Linux ve windows sistemler için temel güvenlik önlemleri ile birlikte gelişmiş güvenlik önemlemleri alma ve optimizasyon hakkında türkçe yazılar ve daha fazlası
The readpst utility can be used for converting Outlook style pst files to standard UNIX mailbox format files. This package contains tools based on libpst to read data from Microsoft Outlook PST files.
First, install the packages sudo apt install pst-utils
readpst -D outlook-file.pstlist data in PST files
lspst outlook-file.pstTehdit istihbaratı, kötü amaçlı yazılım analizi gibi konularının son zamanlarda çok popüler nedense herkes bir şeyleri arıyor, bu yazıda sizlere alan adları hakkında olduğunca fazla bilgiyi bulma yaklaşımlarımı anlatmak istiyorum.
Unutmayın bulunmamışı bulmak gibi bir olayımız yok, gözden kaçan ve/veya yanlış yapılandırılmış sunuculardan alınan bilgiler ışığında ilerleyeceğiz, halka açık araçlar ve teknikleri kullanacağız.
Belki de elimizin altında bulunması gereken en temel araçlardan bir tanesidir, online aşağıdaki web siteleri aracılığı ile sorgulama yapabileceğiniz gibi,
Aynı zamanda Linux üzerindeki CLI aracı ile de kontrol sağlayabilirsiniz.
whois mertcangokgoz.com
Bu bilgiler alan adını kayıt eden kişiler hakkında bilgi sağlar, kimi zaman proxy arkasında olsa bile birtakım servisler tarafından geçmişe yönelik olarak tespit edilebilir.
Belirli bir kuruluşa bağlı olup olmadığı hakkında bilgiler edinebilirsiniz. Phishing tespit edilmesi noktasında önemlidir.
Bu bize, alan adının geçmişte ne işler için kullanıldığını hangi firmada, kimin tarafından satın alındığını ve ne yapıldığı hakkında detaylı bilgiler sunar, bu noktada kullanılabilecek pek çok servis ve hizmet bulunmaktadır. Ancak başlı çaları şu şekildedir
Bunun dışında Google Cache kullanarak eskiye dönük alan adlarının takibini yapma imkanınızda bulunmaktadır.
cache:https://mertcangokgoz.com
Analiz edilen site eğer internet ortamında çokça kullanıldığı düşünülüyor ise SEO araçlarından faydalanılarak, sitenin trafik kaynakları kontrol edilir. Bunun için kullanılabilecek araçlar
Bu sayede bağlantı ilk olarak nerede ortaya çıktığı, ne gibi yerlerden trafik geldiği ve içeriklerin nasıl ortaya çıktığını basitçe öğrenebilirsiniz. Paralı olan araçlar için kıyıda köşede bir miktar para bulundurmanızı öneririm.
Mevcut sunulan alan adındaki web sunucusunun içeriğinde ne olduğunu kontrol etmek isteyebilirsiniz. Siteye gitmeden kontrol etmek kimi durumlarda bize hız kazandırabiliyor (API kullanılırsa), VPN veya sanal bir makine aracılığı ile en azından biraz koruma alarak şüphenizle bir web sitesini ziyaret etmelisiniz.
Bu işi biraz taşere etmek isterseniz, HTTP isteğini sizin yerinize yapan ve yakın zamanda betadan çıkan https://urlscan.io/ kullanabilirsiniz.
Siteyi takip etmeniz gereken durumlar olabilir bu noktada size hayati bir servisi önereceğim, https://visualping.io/ bu servis aracılığı ile sitenin istediğiniz bir yerini izlemeye alabilirsiniz. Böylelikle içerik değiştiği anda bildirim alabilir neler olup bittiğine bakabilirsiniz.
Web sitesinin kullandığı bileşenleri tespit etmek kullanılan teknolojiyi öğrenmek hedefi tanımak için gerekli, bu amaç için kullanabileceğiniz birden fazla araç bulunmakta
Zafiyet barındıran bir uygulamanın tespiti yapılabilir, gerekli durumlarda aksiyon alınabilir.
Warez tema, eklenti ve bilimum bileşeni ücretsiz olarak size sunduğunu söyleyerek, umut tacirliği yapan ve bol miktarda malware bulunduran ve yayan web siteleri aşağıdaki gibidir.
Bu web sitelerden asla ve asla içerik indirmeyiniz.
