Lamer Nedir? Lamerlar Sistemleri Nasıl Rahatsız Ederler?

 

    Merhaba,

    Bu yazımda daha önce hiçbir başlığımda bahsetmediğim konulara değineceğim. Geçen günlerde BGA (Bilgi Güvenliği Akademisi) tarafından almış olduğum Güvenli Yazılım Geliştirme Eğitimi'nde öğrendiklerimden bahsetmek istedim. (İmkanınız varsa bu eğitimi almanızı kesinlikle tavsiye ederim.)

    Öncelikle en temelden bahsedeceğimiz için, lamer kavramından başlamak en güzeli.

    Lamer: Hacking ve bunun için gereken bilgisayar uzmanlığı ve programlama yeteneğinin nesnel yönleri yerine, çoğunlukla öznel taraflarıyla ilgili, gösteriş yapma dikkat çekme ve çevredekilerin ilgisini toplama amacındaki kişidir. İnternet üzerinde forum açıp ya da irc kanallarında toplanarak grup oluşturduktan sonra başkalarınca hazırlanmış exploit ve solucan `ları kullanarak web sitelerine saldırır, kullanıcı hesaplarını ele geçirmeye çalışır. Elde ettikleri hesap bilgilerini kullanarak kişisel bilgisayarlara, mail hesaplarına ya da zayıf sunuculara internet üzerinden girerek zarar vermeye calışırlar. Aralarında 'DoS Attack' olarak bilinen Denial of service saldırısı kullanıp bazı web hostinglerine ait serverlara erişimi güçleştirmeye ya da ağır zarar vermeye çalışanları da mevcuttur.

Lamerın, hazır yazılımları kullanmayı becererek geçici ve kısa süreli olsa dahi zarar verebilenlerine çoğunlukla Script Kiddie, bunun dışındakilere ise doğrudan Lamer denilir. Genellikle saldırganlık güdüleri öğrenme isteklerinden baskındır. Bu yüzden işin bilgiye dayanan bölümü ile uğraşmaktan hoşlanmazlar ya da uğraşsalar bile yeterli becerileri olmadığı için bir şey anlamazlar.

    Aslında lamerlara bir nevi hacker çaylağı da denilebilir.

    Peki ne yapar bu lamerlar da bizim canımızı sıkarlar? (Bu yazımda atak örneklerini paylaşmayacağım daha sonraki yazılarımda başlıkları detaylı bir şekilde örneklerle anlatmak istiyorum) Şimdi bazı atak türlerini beraber inceleyelim.
 
    NOT: Ataklarla ilgili güncel listeyi OWASP üzerinden daha detaylı görebilirsiniz. ( Link : Ataklar )

    SQL Injection : Veri tabanına dayalı uygulamalara saldırmak için kullanılan bir atak tekniğidir; burada saldırgan SQL dili özelliklerinden faydalanarak standart uygulama ekranındaki ilgili alana yeni SQL ifadelerini ekler. (Örneğin saldırgan,veritabanı içeriğini kendisine aktarabilir). SQL Injection, uygulamaların yazılımları içindeki bir güvenlik açığından faydalanır,örneğin, uygulamanın kulanıcı giriş bilgileri beklediği kısma SQL ifadeleri gömülür, eğer gelen verinin içeriği uygulama içerisinde filtrelenmiyorsa veya hatalı şekilde filtreleniyorsa, uygulamanın ,içine gömülmüş olan kodla beraber hiçbir hata vermeden çalıştığı görülür.SQL Injection, çoğunlukla web siteleri için kullanılan bir saldırı türü olarak bilinse de SQL veritabanına dayalı tüm uygulamalarda gerçeklenebilir.

