# 22 - Pentesting SSH/SFTP
AWS hackleme konusunu sıfırdan ileri seviyeye öğrenin htARTE (HackTricks AWS Red Team Expert) ile! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** \[**ABONELİK PLANLARI**]'na(https://github.com/sponsors/carlospolop) göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**The PEASS Family**](https://opensea.io/collection/the-peass-family)'yi keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **Katılın** 💬 [**Discord grubuna**](https://discord.gg/hRep4RUj7f) veya [**telegram grubuna**](https://t.me/peass) veya bizi **Twitter** 🐦 [**@carlospolopm**](https://twitter.com/hacktricks\_live)'da **takip edin**. * **Hacking püf noktalarınızı paylaşarak PR'lar göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.
**Ödül avı ipucu**: **Intigriti'ye kaydolun**, hackerlar tarafından oluşturulan bir premium **ödül avı platformu**! Bugün [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) adresinde bize katılın ve **$100,000**'a kadar ödüller kazanmaya başlayın! {% embed url="https://go.intigriti.com/hacktricks" %} ## Temel Bilgiler **SSH (Güvenli Kabuk veya Güvenli Soket Kabuğu)**, güvensiz bir ağ üzerinden bir bilgisayara güvenli bir bağlantı sağlayan bir ağ protokolüdür. Uzak sistemlere erişirken verilerin gizliliğini ve bütünlüğünü korumak için önemlidir. **Varsayılan bağlantı noktası:** 22 ``` 22/tcp open ssh syn-ack ``` **SSH sunucuları:** * [openSSH](http://www.openssh.org) – OpenBSD SSH, BSD, Linux dağıtımlarında ve Windows'ta Windows 10'dan beri bulunmaktadır * [Dropbear](https://matt.ucc.asn.au/dropbear/dropbear.html) – Düşük bellek ve işlemci kaynaklarına sahip ortamlar için SSH uygulaması, OpenWrt'te bulunmaktadır * [PuTTY](https://www.chiark.greenend.org.uk/\~sgtatham/putty/) – Windows için SSH uygulaması, istemci genellikle kullanılsa da sunucunun kullanımı daha nadirdir * [CopSSH](https://www.itefix.net/copssh) – Windows için OpenSSH uygulaması **SSH kütüphaneleri (sunucu tarafını uygulayan):** * [libssh](https://www.libssh.org) – SSHv2 protokolünü uygulayan çok platformlu C kütüphanesi, [Python](https://github.com/ParallelSSH/ssh-python), [Perl](https://github.com/garnier-quentin/perl-libssh/) ve [R](https://github.com/ropensci/ssh) ile bağlantıları bulunmaktadır; KDE tarafından sftp için ve GitHub tarafından git SSH altyapısı için kullanılmaktadır * [wolfSSH](https://www.wolfssl.com/products/wolfssh/) – ANSI C'de yazılmış SSHv2 sunucu kütüphanesi ve gömülü, RTOS ve kaynak kısıtlı ortamlar için hedeflenmiştir * [Apache MINA SSHD](https://mina.apache.org/sshd-project/index.html) – Apache SSHD java kütüphanesi Apache MINA'ya dayanmaktadır * [paramiko](https://github.com/paramiko/paramiko) – Python SSHv2 protokol kütüphanesi ## Numaralandırma ### Banner Yakalama ```bash nc -vn 22 ``` ### Otomatik ssh denetimi ssh-audit, ssh sunucusu ve istemci yapılandırmasının denetlenmesi için bir araçtır. [https://github.com/jtesta/ssh-audit](https://github.com/jtesta/ssh-audit), [https://github.com/arthepsy/ssh-audit/](https://github.com/arthepsy/ssh-audit/) adresinden güncellenmiş bir çatallanmadır. **Özellikler:** * SSH1 