posted on Temmuz 10, 2009, under General.

Simdi bircogunuzun bu da kim dedigini duyar gibiyim hatta ve hatta bilimsel gelismelerle yakindan ilgili bircok kisi icin dahi ismi cok az gecen bir bilim adami Nikola Tesla… Size biraz ondan bahsetmek istiyorum. Kimdir bu adam? Ne yapmis, bilimseler calismalari neler, bir dahi mi yoksa dikkate alinmamasi gereken tarihin derinliklerinde kaybolmasi gereken bir bilim adami mi? Burada anlatmamizin asil sebebi ne, bilimsel sahsiyetinin onemi mi yoksa kiyamet senaryolarinin nasil gerceklestigini anlamamizi saglayacak kisi mi?

Tesla, 9 Haziran 1856 yilinda Arnavutlukta dogmus Sirp asilli bir bilim adami. Hayati tamamen mucadele ve bilim alanina yeni seyler katmakla gecmis. Fakat 7 Ocak 1943 yilinda patenti kendisine ait olan tam 700 bulusla tarihe gecmis olan TESLA bir otel odasinda yalniz basina bes parasiz olarak olmustur… Hatta ve hatta oldukten sonra dahi bilim alaninda yaptigi onca bulusa ragmen ne hikmetse gizli bir el tarafindan adi ve calismalari ders kitaplarindan bile silinmeye calisilmistir…

Ancak o siradan bir bilim adami degil bugun halen gunumuzde bir cok alanda hatta ve hatta kimine gore elektrik ve elektronik cagi kimine gore de uzay cagi dedikleri gunumuzde halen onun buluslarindan yararlanmakta ve hergun onun bilimsel olarak ifade ettiklerini gunumuzde “cok gizli” ibaresi altinda bir cok devlet arastirip-gelistirmekte daha dogru bir ifadeyle onun insanligin hizmeti icin kullanilmak amaciyla yaptiklarini kendi amaclari icin kullanmaktalar…

TESLA`NIN BULUSLARI

AC Akim Jenaratorleri ve Motorlari, Radyo, Florasan, Radar, MRI, Laser Teknolojisi, Robot Teknolojisi, Deprem Makinasi ve daha niceleri aslinda bu bilimi adami sayesinde gunumuzde kullanilabilmekte.

Sirp asilli olan bu dahi bilim adami aslinda bir elektrik muhendisi ve gunumuzde kullanilan AC motorlari ve akim jenaratorlerinin muciti. Tesla ilk olarak Graz Universitesi`nde fizik ve matematik uzerine calismaya baslamis daha sonra Prag Universitesi`nde felsefe egitimi almistir. Macaristan`da ve degisik Avrupa ulkelerinde elektrik muhendisi olarak calismis ancak buluslarinin anlasilmamasi uzerine 1884 yilinda Amerika Birlesik Devletlerine gelerek calismalarini burada surdurmustur… Kisa bir donem Edisonla da calisan Tesla burada kendisini hazmedemeyen Edison tarafindan bir dusman ilan edilmistir… Daha sonra calismalarina degisik kisi ve kuruluslarca destek verilmesiyle hiz veren Tesla Niagara`da bulunan ve halen faaliyette olan ana enerji santralinin kurucusudur… Gunumuz elektrik santrallerinin ilk kurucusu Tesladir ve hala dunya onun sistemiyle aydinlatilmakta yani AC Akim Jenaratorleri ile…
(daha fazla…)

WordPress Güvenlik Açıkları

Posted on Temmuz 10, 2009, under Web Security.

Popüler içerik yönetim sistemi WordPress’te çoklu güvenlik açıkları tespit edildi. Buna göre çeşitli URL istekleriyle izinsiz olarak çeşitli eklenti ve ayar sayfalarına ulaşmak mümkün. Bunun yanı sıra çeşitli JavaScript kodlar ile bu eklentilere zararlı kodlar da eklenebiliyor.

Çeşitli eklentilerde bulunan zafiyetlerin tetiklediği güvenlik açıkları doğrudan admin.php ile de ilgili olabiliyor. Uzaktan (remote) olarak tarif edilen güvenlik açıkları şuan için WordPress 2.8 ve öncesini, WordPress MU 2.7.1 ve öncesini etkilemekte.

Örnek saldırılar:
Local File Inclusion için, admin.php?page=
http://[websayfası]/wp-admin/admin.php?page=/collapsing-archives/options.txt

http://[websayfası]/wp-admin/options-general.php?page=collapsing-archives/options.txt

WP Security Scanner pano görüntüleme,
http://[websayfası]/wp-admin/admin.php?page=wp-security-scan/securityscan.php
Çözüm:
Wp-admin dizinine olan erişim kolaylığı yüzünden meydana gelen bu güvenlik açıkları yine bu klasörün kısıtlanmasıyla giderilebilir. Bunu wp-admin klasörüne şifre koyarak çift şifre korumasına geçebilirsiniz. Ya da WordPress’inizi son sürüme güncellemelisiniz.(Kesinlikle)

Referans:
http://corelabs.coresecurity.com
http://www.guvenli.org

Dns'lerimize Dikkat Edelim!!!