Güncelleme: 17 Temmuz 2020
downloadfreethemes.co
downloadfreethemes.space
downloadnulled.pw
freenulled.top
nulledzip.download
themesfreedownload.net
themesfreedownload.top
vestathemes.com
wpnull24.com
nulledfree.pw
2nulled.com
null5.top
xnulls.com
nulled.today
wpthemify.com
allwpworld.comGüvenlik amacıyla her sisteme dahil ettiğimiz Fail2Ban uygulaması aracılığı ile Port taramalarını çok kolay bir şekilde tespit edebiliriz, buradaki olay şu
Normalde kapalı portlara kimse ilişip gelmez ve istek atmaz. İşte bu noktada port taraması yapıldığını anlar gerekli aksiyonu basit bir şekilde alabiliriz.
Öncelikli yapacağımız /etc/fail2ban/filter.d yoluna yeni filtreyi tanımlamak ben bunu sizin için hem iptables hem ufw için vereceğim.
UFW
[Definition]
failregex = .*\[UFW BLOCK\] IN=.* SRC=<HOST>
ignoreregex =IPTABLES
[Definition]
failregex = PORT DENIED: .* SRC=<HOST>
ignoreregex =Ardından tespit edildikten sonra ne yapılması gerektiğini seçiyoruz, bu noktada erişimlerini firewall üzerinden kesmeniz iyi olacaktır. Tanımlamayı /etc/fail2ban/action.d içerisine yapıyoruz.
UFW
[Definition]
actionstart =
actionstop =
actioncheck =
actionban = ufw deny in from <ip>
actionunban = ufw delete deny in from <ip>IPTABLES
[Definition]
actionstart =
actionstop =
actioncheck =
actionban = iptables -I INPUT -s <ip> -j DROP
actionunban = iptables -D INPUT -s <ip> -j DROPİşlemden hemen sonra bu korumamızı aktif etmek için /etc/fail2ban yolunda yer alan jail.conf düzenliyoruz.
UFW için
[portscan]
enabled = true
filter = portscan
logpath = /var/log/ufw.log
action = ufw
maxretry = 3
bantime = 900IPTABLES için
[portscan]
enabled = true
filter = portscan
logpath = /var/log/messages
action = iptables
maxretry = 3
bantime = 900Kötü amaçlı yazılımlar(malware) ve arka planda çalışan gizli uygulamalar(rootkit) tespiti için sistemde belirli aralıklarla tarama işlemleri gerçekleştirmek gerekir.
Taramalarda önceliğimiz ilk başta Lynis olabilir. Bunun için yapmamız gerekenler
wget https://downloads.cisofy.com/lynis/lynis-2.7.5.tar.gz
tar xvzf lynis-2.7.5.tar.gzDosyaları direk ana dizinde tutmak yerine /usr/local/share/ yolunda tutmak işimize yarayabilir.
mv lynis/ /usr/local/share/
ln -s /usr/local/share/lynis/lynis /usr/local/bin/lynisArdından güzel güzel ilk taramamızı lynis audit system ile yapalım.
Loglar ise /var/log/lynis.log adlı dosyada yer almaktadır. Tarama tamamlandığında dosyayı kontrol edebilirsiniz. Ayrıca bu dosyayı gene alanında uzman kişilere atarak hızlıca çözüm üretilmesini sağlayabilirsiniz.
Hemen ardından kullanabileceğimiz bir başka aracımız ise Chkrootkit, sisteme dahil etmesi oldukça basit olan bu araç hem ücretsiz hemde belirtileri tarama konusunda oldukça etkili.
apt-get install chkrootkitKurulum tamamlandıktan hemen sonra sudo chkrootkit komutu ile taramayı başlatabilirsiniz.
Tarama sırasında bilinen bütün rootkitler ve malwareler için tarama yapılır.
Açık kaynak kodlu ClamAV ile sistemde virüs, malware ve trojen ile birlikte diğer kötücül programların tespiti yapılabilir.
sudo apt-get install clamavKurulum tamamlandıktan sonra normalde freshclam komutu ile veritabanında güncelleme yapmamız gerekir. Ancak kurulumdan hemen sonra arka planda otomatik olarak bu işlem yapılacağı için bahsi geçen komutun kullanımını tamamen size bırakıyorum.
Belirli dizinlerin taranması için ise aşağıdaki komutu kullanabilirsiniz.
clamscan -r -i <dizin-adi>
Bu araçların dışında kullanabileceğiniz bir kaç araç daha bulunmaktadır.
Fail2Ban, web sunucularında bruce kuvvet girişimleriyle yetkisiz erişimi korumak için kullanılan bir araçtır. Bazen bu araç, gerçek giriş denemelerini yakalayabilir. Buda bize false positive olarak geri dönebilir ve ip adresimiz kara listeye girebilir.
