GHDB (Google Hacking Database) Nedir ?

333
Standart

GHDB (Google Hacking Database) Nedir ?

Google, tüm web sitelerini tarayıp arayan kişiye, aradığı konu hakkında çok zekice sonuçlar çıkarmaktadır. Bunları yapabilmek için tüm web sitelerini gezerek elde ettiği verileri veritabanında tutmaktadır. Yaptığımız arama sonucunda istediğimiz bilgileri sıralayarak bize sunar. Bize sunduğu bilgiler arasında bilginin kaynağı olan web sitesi için zafiyet oluşturacak bilgiler de barınmaktadır. Google arama teknikleri ile derinlemesine araştırma yaparak kişisel bilgilere, e-mail adreslerine, web adresinizdeki açıklıkları vb. bilgilere ulaşmak mümkündür. Yapılan bu pasif bilgi toplama tekniğine GHDB (Google Hacking Database) adı verilmektedir.

Google Nasıl Çalışır ?

Siz daha sorgunuzu gerçekleştirmeden önce Google çalışmaya başlar. Google örümcekleri web sayfalarına istek yapar, getirdiği web sayfalarındaki bağlantıları izleyerek bunların gösterdiği sayfaları getirir ve sonra bu sayfalardaki bağlantıları izler . Kısacası web sayfalarını gezinerek bağlantıları elde eder ve elde ettiği bağlantıları gezinerek sayfalardaki diğer bağlantıları de elde eder. Bu tekniğe Crawling adı verilmektedir. Elde ettiği her bağlantıyı ziyaret ederek bir birine bağlı onlarca web sayfasına erişir ve işlem tamamlandığında büyük bir veri elde eder. Yani siz daha sorgu gerçekleştirmeden Google milyonlarca web sayfasını ziyaret edip sizin için gerekli index bilgilerini çıkartır. İndex bilgisi ile sayfa içeriği farklı yerlerde barındırılır.

111

Yukarıdaki şemayı incelediğinizde sorgu gerçekleştirilirken hangi aşamalardan geçerek kullanıcıya verilerin sıralandığını görebilirsiniz. Gerçekleştirilen sorgu ilk olarak Google Web Server tarafından karşılanıyor. Web Server aldığı isteği Index Server’a iletir. Bu Server’da sayfalar tek tek incelenmeden Index içerisinde arama yapılarak daha hızlı sonuçlar elde edilir. Elde edilen sonuçlar Document Server’a gönderilir. Bulunan Index’e ait belgeler hızlı bir şekilde çıkartılarak kullanıcıya sunulur. Ayrıca gerçekleştirilen sorguya birden fazla sunucu aynı anda karşılık verdiğinden daha hızlı cevap vermektedir. Bir sorgunun cevaplanma süresi yaklaşık yarım saniyedir. Tüm bu adımlar gerçekleşirken Google sizin için 200 den fazla sorgu ile sizin için en iyi sonuçları çıkarmayı hedefler.

Google Arama Teknikleri

Arama kutucuğuna aramak istediğiniz sorguyu yazarak arama yapabilmek mümkün, lakin onlarca çok sonuç var ki işimize yarayacak bilgilere ulaşmamız için daha fazla filtreleme kullanmalıyız. Bu nedenle basit arama tekniği yerine gelişmiş arama tekniğini tercih etmeliyiz. Google gelişmiş arama yapabilmemiz için bize bazı operatörler sunuyor. Operatörleri karakter ve kelime olarak iki grupta inceleyeceğiz.

1. Karakter Operatörleri

222

Örnekler;

veri + gizleme   –   İçerisinde ’veri’ ve ’gizleme’ kelimesi geçen sayfaları listeler.

veri – gizleme – İçerisinde ’veri’ kelimesi olup, ’gizleme’ kelimesi olmayan sayfaları listeler.