Posted on Temmuz 8, 2009, under System Security.

Bildiğiniz gibi internet üzerinde alan adlarıyla dolaşıyoruz. Bu bloğa girmek için www.alikapucu.com adresini browserınızda yazdığınız da browser internet üzerinde buluna DNS (Domain Name Server) serverlerına bu ismi sorar isme denk gelen ip adresi dns server tarafında verilir ve browserımız o siteye gider. Örnek Olarak DNS serverımıza bir isim soralım Windows’da bu işlemi yapan komut nslookup komutudur. Başlat / Çalıştır /cmd yazdıktan açılan komut satırına nslookup domain yazarak aşağıdaki gibi bir çıktı alırız ;
C:\Documents and Settings\Alyy>nslookup Varsayılan Sunucu: resolver1.opendns.com Address: 208.67.222.222

> www.alikapucu.com Sunucu: resolver1.opendns.com Address: 208.67.222.222

G_venilir olmayan yan_t: Ad: www.alikapucu.com Address: 79.171.18.126

bu çıktı da www.alikapucu.com adresini 208.67.222.222 Open Dns serverlarına soruldu ve karşılık 79.171.18.126 ipsi karşılık geldi demekki alikapucu.com adresi bu ip de host ediliyormuş. Aynı işlemi Linux de dig komutu ile yapıyoruz, dig komutu çok gelişmiş bir komut umut ediyorum ki ileride nslookup’ın yerini alsın

root@bt:~# dig www.alikapucu.com

; <<>> DiG 9.5.0-P2 <<>> www.alikapucu.com
;; global options: printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 454
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;www.alikapucu.com. IN A

;; ANSWER SECTION:
www.alikapucu.com. 11724 IN A 79.171.18.126

;; Query time: 1 msec
;; SERVER: 192.168.0.6#53(192.168.0.6)
;; WHEN: Wed Jul 8 04:33:33 2009
;; MSG SIZE rcvd: 51

burada da dig www.alikapucu.com dedim ve yukarıdaki çıktı geldi bu çıktıdan anladığımız Networkümde bulunan 192.168.0.6 dns serverına 53.porttan sorulan sorgu yine 79.171.18.126 ip yi verdi.

Ipv6 çıkması ile birlikte DNS ler artık olmazsa olmaz bir hal alıcak. Örneğin Ipv4 adresi 79.171.18.126 olan www.alikapucu.com adının ip adresi (Ipv6) 2001:0050:0000:0000:0000:9AC2:0FA0:8701 tarzında bişi olucak durum böyle olunca dns serverlar hayatımızda çok önemli olucak (şuan da önemli ama çok daha fazla önemli olucak) dolayısıyla Dns serverlarımızın güvenliğini iyi sağlamamız lazım.
Peki Dns Server Nasıl tehlikeli olabilir??
Geçen sene DNS Cache Poising çıktı bu saldırı ile dns serverlarının cacheleri zehirlenerek belirtilen domainler için farklı ip adresleri yazılabiliyordu. Bununla ilgili bir videoyu link veriyorum. http://securitytube.net/DNS-Cache-Poisoning-Attack-
video.aspx

Aynı şekilde domaine ait kayıtları değiştirerek başka bir konuya değinelim. Adsl Kullanıcıların %60 ının Default şifrelerini değiştirilmediği biliniyor. Google’dan basit bir arama ile bu şifrelere ulaşabiliriz. Bir modeme eriştiğimiz eğer ki o modem destekliyorsa (büyük bir çoğunluğu destekliyor) manuel bir dns server adresi yazarak o modem’in bütün sorgularını istediğimiz dns sunucusuna aktarabiliriz..

Peki Dns server kurmak zor bir şey mi? Cevabı; Hiç de zor değil ben network’umde kullandığım DNS Serverı internete açarsam ve istediğim domainler için kayıtlar girersem benim serverımı kullananlar benim yönlendirdiğim adreslere giderler gidilen adresin bir banka sitesi olduğunu düşünürsek durumun ciddiyeti anlaşılabilir.

Bu işi otomasyona döken DNSChanger adlı Trojan Hakkında Onur Oktay’ın yazdığı yazıyı sizlere sunuyorum..

DNSChangerin ne kadar tehlikeli bir trojan olduğunu anlayabilmek için işin boyutunu biraz daha geniş açıdan düşünürsek, ülkemizde ADSL modemlerin güvenlik seviyesini ve bu modemleri kuran kişilerin varsayılan güvenlik ayarlarını, varsayılan şifreleri değiştirmemesini de işin içine katarsak durum sanıldığından daha vahim ve ürkütücü olmuş oluyor.

Onun adı DNSChanger… 2005 yılında ortaya çıktı, milyonlarca bilgisayara, binlerce ağ(network)’a bulaştı… Verdiği zararlar çok sonraları tespit edilebildi.