ve SSH2 protokolü sunucu desteği; * SSH istemci yapılandırmasını analiz etme; * banner'ı al, cihazı veya yazılımı tanı ve işletim sistemini algıla, sıkıştırmayı tespit et; * anahtar değişimini, anahtar anahtarını, şifreleme ve mesaj doğrulama kodu algoritmalarını topla; * algoritma bilgilerini çıktıla (mevcut olan, kaldırılan/devre dışı bırakılan, güvensiz/zayıf/eski vb.); * algoritma önerilerini çıktıla (tanınan yazılım sürümüne göre ekle veya kaldır); * güvenlik bilgilerini çıktıla (ilgili sorunlar, atanan CVE listesi vb.); * algoritma bilgilerine dayalı SSH sürümü uyumluluğunu analiz et; * OpenSSH, Dropbear SSH ve libssh'den tarihsel bilgiler; * Linux ve Windows üzerinde çalışır; * bağımlılıkları yoktur ```bash usage: ssh-audit.py [-1246pbcnjvlt] -1, --ssh1 force ssh version 1 only -2, --ssh2 force ssh version 2 only -4, --ipv4 enable IPv4 (order of precedence) -6, --ipv6 enable IPv6 (order of precedence) -p, --port= port to connect -b, --batch batch output -c, --client-audit starts a server on port 2222 to audit client software config (use -p to change port; use -t to change timeout) -n, --no-colors disable colors -j, --json JSON output -v, --verbose verbose output -l, --level= minimum output level (info|warn|fail) -t, --timeout= timeout (in seconds) for connection and reading (default: 5) $ python3 ssh-audit ``` ### Sunucunun Genel SSH Anahtarı [Asciinema'da nasıl yapıldığını izleyin](https://asciinema.org/a/96ejZKxpbuupTK9j7h8BdClzp) ```bash ssh-keyscan -t rsa -p ``` ### Zayıf Şifre Algoritmaları Bu varsayılan olarak **nmap** tarafından keşfedilir. Ancak ayrıca **sslcan** veya **sslyze** kullanabilirsiniz. ### Nmap betikleri ```bash nmap -p22 -sC # Send default nmap scripts for SSH nmap -p22 -sV # Retrieve version nmap -p22 --script ssh2-enum-algos # Retrieve supported algorythms nmap -p22 --script ssh-hostkey --script-args ssh_hostkey=full # Retrieve weak keys nmap -p22 --script ssh-auth-methods --script-args="ssh.user=root" # Check authentication methods ``` ### Shodan * `ssh` ## Kaba kuvvetle kullanıcı adları, şifreler ve özel anahtarlar ### Kullanıcı Adı Sıralaması Bazı OpenSSH sürümlerinde zamanlama saldırısı yaparak kullanıcıları sıralayabilirsiniz. Bunu sömürmek için bir metasploit modülü kullanabilirsiniz: ``` msf> use scanner/ssh/ssh_enumusers ``` ### [Kaba kuvvet](../generic-methodologies-and-resources/brute-force.md#ssh) Bazı yaygın ssh kimlik bilgileri [burada](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Default-Credentials/ssh-betterdefaultpasslist.txt) ve [burada](https://github.com/danielmiessler/SecLists/blob/master/Passwords/Common-Credentials/top-20-common-SSH-passwords.txt) ve aşağıda. ### Özel Anahtar Kaba Kuvvet Eğer kullanılabilecek bazı ssh özel anahtarlarını biliyorsanız... deneyelim. Nmap betiğini kullanabilirsiniz: ``` https://nmap.org/nsedoc/scripts/ssh-publickey-acceptance.html ``` Veya MSF yardımcı modülü: ``` msf> use scanner/ssh/ssh_identify_pubkeys ``` #### Bilinen kötü anahtarlar burada bulunabilir: {% embed url="https://github.com/rapid7/ssh-badkeys/tree/master/authorized" %} #### Zayıf