“veri gizleme” – İçerisinde ” veri gizleme ” öbeği geçen sayfaları listeler.

veri * gizleme – İçerisinde ’*’ karakteri yerine herhangi bir kelime bulunan sayfaları listeler. (veri madenciliği veri gizleme gibi)

# veri | gizleme – İçerisinde ’veri’ ya da ’gizleme’ kelimelerinden birinin ya da her ikisinin geçtiği sayfaları listeler.

veri & gizleme – İçerisinde ’veri’ ve ’gizleme’ kelimelerinin her ikisinin de geçtiği sayfaları listeler.

(“veri gizleme” | “malware analizi”) – içerisinde ’ veri gizleme’ ya da ’ malware analizi ’ geçen sayfaları listeler.

2. Kelime Operatörleri

Kelime operatörleri ile yapacağımız aramaları daha kesin sonuçlara bağlayabiliriz. Hedefi git gide küçülterek, bilgi çöplüğünden ziyade daha elle tutulur veriler elde edeceğiz.

Aşağıda operatörlerin yaptığı işlemler anlatılmıştır. Ardından örnekle pekiştirilmiştir.

site: Belirttiğiniz adrese ait sayfaları listeler.
site: turksec.net

intitle: Belittiğimiz kelimeyi ya da kelimeleri sayfa başlığında arar ve sonuçları listeler.
intitle: web security

allintitle: Belittiğiniz birden fazla kelimenin tamamını sayfa başlığında içeren sayfaları listeler.
allintitle: web security

inurl: Belirttiğiniz kelime web sitelerinin URL’ inde aranır. Site operatörüne benzer farkı; site operatörü host’a odaklanır inurl ise URL in herhangi bir yerinde (host,parametre,değer) bulunması yeterlidir.
inurl:web security

allinurl: Belirttiğiniz kelimelerin tümünü web sitelerinin URL’ inde içeren web sayfalarını listeler.
allinurl: web security

inanchor: Belittiğiniz veri ile ilişkili olan bağlantıları listeler.
web security   inanchor: XSS

intext: Web sayfalarının içeriğinde arama yaparak aramaları kısıtlayabiliriz.
intext: dom tabanlı xss

allintext: Web sayfalarının içeriğinde arama yaparak aramaları kısıtlayabiliriz. Tüm kelimelerin içerikte var olması gerekir.
allintext: dom tabanlı xss

cache: Hedef adresin Google önbelleğindeki son halini görüntüleyebilirsiniz. En son önbelleğin ne zaman güncellendiği vb. bilgilere de ulaşmak mümkündür.
cache: turksec.net

filetype: Filtrelediğimiz uzantıdaki dosyaları arayacaktır.
web security filetype: pdf

info: Belirttiğimiz web adresi ile alakalı web adreslerini listeler.
info: turksec.net

link: Tanımladığımız link’e ait sayfaları listeler.
link: turksec.net

related: Belirttiğimiz web adresine benzer yapıda olan sayfaları listeler.
related: google.com

insubject:   Belirttiğimiz kelimeleri içeren içeriğe sahip web sayfalarını listeler.
insubject:”web güvenliği”

define: Aradığımız kelime ile alakalı sayfaları listeler.
define: “Php pdo”

groups: Bir topluluk veya gruba ait bilgi toplamak istiyorsak, groups dork ile aramamızı sınırlandırabiliriz.
groups: phpkonf

(Google groups: Google tarafından ücretsiz olarak sağlanan çevirimiçi gruplar ve mail listesi servisidir. Google Groups kullanarak, ilgi alanlarına göre gruplar bulunabilir ve üye olunabilir.)

author: Yazara ait bilgileri listelemeyi sağlar.
author: TurkSec
ext: filetype dorku ile aynı işlemi görmektedir. Aradığımız dosya uzantılarını filtreleyebiliriz.
ext: sql

maps: Aradığımız lokasyona ait bilgileri bulabiliriz.
maps: Türk Hava Kurumu Üniversitesi

location: Google Haberlerdeki sorgunuza konum eklerseniz, belirtilen konuma ait haberleri listeleyecekir.
location: ankara

source: Sorgumuza kaynak ekleyerek aradığımız makalelerin, dökümanların kaynağını sınırlandırabiliriz.
RFI source: TurkSec

book: Aradığınız kitap hakkında bilgi bulabilirsiniz.
book: network security 

daterange: Aradığınız tarih aralığı ile aramanızı filtreleyebilirsiniz.
daterange: 1990 – 2000

numrange: Aradığınız aralıklarda numaralar ile aramanızı kısıtlayabiliriz. Tc kimlik numaraları, telefon numaraları gibi bilgileri bulmak için bu operatörü kullanabilirsiniz.
numrange:05071111111-05541231212