Bu durumda aşağıdaki işlemleri gerçekleştirerek ip adresinizi kara listeden çıkartabilirsiniz.
Ip adresinin firewall(Güvenlik duvarı) tarafından engellenip engellenmediğine bakıyoruz.
iptables -L -nAynı zamanda Fail2ban‘da kullandığımız jaillere bakıyoruz. Engelini kaldıracağımız Ip adresini hangi jailde kullanacağımız önemli.
fail2ban-client statusEngelini kaldıracağımız jailin adını aldıktan sonra Ip adresi ile beraber Fail2Ban’a bildiriyoruz.
fail2ban-client set <JAIL> unbanip <IPADDRESS>Örneğin SSH bağlantılarında yasaklı olan bir Ip adresini aşağıdaki gibi engelliler listesinden kaldırabiliriz.
fail2ban-client set ssh unbanip 1.1.1.1Güvenlik ve gizlilik denildiği zaman adını sıkça duyduğunuz Tor Network’ü beraberinde pek çok gizlilik sorununu da habercisi olabiliyor. Konu ile ilgili detaylı araştırmaya aşağıdaki bağlantı aracılığı ile ulaşabilirsiniz.
Bu aşamada kullanıcıların tor düğümlerine bağlanmasının önüne güvenlik sebepleri ile geçildi. Tıpkı VPN bağlantılarının önüne geçilmesi gibi. Ancak kimi zaman tor trafiğine ihtiyacımız olduğu zamanlar oluyor. Bu durumda yapmamız gerekenler oldukça basittir.
Bir ISP e-posta trafiklerine karışamaz. Bu noktada Tor ve ekipmanlarını edinmek için VPN yada ek bir araca gerek duymadan tor browser veya tor uygulamasını direk olarak indirebileceğiz.
Bu noktada yapmamız gereken popüler e-posta servisimiz aracılığı ile tor üzerinden dosyayı talep etmektir. Bunu yapmanın en kolay yolu [email protected] adresine boş bir e-posta göndermektir. Gönderdiğiniz e-postaya cevap olarak sizden hangi işletim sistemini kullandığınız konusunda bilgi isteyecek.
Cevap olarak kullanacağımız işletim sistemini belirtiyoruz. Ben iş istasyonumda Windows kullandığım için direk olarak “windows” şeklinde gelen e-postayı cevapladım.
Artık Tor tarayıcısını sisteminizde kullanabilirsiniz. Rehberimizin bu bölümü genel kullanım amacı ile Tor tarayıcısının nasıl indirilebileceğini göstermektedir.
Gelelim makalemizin en şıkır şıkır bölümüne, bildiğiniz gibi Tor düğümlerine bağlanmak istediğimiz andan itibaren handshake hataları ile boğuşmak zorunda kalıyoruz. Bu durumun önüne geçebilmek adına bağlantıların herhangi bir köprü ile karıştırılması gerekiyor. Biz bunun için obfs4 kullanacağız.
sudo apt install obfs4proxySistemimize karıştırma işlemleri için kullanacağımız uygulamamızı dahil ediyoruz.
Sisteminizde tor ve istatistik aracı yüklü değilse aşağıdaki şekilde sisteme ekliyoruz.
sudo apt install tor tor-armKurulum işlemi tamamlandıktan sonra servis çalışmaya otomatik olarak başlayacak ancak hiçbir yere bağlanmayacaksınız. Çünkü engellemelerden dolayı düğümler çalışmayacak.
Köprüleme işlemi için [email protected] adresine içerisinde “get bridges” yazan bir e-posta gönderiyoruz. Cevap olarak ise bize köprüler rastgele bir şekilde geliyor.
İhtiyacımız olan 2 tanesini alıyoruz. Şimdi sıra .torrc yapılandırmaya geldi.
nano .torrcDaha önceden kopyaladığım. Tor Bridge(Köprü) bilgileri ile aşağıdaki yapılandırmayı oluşturuyoruz.
UseBridges 1
ClientTransportPlugin obfs4 exec /usr/bin/obfs4proxy
Bridge 52.56.208.52:8443 9EA107A1C4B09FB6E45B25A53861D2BAF296B604
Bridge 188.166.35.153:8443 84FF468500F497E3691E7F7A5469CEA71508FEECYapılandırma dosyamız ile işimiz bittiyse, sıra geldi servislerin yeniden başlatılmasına
systemctl restart torYeniden başlatma işlemini tamamladıktan sonra bağlantıların kurulup kurulmadığını anlayabilmek için aşağıdaki komutu veriyoruz.
tail -f /var/log/tor/logÇıktısı aşağıdaki gibi gözüküyor ise bağlantı başarılı bir şekilde kurulmuş demektir.