Neredeyse çoğu kullanıcı onun, kendi bilgisayar sisteminde var olduğunu bile anlayamadı. Çünkü güncel ve bilinen güvenlik yazılımları ile antivirüs programları DNSChanger’ı tespit edemedi. Klasik zararlı yazılımlar gibi sadece Windows kullanıcılarına değil, MAC kullanıcılarına da bulaşarak kendi alanında efsane olmayı başardı.

İşte o efsane trojan (Zararlı yazılım) şimdi yenilenen ve güçlenen zararlı içeriği ile karşımıza tekrar çıktı.

DNSChanger ne yapıyor? Nasıl böyle bir zarar verebiliyor? Çalışma mantığı nedir?

DnsChanger sadece tekil bilgisayarlara değil, Ağa bağlı çalışan bilgisayarlara ve Ağ ortamlarına (Network) da zarar veriyor. Yeni versiyonda karşımıza daha da kötü ve acımasız olarak çıkan DnsChanger, bulaştığı bilgisayarlarda kendini gizleyerek, o bilgisayarların Ağ ortamlarına bağlanmasını bekliyor ve çıktığı zaman kendini ağ maskelerine bulaştırarak sistemin DNS Kayıtlarını değiştiriyor.

Böylece kullanıcılar sahte DNS kayıtları ile Internet ortamına erişmeye başlıyorlar. Bu tür erişimler, kullanıcılar nereye eriştiklerini farkında olmadan gerçekleşiyor ve kullanıcılar daha önceden hazırlanan sahte web sitelerine yönlendirilebiliyor ya da her zaman kullandıkları web sitelerinin bire-bire kopyası (fake web sayfası) ile karşılaşıp, durumu anlayamadan DNSchanger’in yemi olmuş oluyorlar.

Özellikle kablosuz ağ ortamlarının olduğu topluma açık paylaşım ağlarında sıklıkla ve rahatça yayılan DnsChanger, bulaştığı bilgisayarlarda 85.255.114.13, 85.255.112.174 numaralarını kullanan sahte DNS Kayıtları oluşturuyor. Eğer profesyonel bir Bilgisayar kullanıcısı değilseniz yani sıradan bir kullanıcı iseniz, bahsi geçen DNS kayıtlarına bakmak tabii ki aklınıza gelmeyecektir.

Böylece bu sahte DNS’leri kullanarak mı yoksa gerçekten kendi İnternet Servis Sağlayıcınızın atadığı DNS kayıt numarası ile internete eriştiğinizi tabii ki bilemeyeceksiniz.

DNSChangerin ne kadar tehlikeli bir trojan olduğunu anlayabilmek için işin boyutunu biraz daha geniş açıdan bakarsak, ülkemizde ADSL modemlerin güvenlik seviyesini ve bu modemleri kuran kişilerin kurulum güvenlik ayarlarını, kurulum şifreleri değiştirmemesini de işin içine katarsak durum sanıldığından daha vahim ve ürkütücü olmuş oluyor.

Çoğu kullanıcı, ADSL modem şifrelerini değiştirmeden, kurulumdaki olarak kullanıyor. Ülkemizde hali hazırda kullanılan ADSL modemlerin varsayılan şifrelerini Google üzerinden search ettiren bir kişi çok rahatlıkla bu şifrelere erişebiliyor. Durum böyle olunca DNSChanger gibi zeki trojanların ADSL modeme girmesi ve buradan o modeme bağlanan bilgisayarlara kendini bulaştırması da zor olmuyor. DNSChanger kendi içine daha önceden yaratıcısı tarafından yerleştirilmiş Wordlisteki şifreleri tek tek deneyerek (brute-force) ilgili modeme Administrator yetkilisi olarak bağlanmaya çalışıyor ve bağlandığı zaman da o modeme bağlı tüm bilgisayarlar zararlı yazılımdan nasibini almış oluyor. Trojan kendi içerisindeki sahte web sitelerine kullanıcıları yönlendirerek kişisel bilgileri, kredi kartı bilgileri, e-posta ve MSN bilgileri gibi bilgileri sahibine gönderebiliyor. DNS Changer çoğunlukla Film, MP3 Siteleri, Forumlar ve Warez içerik barındıran web sitelerinden içerik indiren kullanıcılara bulaşıyor.

Yazının başında da belirttiğim gibi DnsChanger sadece Windows kullanıcılarını değil, MAC kullanıcılarını da etkileyerek kendi alanında farklılık yaratıyor ve bu’da trojanın ne kadar ciddiye alınması gerektiğini bir kere daha gösteriyor.

Peki DNSChanger’dan nasıl korunacağız ?

Şu an aktif olarak yayılmaya devam eden zararlıyı maalesef ki bir çok güncel güvenlik programı engelleyememektedir. Bunun için sistemizi Anti-Malware yazılımları ile taratmalıyız. Bu temizlik işlemini gayet başarılı yapan bir programı tavsiye ediyorum. RapidShare adresinden ilgili programı indirerek sisteminizi taratabilir ve temizleyebilir yada sistemizin güvenliğinden emin olabilirsiniz.

Dns’lerimize Dikkat Edelim!!!