 

Exploits: https://www.exploit-db.com/google-hacking-database/

TurkSec Panel Bulucu

Standart

Merhaba arkadaşlar sizlere  hedef sitenin admin panelini bulmak için kullanabileceğiniz  “TurkSec Panel Bulucu” programını tanıtıcağım. Program java ile kodlandı ve JRE 8 ile derlendi o yüzden programı çalıştırabilmek için java.com dan javanın son sürümünü indirip kurmanız lazım.

Javayı yükledikten sonra TurkSec Panel Bulucu uygulamasına girin. “Dizin dosyası seç” butonuna tıklayarak ekte vermiş olduğum admins.txt dosyasını seçin. Ben elimdeki panel uzantılarını ekledim ama siz yinede geliştirebilirsiniz. Ardından hedef sitenizin URL adresini girin ve “Adresi sabitle” butonuna basıp Taramaya başlayın.

tspb

Soru: Çalışma mantığı nedir?
Cevap: Dosyadaki dizin ve dosya listesini çeker. Site üzerinde bunları dener. Bulduğunu düşündüklerini ekrana verir. Piyasadakilerden farklı algoritması vardır. Netlik değeri yüksektir. False positive değeri düşüktür. Özellikle havijde rastladığımız bugların hiçbirini barındırmaz. MultiThread çalışır. Sayfaları 5’er 5’er dener.

Soru: Https destekler mi?
Cevap: Evet.

Soru: Alt klasörleri dener mi?
Cevap: Recursive mantıkla çalışmaz. Url için yazdığın dizinin altında deneme yapar. Her dizin için ayrı tarama yapman gerekir.

Soru: Yanılma payı var mıdır?
Cevap: Her zaman her programda vardır. Ama piyasadakilerden artısı çoktur.

Soru: Peki programı özel yapan nedir?
Cevap: Status code bazlı çalışmaz, 200 döndüren 404 sayfalarını da tespit eder. Uzantı bazlı çalışır, yani diğer bi deyişle, php nin 404 ü ile php yi kıyaslar, jsp nin 404 ü ile jsp’yi kıyaslar.

Soru: Hangi durumlarda yanılabilir?
Cevap: Birden fazla “custom” error sayfası olan ve bunları rastgele döndüren sunucularda. Bağlantı gidip gelme veya firewall tarafından bloklanma durumlarında.

PROGRAMI İNDİRMEK İÇİN TIKLAYIN

Cross Site Request Forgery Nedir?

csrf
Standart

CSRF ya da XSRF olarak kısaltılabilen Cross Site Request Forgery (Siteler Arası İstek Sahtekârlığı), zafiyeti barındıran web uygulamasına yapılan bir isteğin, uygulama üzerinden yapıldığının anlaşılamamasından kaynaklanan bir açık türüdür. Yani Session Riding olarak da bilinen CSRF açıkları, web sitesine giden isteklerin, site üzerinden gidip gitmediğini kontrol eden bir mekanizmanın eksikliğinden dolayı meydana gelmektedir.

CSRF zafiyetiyle yapılabilecekler, web uygulamasının kullanıcıya verdiği yetkiyle doğru orantılıdır. Saldırgan, bazen bir form ile bazen de bir img etiketi vasıtasıyla kurbanın çeşitli istekler yapmasını sağlayabilir. Bu sırada kurban kendisine yaptırılan istekten habersizdir. Saldırının gerçekleşmesi için gönderilen JavaScript veya HTML kaynakların çalışması için kurbanın uygulama üzerinde çevrimiçi bir halde olması gerekir.