SSH anahtarları / Debian tahmin edilebilir PRNG Bazı sistemler, kriptografik materyal oluşturmak için kullanılan rastgele tohumda bilinen hatalara sahiptir. Bu, kaba kuvvet saldırısına maruz kalan dramatik bir anahtar alanı oluşturabilir. Zayıf PRNG etkilenen Debian sistemlerinde oluşturulan önceden oluşturulmuş anahtar setleri burada mevcuttur: [g0tmi1k/debian-ssh](https://github.com/g0tmi1k/debian-ssh). Kurban makine için geçerli anahtarları aramak için buraya bakmalısınız. ### Kerberos **crackmapexec** `ssh` protokolünü kullanarak `--kerberos` seçeneğini kullanarak **kerberos üzerinden kimlik doğrulaması yapabilir**.\ Daha fazla bilgi için `crackmapexec ssh --help` komutunu çalıştırın. ## Varsayılan Kimlik Bilgileri | **Satıcı** | **Kullanıcı Adları** | **Şifreler** | | ---------- | ----------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | APC | apc, device | apc | | Brocade | admin | admin123, password, brocade, fibranne | | Cisco | admin, cisco, enable, hsa, pix, pnadmin, ripeop, root, shelladmin | admin, Admin123, default, password, secur4u, cisco, Cisco, \_Cisco, cisco123, C1sco!23, Cisco123, Cisco1234, TANDBERG, change\_it, 12345, ipics, pnadmin, diamond, hsadb, c, cc, attack, blender, changeme | | Citrix | root, nsroot, nsmaint, vdiadmin, kvm, cli, admin | C1trix321, nsroot, nsmaint, kaviza, kaviza123, freebsd, public, rootadmin, wanscaler | | D-Link | admin, user | private, admin, user | | Dell | root, user1, admin, vkernel, cli | calvin, 123456, password, vkernel, Stor@ge!, admin | | EMC | admin, root, sysadmin | EMCPMAdm7n, Password#1, Password123#, sysadmin, changeme, emc | | HP/3Com | admin, root, vcx, app, spvar, manage, hpsupport, opc\_op | admin, password, hpinvent, iMC123, pvadmin, passw0rd, besgroup, vcx, nice, access, config, 3V@rpar, 3V#rpar, procurve, badg3r5, OpC\_op, !manage, !admin | | Huawei | admin, root | 123456, admin, root, Admin123, Admin@storage, Huawei12#$, HwDec@01, hwosta2.0, HuaWei123, fsp200@HW, huawei123 | | IBM | USERID, admin, manager, mqm, db2inst1, db2fenc1, dausr1, db2admin, iadmin, system, device, ufmcli, customer | PASSW0RD, passw0rd, admin, password, Passw8rd, iadmin, apc, 123456, cust0mer | | Juniper | netscreen | netscreen | | NetApp | admin | netapp123 | | Oracle | root, oracle, oravis, applvis, ilom-admin, ilom-operator, nm2user | changeme, ilom-admin, ilom-operator, welcome1, oracle | | VMware | vi-admin, root, hqadmin, vmware, admin | vmware, vmw@re, hqadmin, default | ## SSH-MitM Eğer kurban olan kullanıcı ile SSH sunucusuna kullanıcı adı ve şifre ile bağlanacak olan kurban aynı yerel ağda ise, bu kimlik bilgilerini çalmak için **MitM saldırısı gerçekleştirmeyi deneyebilirsiniz:** **Saldırı yolu:** * **Trafik Yönlendirme:** Saldırgan, kurbanın trafiğini kendi makinesine yönlendirir, böylece SSH sunucusuna bağlantı denemesini **engeller**. * **Yakalama ve Kayıt:** Saldırganın makinesi, kullanıcının giriş bilgilerini yakalayan bir **proxy** olarak hareket eder ve meşru SSH sunucusu gibi davranır. * **Komut Yürütme ve Aktarımı:** Son olarak, saldırganın sunucusu