Nov 16 12:53:21.000 [notice] Bootstrapped 0%: Starting
Nov 16 12:53:22.000 [notice] Bootstrapped 80%: Connecting to the Tor network
Nov 16 12:53:23.000 [notice] Bootstrapped 85%: Finishing handshake with first hop
Nov 16 12:53:24.000 [notice] Bootstrapped 90%: Establishing a Tor circuit
Nov 16 12:53:24.000 [notice] Tor has successfully opened a circuit. Looks like client functionality is working.
Nov 16 12:53:24.000 [notice] Bootstrapped 100%: DoneBu aşamadan sonra istediğiniz gibi Tor network’ünü kullanabilirsiniz.
Herkesin başına gelebilecek bir durum olan ve halk arasında “shell yedim, hacklendim, virüs bulaştı” şeklinde ifade edilen PHP web sitelerinin kabusu olan WebShell’lerinin nasıl tespit edilebileceğinden kısaca bahsedeceğim.
Genellikle hosting kullanan arkadaşlarımızın sık sık başına gelen bu olaylar kimi zaman can sıkıcı olabiliyor. Özellikle günümüzde Shell’ler aracılığı ile Link ekleme, Başka web sitelerine reklam amacıyla yönlendirme, Uzaktan içerik çağırma vb saldırılar gerçekleştirilmektedir.
Ancak aynı zamanda kullanılan yazılımlarda bulunan güvenlik açıklıklarıyla ve(veya) yanlış dosya ve(veya) klasör izinleri ile gene bu gizi kötücül yazılımlar sistemlere bulaşabiliyor.
Manuel olarak aksiyon alamayacak durumda olanlar için bir takım araçlar kullanarak shell taraması yapabilirsiniz. Bütün dosyalarınızda tarama yapmanızı şiddetle öneririm. Shellboy projesi yardımıyla taramayı gerçekleştireceğiz.
wget https://github.com/c1982/shellboy/releases/download/v0.0.1-beta/shellboy_linux_amd64
./shellboy_linux_amd64 --directory=/home/publicHer hangi bir bulgu olması durumunda uygulama sizi uyaracaktır.
Sistem üzerinde tespit ettiğiniz anormallikleri çözmek için anında işleme geçip sunucu üzerinde son değiştirilen dosyaları kontrol etmeniz gerekir. Bu bize direk Shell’in yolunu verebilir.
Son 7 güne ait php dosyalarında değişiklik yapılan dosya tespiti
find . -type f -name '*.php' -mtime -7Kimi zaman sitenizde bir takım alanlar değiştirilmiş olabilir. Bunlar genellikle yönlendirme kodları veya dışarıdan getirilmiş içerikler olabilir. Bunun tespiti için
find . -type f -name '*.php' | xargs egrep -i "preg_replace *\((['|\"])(.).*\2[a-z]*e[^\1]*\1 *," --color Wordpress, Drupal, Magento vb hazır sistemler kullanıyorsanız. diff komutu aracılığı ile sisteminizde dosyalarını kontrol edebilirsiniz.
diff -r wordpress/ /var/www/sites/ -x wp-contentKimi zaman sistemde dosyalarınızın izinleri karışmış olabilir, genelde en çok karşılaşılan bu durumu çözmek her ne kadar kolay olsa da tehlikelidir.
find . -type d -perm 0777Kimi zaman uploads klasörüne eklenmiş bir görsel içerik(jpeg, png, gif vb) bile sizin web sitenize etki eden bir shell olabilir. Bu yüzden mevcut görsellerimiz içerisinde bile tarama işlemi gerçekleştirmemiz gerekir.
find uploads -type f -iname '*.jpg' | xargs grep -i phpKimi zaman saldırganlar web sitenizde bulunan dosyalara ekleme yaparak kancalama atakları yapabilir. Bu gibi durumlarda mevcut dosyalarınızın başına yada sonuna kötü amaçlı yazılım kodları eklenebilir.
find . -type f -name '\.htaccess' | xargs grep -i auto_prepend_file
find . -type f -name '\.htaccess' | xargs grep -i auto_append_fileDosyaların içerisinde php’de kullanımı şüpheli olan kodlar olabilir. Bunları tespit etmemiz ve gerekeni yapmamız gerekebilir, wordpress veya drupal gibi hazır sistemler kullanıyorsanız sizi yanıltacak sonuçlar çıkartabilir.
find . -type f -name '*.php' | xargs egrep -i "(fsockopen|pfsockopen|stream\_socket\_client|exec|system|passthru|eval|base64_decode) *\("Aramaları tek tek yapmak isterseniz aşağıdaki komutlardan faydalanabilirsiniz.