Örneğin, saldırgan CSRF açığı bulunan bir bankanın web sitesinde işlem yapan bir kullanıcıyı, para transferi yaptırmaya zorlayabilir. Ya da saldırgan, kurbanın sosyal medya hesabından başka bir kullanıcıya mesaj göndermesini sağlayabilir. CSRF zafiyetinin neden olabileceği pek çok senaryoyu akla getirmek mümkündür.

CSRF ve XSS Farkı

CSRF’nin oluşmasında web sitesinin kullanıcıya ait web tarayıcısına duyduğu güvenin suistimali söz konusuyken; XSS’nin oluşmasının temelinde kullanıcının, web sitesine sağladığı güvenin suistimali yatmaktadır. Bir CSRF saldırısının meydana gelmesi için session (oturum) kimliğinin doğrulanmış olması gerekmektedir. XSS’te ise buna gerek yoktur. Açık bulunan web sitesinde girdiler üzerinde herhangi bir doğrulama ya da escaping işlemi yapılmadığı için ortaya çıkar.

XSS’te, sunucu bir doğrulama işlemi gerektirmez ya da birincil kontrol mekanizması olarak girdiyi escaping işlemine tabi tutmazsa saldırgan; türlerine göre uzaktan kontrol edilebilen, veritabanında kalıcı olan ya da ekrana geri yansıtılabilen cookie, url parametresi, form alanları gibi girdi alanları ve istek parametrelerinin herhangi bir çeşidi vasıtasıyla uygun girdiyi gönderebilir. CSRF içinse şu örnek aydınlatıcı olabilir: Banka hesabınıza giriş yapmış olduğunuzu aynı anda başka bir sekmede bir sosyal medya hesabınızın açık olduğunu varsayalım. Saldırganın sosyal medya hesabınız üzerinden size gönderdiği bağlantıya tıkladığınızı düşünelim. Siz, bağlantıya farklı bir site üzerindeyken tıklamış dahi olsanız saldırganın gönderdiği zararlı URL arkaplanda saldırıyı gerçekleştirmiş olacak ve senaryoya göre para transferi yapmış olacaktır. Çünkü oturum bilginiz tarayıcıda hâlâ aktif ve tarayıcı session id’nize sahiptir. Halbuki para transferi formunda alınmış bir önlem bu saldırının gerçekleşmesini engelleyecektir. Ayrıca XSS’nin CSRF saldırılarına neden olabileceği ihtimali de unutulmamalıdır.

CSRF Açıklarını Tespit Etme

CSRF açığının tespiti için seçilebilir en kolay yol elbette Netsparker, Acunetix gibi otomatize edilmiş programların kullanılmasıdır. Bunun yanı sıra OWASP CSRFTester, Fiddler, Burp Suite gibi programlarla da bunu yapmak mümkündür.

Manuel olarak yapılan testlerde en bilinen yol, her kullanıcı için sabit olmayan ve tahmin edilemez token’lerin bulunup bulunmadığını araştırmaktır. Bu araştırmanın hedefi bir takım silme, ekleme, değiştirme gibi fonksiyonları çalıştıran linkler ve formlar olmalıdır.

CSRF Nasıl Exploit Edilir?

Örnek bir form üzerinden göstermek gerekirse; aşağıdaki e-posta değiştirme formu CSRF zafiyeti barındırmaktadır. Form üzerinden GET metodu ile değişiklik yapılabilmektedir. “degistir.php” dosyasının yaptığı değişiklik sonucunda e-posta adresi “email” parametresine atanır. Sonuç olarak güncel e-posta adresi “ornekeposta@adresi.com” olarak tanımlanır.