kullanıcının kimlik bilgilerini **kaydeder**, komutları gerçek SSH sunucusuna **iletir**, bunları **yürütür** ve sonuçları kullanıcıya geri gönderir, bu süreci sorunsuz ve meşru gösterir. [**SSH MITM**](https://github.com/jtesta/ssh-mitm) yukarıda açıklananı tam olarak yapar. Gerçek MitM'yi gerçekleştirmek için ARP zehirlemesi, DNS zehirlemesi veya [**Ağ Zehirleme saldırıları**](../generic-methodologies-and-resources/pentesting-network/#spoofing) bölümünde açıklanan diğer teknikleri kullanabilirsiniz. ## SSH-Snake Sistemlerde keşfedilen SSH özel anahtarlarını kullanarak ağda gezinmek istiyorsanız, her özel anahtarı yeni ana bilgisayarlar için her sistemde kullanarak [**SSH-Snake**](https://github.com/MegaManSec/SSH-Snake) ihtiyacınız olan şeydir. SSH-Snake aşağıdaki görevleri otomatik olarak ve tekrarlayarak gerçekleştirir: 1. Mevcut sistemdeki tüm SSH özel anahtarlarını bulur, 2. Mevcut sistemde, özel anahtarların kabul edilebileceği tüm ana bilgisayarları veya hedefleri (kullanıcı@ana bilgisayar) bulur, 3. Keşfedilen tüm özel anahtarları kullanarak tüm hedeflere SSH denemesi yapar, 4. Bir hedefe başarılı bir şekilde bağlanıldığında, bağlanılan sisteme adımları tekrarlar: #1 - #4. Tamamen kendi kendini çoğaltan ve kendi kendini yayabilen - ve tamamen dosyasızdır. ## Yapılandırma Yanlışlıkları ### Root girişi SSH sunucularının genellikle varsayılan olarak kök kullanıcı girişine izin vermesi yaygındır, bu da ciddi bir güvenlik riski oluşturur. **Kök girişini devre dışı bırakmak**, sunucuyu güvence altına almanın kritik bir adımıdır. Bu değişikliği yaparak yetkisiz yönetici ayrıcalıklarıyla erişim ve kaba kuvvet saldırıları engellenebilir. **OpenSSH'de Kök Girişini Devre Dışı Bırakmak İçin:** 1. **SSH yapılandırma dosyasını düzenleyin**:`sudoedit /etc/ssh/sshd_config` 2. **Ayarı değiştirin** `#PermitRootLogin yes` den **`PermitRootLogin no`**'ya. 3. **Yapılandırmayı yeniden yükleyin**:`sudo systemctl daemon-reload` 4. Değişiklikleri uygulamak için SSH sunucusunu **yeniden başlatın**: `sudo systemctl restart sshd` ### SFTP Kaba Kuvvet * [**SFTP Kaba Kuvvet**](../generic-methodologies-and-resources/brute-force.md#sftp) ### SFTP komut yürütme SFTP kurulumlarında yaygın bir hata, yöneticilerin kullanıcıların uzak kabuk erişimini etkinleştirmeden dosya değiş tokuşu yapmasını amaçladığı yerlerde meydana gelir. Kullanıcıları etkileşimsiz kabuklarla (örneğin, `/usr/bin/nologin`) ayarlamalarına rağmen ve onları belirli bir dizine sınırlamalarına rağmen, bir güvenlik açığı kalır. **Kullanıcılar**, belirlenen etkileşimsiz kabukları devralmadan hemen sonra bir komutun (örneğin, `/bin/bash`) yürütülmesini isteyerek bu kısıtlamaları atlayabilir. Bu, yetkisiz komut yürütme için izin verir ve amaçlanan güvenlik önlemlerini zayıflatır. [Örnek buradan](https://community.turgensec.com/ssh-hacking-guide/): ```bash ssh -v noraj@192.168.1.94 id ... Password: debug1: Authentication succeeded (keyboard-interactive). Authenticated to 192.168.1.94 ([192.168.1.94]:22). debug1: channel 0: new [client-session] debug1: Requesting no-more-sessions@openssh.com debug1: Entering interactive session. debug1: pledge: network debug1: client_input_global_request: rtype hostkeys-00@openssh.com want_reply 0 debug1: Sending command: id debug1: client_input_channel_req: channel 0 rtype exit-status reply 0 debug1: client_input_channel_req: channel 0 rtype eow@openssh.com reply 0 uid=1000(noraj) gid=100(users) groups=100(users) debug1: channel 0: free: client-session, nchannels 1 Transferred: sent 2412, received 2480 bytes, in 0.1 seconds Bytes per second: sent 43133.4, received 44349.5 debug1: Exit status 0 $ ssh noraj@192.168.1.94 /bin/bash ``` Aşağıda, kullanıcı `noraj` için güvenli SFTP yapılandırmasının bir örneği bulunmaktadır (`/etc/ssh/sshd_config` - openSSH): ```plaintext Match User noraj ChrootDirectory /home/noraj ForceCommand internal-sftp AllowTcpForwarding no X11Forwarding no ``` ``` Match User noraj ChrootDirectory %h ForceCommand internal-sftp AllowTcpForwarding no PermitTunnel no X11Forwarding no PermitTTY no ``` Bu yapılandırma yalnızca SFTP'yi izin verecek şekilde ayarlanmıştır: başlangıç komutunu zorlayarak kabuk erişimini devre dışı bırakma ve TTY erişimini devre dışı bırakma, ayrıca tüm türde port yönlendirmeyi veya tünelleme işlemlerini devre dışı bırakma. ### SFTP Tünellemesi Bir SFTP sunucusuna erişiminiz varsa, örneğin yaygın port yönlendirmeyi kullanarak trafiğinizi bu sunucu üzerinden tünelleyebilirsiniz: ```bash sudo ssh -L :: -N -f @ ``` ### SFTP Symlink **SFTP**'nin "**symlink**" komutu bulunmaktadır. Bu nedenle, bir klasörde **yazma izinleriniz** varsa, **başka klasörler/dosyaların symlink'lerini oluşturabilirsiniz**. Muhtemelen bir chroot içinde **sıkışmış** durumdasınız, bu nedenle bu sizin için **özellikle faydalı olmayacaktır**, ancak oluşturulan **symlink**'e bir **no-chroot hizmetinden** erişebiliyorsanız (örneğin, web üzerinden symlink'e erişebiliyorsanız), **symlink'ler aracılığıyla dosyaları web üzerinden açabilirsiniz**. Örneğin, yeni bir dosyadan "**\_**froot**\_**" adında bir **symlink** oluşturmak için: ```bash sftp> symlink / froot ``` ### Kimlik doğrulama yöntemleri Yüksek güvenlik ortamlarında, genellikle basit faktör şifre tabanlı kimlik doğrulaması yerine yalnızca anahtar tabanlı veya iki faktörlü kimlik doğrulamasını etkinleştirmek yaygın bir uygulamadır. Ancak genellikle daha güçlü kimlik doğrulama yöntemleri etkinleştirilirken daha zayıf olanların devre dışı bırakılmadığı görülür. Sık rastlanan bir durum, openSSH yapılandırmasında `publickey`'i etkinleştirmek ve varsayılan yöntem olarak ayarlamak ancak `password`'ü devre dışı bırakmamaktır. Bu nedenle, bir saldırgan, SSH istemcisinin ayrıntılı modunu kullanarak daha zayıf bir yöntemin etkinleştirildiğini görebilir: ```bash ssh -v 192.168.1.94 OpenSSH_8.1p1, OpenSSL 1.1.1d 10 Sep 2019 ... debug1: Authentications that can continue: publickey,password,keyboard-interactive ``` Örneğin, bir kimlik doğrulama başarısızlık sınırı belirlenmişse ve şifre yöntemine ulaşma şansınız hiç olmazsa, `PreferredAuthentications` seçeneğini kullanarak bu yöntemi kullanmaya zorlayabilirsiniz. ```bash ssh -v 192.168.1.94 -o