find . -type f -name '*.php' | xargs grep -l "eval *(" --color
find . -type f -name '*.php' | xargs grep -l "base64_decode *(" --color
find . -type f -name '*.php' | xargs grep -l "gzinflate *(" --color
find . -type f -name '*.php' | xargs grep -l "eval *(str_rot13 *(base64_decode *(" --color
find . -type f -name '*.php' | xargs grep -l "stream_socket_client *(" --color
find . -type f -name '*.php' | xargs grep -l "pfsockopen *(" --color
find . -type f -name '*.php' | xargs grep -l "mail *(" --color Sunucunuz da şüphelenmemiz gereken durumlardan bir tanesi de açık portlar ve servisler, sizin network kaynaklarınızı olumsuz yönde kullanıyor olabilir
netstat -na | grep -i LISTENAynı zamanda sistem kaynaklarınızı kripto para kazımak için kullanabileceklerini unutmayın. Yukarıdaki bağlantı kontrolüne ek sunucunuzun CPU durumuna da bakmayı unutmayınız.
Her zaman web sitelerine girerek SSL sürümlerine, detaylarına ve geçerlilik sürelerine bakma zahmetine ben katlanamıyordum işleri geciktirmekten başka bir işe yaramıyordu.
Testin bitmesi fazlasıyla uzun sürdüğünde çok uğraşıyorduk. Halbuki sistemde bulunan openssl ile kolay bir şekilde bilgileri alabiliyoruz.
Siteden SSL hakkında bilgiler tedarik edilir.
echo GET | openssl s_client -servername mertcangokgoz.com -connect mertcangokgoz.com:443 > cert.txtGerekli olan zaman kontrolü yapılacak değer alınır.
openssl x509 -in cert.txt -noout -enddateBu makalede, Parrot Security‘nin bilgisayara adım adım nasıl yükleneceğini göstereceğim. Aslında, Parrot Security kurulumu çokda zor değil. Normal bir linux dağıtımını kurar gibi kolay bir şekilde kurabilirsiniz, verilerinizi kaybetmek istemiyorsanız sanal makine üzerine kurulumunuzu gerçekleştirebilirsiniz.
İlk olarak güncel ISO’yu Parrot Security OS‘un resmi sayfasından indiriyoruz. 64-Bit olan sürümü indirirseniz sizin için daha iyi olur.
İndirme işlemimiz tamamlandıktan sonra, Etcher veya herhangi bir araç ile USB belleğe yazdırıyoruz.
ISO’yu boot ettiğimizde karşımıza kurulum ekranı çıkacak ilk ekrandan “Install” seçeneğini seçiyoruz.
Ardından bu ekranda “Standart Installer” seçeneğini seçip devam ediyoruz.
Ardından işletim sistemimizin dilini “Turkish” olarak seçiyoruz.
Kullanılacak bölgeyi seçiyoruz.
Klavyemizi seçiyoruz. Bu aşamada Turkish Q seçmeyi unutmayın. Aksi durumda türkçe karakterlerde sorun yaşayacağınızı hatırlatırım.
Burada root kullanıcı parolasını ayarlayın ve ardından Continue’ye tıklayın. Kurulum bittikten sonra Parrot Security’e bu parola aracılığı ile giriş yapacaksınız.
Sistemde kullanacağımız normal kullanıcımızın kullanıcı adını tanımlıyoruz.
Oluşturduğumuz bu kullanıcının parolasını belirliyoruz.
Sistem saatimizi ayarlıyoruz. Türkiye’de kullanılan saat dilimi için Istanbul seçmeyi unutmayın.
Ardından disk seçimi ve alan ayarlamalarına sıra geliyor. Biz burada LVM uyguluyoruz ilerleyen zamanda diskleri genişletmemiz gerekirse bize kolaylık sağlayacak.
Yapılandırmanın uygulanacağı diski seçiyoruz.
Yapılandırmanın diske hangi şekilde uygulanması gerektiğini seçiyoruz, ben direk olarak önerilen yöntemi uygulayıp geçtim. kendinize uygun bir bölümlemeyide yapabilirsiniz.
Yapılandırmamızın LVM olması için onayımızı veriyoruz.
Diskin boyutunu ayarlıyoruz. Tüm alanı veriyoruz.
Ardından seçtiğimiz bu değişikliklerin disk üzerine uygulanmasını sağlamak için onay veriyoruz.
Ardından Parrot Security OS kurulumumuz başlıyor. Kurulum sistem özelliklerinize göre 30 dk kadar sürebilir.