1

2

Bu formu kullanan kurbanın e-posta adresini değiştirmek için kurban tarafından çalıştırılması gereken örnek kodlardan biri aşağıdaki gibidir:

3
“Height” ve “width” değerinin 0 (sıfır) olarak belirlenmesiyle kurban tarafından -ayrıntılı bir inceleme dışında- fark edilemez hale getirilen zararlı URL’nin bulunduğu img tag’ının yerleştirildiği herhangi bir sayfa, kurban tarafından görüntülendiğinde mevzu bahis zararlı kod çalışmış olacaktır. Örnekte e-posta adresinin değiştirilmesi gibi bir senaryo izlense de CSRF açığının neden olabileceği pek çok durum meydana gelebilir.

Yukarıdaki örnekten bağımsız olarak img dışında da saldırıyı gerçekleştirme yolları mevcuttur:

script src
4

iframe src
5
‘Image’ nesnesi
6

‘XMLHTTP’ nesnesi / IE
7

Sayfa açıldığında POST metoduyla çalışan form
8

Sayfa açıldığında POST metoduyla çalışan form (alternatif)
9

Alınabilecek Önlemler ve Korunma Yöntemleri

Geliştiriciler İçin Genel Çözümler:

  • Değiştirme, silme gibi önemli fonksiyonlar POST metoduyla yapılabilir.
  • Her form için kullanılması zahmetli olsa da belirli formlarda Captcha uygulamalarına başvurulabilir.
  • Yapılan her isteğin HTTP Referrer başlığı kontrol edilebilir. Bununla birlikte Referrer başlığının tam olarak güvenliği sağlaması beklenmemelidir. Çünkü manipülasyona açıktır.
  • URL Rewriting yöntemi kullanılarak URL’lerin geçerli oturumda, karmaşık olarak belirlenmesi sağlanabilir. Yine de tam bir koruma sağlamayacaktır.
  • CSRF token’leri kullanılabilir. Bu token’lerin her form için yeniden oluşturulması, sadece oturumu açan kullanıcıya ait olması gerekir.
  • Bunlar haricinde, geliştirme ortamlarına göre çeşitli önlemler de bulunmaktadır. ASP.NET’te AntiForgeryToken ve ViewState gibi önlemler mevcut iken JAVA’da OWASP’ın geliştirdiği OWASP-CSRFGuard projesi mevcuttur. Diğer yandan PHP’de hem oluşturulacak class’lar ile hem de framework’lerde bulunan koruma özellikleriyle güvenlik sağlanabilir.

Kullanıcılar Açısından Önlemler:

  • Uygulamadan mutlaka çıkış yapılmalıdır. Yani var olan oturum kapatılarak siteden ayrılmak gerekir.
  • Çerezleri temizlemek önlemler arasında sayılabilir. Özellikle tarayıcıların, her kapanışta çerezleri silmesi ayarlanabilir.
  • Mozilla Firefox için RequestPolicy ve Google Chrome-Mozilla Firefox için uMatrix eklentileri, yüzde yüz koruma sağlamasa da, kullanılabilir. Ayrıca NoScript eklentisi de CSRF tehditlerini azaltmaktadır.
  • Bilinmeyen e-postalar açılmamalı, filtrelenen -imaj gibi- içerikler görüntülenmemelidir.

malcolm_extra

Sosyal Mühendislerin Kullandığı 4 Duygu

sosyal_muhendislik
Standart

Bir sistemi hacklemek için o sistemin nasıl çalıştığını bilip zayıf veya açık bırakılan yerlerini tespit edilerek saldırı gerçekleştirilir. Sosyal Mühendislikte de insanların zayıf yönleri veya savunmasız hale getirilebilecek yanları tespit edilerek saldırıda bulunulur.
Güncel olayları incelediğimizde saldırılarda insanların dört duygusuna hitap eden girişimlerin fazlalığı dikkat çektiği görülüyor.

  • Korku, bir belirsizlik karşısında tehdit algısı ile tetiklenen, rahatsız edici ve olumsuz bir his. Korku belirli bir ağrı veya tehdit olarak algılanan bir olay sonucunda, uyarıcı bir tepki olarak ortaya çıkan yaşamsal bir mekanizmadır. Korku görünüşte evrensel bir duygudur.