PreferredAuthentications=password ... debug1: Next authentication method: password ``` ### Yapılandırma dosyaları SSH sunucusu yapılandırmasını incelemek, yalnızca beklenen yöntemlerin yetkilendirildiğini kontrol etmek için gereklidir. İstemci üzerinde ayrıntılı modun kullanılması, yapılandırmanın etkinliğini görmeye yardımcı olabilir. ```bash ssh_config sshd_config authorized_keys ssh_known_hosts known_hosts id_rsa ``` ## Fuzzing * [https://packetstormsecurity.com/files/download/71252/sshfuzz.txt](https://packetstormsecurity.com/files/download/71252/sshfuzz.txt) * [https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh\_version\_2](https://www.rapid7.com/db/modules/auxiliary/fuzzers/ssh/ssh\_version\_2) ## Referanslar * SSH'yi nasıl güçlendireceğinize dair ilginç kılavuzlar [https://www.ssh-audit.com/hardening\_guides.html](https://www.ssh-audit.com/hardening\_guides.html) adresinde bulunabilir. * [https://community.turgensec.com/ssh-hacking-guide](https://community.turgensec.com/ssh-hacking-guide)
**Hata ödülü ipucu**: **Intigriti'ye kaydolun**, hackerlar tarafından oluşturulan bir premium **hata ödülü platformuna**! Bugün bize [**https://go.intigriti.com/hacktricks**](https://go.intigriti.com/hacktricks) adresinden katılın ve **100.000 $'a kadar** ödüller kazanmaya başlayın! {% embed url="https://go.intigriti.com/hacktricks" %} ## HackTricks Otomatik Komutları ``` Protocol_Name: SSH Port_Number: 22 Protocol_Description: Secure Shell Hardening Entry_1: Name: Hydra Brute Force Description: Need Username Command: hydra -v -V -u -l {Username} -P {Big_Passwordlist} -t 1 {IP} ssh Entry_2: Name: consolesless mfs enumeration Description: SSH enumeration without the need to run msfconsole Note: sourced from https://github.com/carlospolop/legion Command: msfconsole -q -x 'use auxiliary/scanner/ssh/ssh_version; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use scanner/ssh/ssh_enumusers; set RHOSTS {IP}; set RPORT 22; run; exit' && msfconsole -q -x 'use auxiliary/scanner/ssh/juniper_backdoor; set RHOSTS {IP}; set RPORT 22; run; exit' ```
AWS hacklemeyi sıfırdan kahramana öğrenin htARTE (HackTricks AWS Red Team Expert)! HackTricks'ı desteklemenin diğer yolları: * **Şirketinizi HackTricks'te reklamını görmek istiyorsanız** veya **HackTricks'i PDF olarak indirmek istiyorsanız** [**ABONELİK PLANLARI**](https://github.com/sponsors/carlospolop)'na göz atın! * [**Resmi PEASS & HackTricks ürünlerini**](https://peass.creator-spring.com) edinin * [**The PEASS Family'yi**](https://opensea.io/collection/the-peass-family) keşfedin, özel [**NFT'lerimiz**](https://opensea.io/collection/the-peass-family) koleksiyonumuz * **💬** [**Discord grubuna**](https://discord.gg/hRep4RUj7f) **veya** [**telegram grubuna**](https://t.me/peass) **katılın veya bizi Twitter 🐦** [**@carlospolopm**](https://twitter.com/hacktricks\_live)**'da takip edin.** * **Hacking püf noktalarınızı paylaşarak PR'ler göndererek** [**HackTricks**](https://github.com/carlospolop/hacktricks) ve [**HackTricks Cloud**](https://github.com/carlospolop/hacktricks-cloud) github depolarına katkıda bulunun.