Sosyal Mühendislikte korku bir insanı manipüle ve motive etmek için kullanılabilecek en etkin duygulardan birisidir. Bir bankadan geliyormuş gibi gösterilen arama, sms veya eposta ile insanlara şifrelerinin çalındığı, hesabından harcama yapıldığı veya kişisel bilgilerinin terör örgütlerince kullanıldığını söylerseniz istediğiniz bilgiyi almakta veya istediğinizi yaptırmakta zorluk çekilmediğini haberlerden görebiliyoruz.

  • İtaat kelimesi birine uymaktan kaynaklanır ve sırf dışa yansıyan davranıştan içten gelen bir tutumdur. İtaat, prensip olarak emir veya yasaklara uymaktır. İtaat, bir otoritenin isteklerine boyun eğmek, bir emire uymak, bir talebi yerine getirmek veya yasaklanan bir şeyi terk etmektir. Otorite, genelde bir kişi veya birlik olursa da ikna eden bir ide, bir yaratan veya kişinin vicdanı olabilir.

İtaat saldırıda bulunan sosyal mühendisin genellikle bir e-posta, anlık ileti veya kişinin çalıştığı bir kişinin ya da üstün gibi kolluk olarak otorite, ya da bir yönetici grubundan hatta bir telefon görüşmesi ya da sesli kayıttan iletişime geçilmiş ve bir şeyi yapmanız gerektiğinin bildirilmesi ve hedefi yetkililere güven duygusundan gelen talimata uygun hareket etmesi ve istekleri yerine getirmesi ile kullanılmaktadır.

Ülkemizde genel de bu savcı ve polis gibi insanları arayarak kullanılmaktadır. Daha önceden de hosting firması yetkilisi gibi arayarak kişilerden istenilen bilgiler elde edilebiliyordu.

  • Açgözlülük, bir şey için yoğun ve bencil arzu (özellikle zenginliğe ve güce) olarak tanımlanır.

Sosyal Mühendislikte en çok kullanılan yöntemlerden biri bu duyguya dayalı olarak gerçekleştirilmektedir. Bir çoğumuz şahit olmuştur; Afrika’daki zengin olduğu halde yurtdışına çıkmayan ve sizden bu serveti veya mirası yurt dışına çıkarmak için yardım isteyen epostalara.

Telefonun karşı ucunda kart aidatlarınızı geri alabileceklerini, kredi dosya masraflarını tahsil edeceklerini yada 3000 TL lik telefonu size 299 TL ye satacaklarını söyleyen bir ses ile karşılaşabiliyorsunuz. Burada insanların kolay yoldan para kazanacakları veya pahalı bir şeyi ucuza alınabileceği algısı ile insanları yönlendirebiliyorlar.

  • Yardımseverlik, diğer insanlara yardım etmek için istekli olmak olarak tanımlanır.

Bu yöntem genellikle firma çalışanlarına yönelik yapılan saldırılarda kullanılmaktadır. Sorun yaşayan bir müşteri gibi iletişime geçilerek hedefinize ilişkin bilgilere erişimde kullanılmaktadır. Gerçi son yıllarda güvenlik amaçlı doğrulamalarla bu duygu kullanımına esas alan saldırılarda başarı oranı biraz düşüktür.

Yukarıda kısa olarak anlatmaya çalıştığım bu dört duyguyu kullanarak hedeflere sosyal mühendislik saldırıları yapılmaktadır. Özellikle ülkemizde bu dört duyguya birden dayanan saldırılar artmaya başlamıştır. Ben bu tuzaklara düşmem diyecek insanlar bile ikna edilebilmiştir.

Örneğin Bursa’da şeyhine cennete yakın olmak isteyenler milyonlarca lira kaptırdı. Para kaptıranların bir çoğu hukukçu ve üst gelire sahip meslek grubundaki okumuş elit bir kesimdi.

Ayrıca saldırganların hedefi kişisel değilse rastgele 100 kişiden 1 kişiye karşı başarı elde etmesi bile onun için yeterli bir başarı olacaktır.