    XSS Atackları: Netscape, JavaScript dilinin tarayıcılarında çalıştırılabileceğini duyurduğunda web sunucusu tarafından gönderilen ve istemcide çalıştrılabilen kodların güvenlik riskleri yaratabileceğini göstermiş oluyordu. Örneğin, bir sayfadan çalıştırılan betik diğer bir sayfaya ulaşabilecekti. Kötü niyetli bir web sitesinin bu yolla diğer sitelerin bilgilerini çalması üzerine bu ayrıcalık kısıtlanmış ve söz konusu betiklerin yalnızca aynı alan adı üzerinde kullanılmasına karar verilmiştir.

    O zamandan bu yana, kötü niyetli sitelerden korunmak için küçük erişim kontrolü tedbirleri geliştirildi. Genelde cross site scripting açıkları, saldırganın sistemi deneme-yanılma yaparak bulması ile ortaya çıkmaktadır. Açığın bulunması ile saldırgan, başka bir alan adından, açığın bulunduğu alan adı ve sayfanın bilgilerini, oturum ayrıntılarını ve diğer nesne değerlerini çalabilmektedir.

    Broken Authentication and Session Management: Adından da anlaşılacağı üzere session üzerinde tutulan bilgileri kullanılarak yapılan bir atak türüdür.  Çoğu site artık bu zafiyeti gidermiştir ancak unutulan siteler için durum vahimdir. Tam olarak güvenliği sağlanmamış bilgilerin manipüle edilmesiyle oluşan zaafiyet türüdür.

    ÖR:    http://example.com/sale/saleitems?sessionid=268544541&dest=Hawaii

    Senaryo 1: Uygulamanın zamanaşımı düzgün ayarlanmamıştır. Kullanıcı siteye erişmek için genel bir bilgisayar kulanıyor ise ve "çıkış" ı seçmek yerine direk olarak tarayıcı kapattıysa risk büyüktür. Daha sonra bu bilgisayarı kullanacak diğer bir kişi olarak bu siteye girdiğinde aynı kullanıcıya erişebilir.

Senaryo 2: İçeriden öğrenen veya dışarıdan gelen saldırgan, sistemin şifre veritabanına erişir. Kullanıcı şifreleri düzgün olarak karmaşık değildir ve tüm kullanıcıların şifrelerine saldırgana açıktır.

    IDOR: Herhangi bir kontrol mekanizması olmadan, kod içerisinden bir dosyanın include edilmesi, direk veritabanı erişim bilgilerinin saklanması ve çağrılması ve benzeri public fonksiyon erişimleri gibi hatalar.

    CSRF: Son kullanıcıyı, kimliği doğrulanmış olan bir web uygulamasında istenmeyen eylemleri gerçekleştirmeye zorlayan bir saldırıdır

Security Misconfiguration: Güvenlik ile ilgili tanımların zayıf, yanlış veya varsayılan olarak bırakılmasından kaynaklanan saldırılardır. Örneğin evinizdkei ADSL modemleri şifrelerinin değiştirilmemesi gibi. Her cihazın default şifrelerine ( bunlara cisco, juniper vb güçlü cihazlar dahil) internetten 15 saniyede ulaşabilirsiniz.

Insecure Cryptographic: Storage Kriptolonamamış verilerin zayıf sunucularda korunması (maması). Günümüzde pek çok e-ticaret sitesi müşterilerinin bilgilerini şifrelemeden saklamaktadır. Kötü niyetli Host sahibi veya saldırgan bu bilgilere ulaşabilir.

Failure to Restrict URL Access: Erişimi kısıtlanmış sayfalara erişimlerin kontrol edilmemesi, bu sayafalara erişen diğer sayfa ve modüllerin iyi bir şekilde izlenmemesi veya kodlama hataları vb.

    Insufficient Transport Layer Protection: Bir çoğu şifreleme, yetkilendirme, erişilebilirlik gibi güvenlik seviyelerinde zayıftırlar. Örneğin süresi dolmuş sertifikaları kullanabilir, zayıf şifrelemele algoritmaları ile iletişim kurabilir veya bunları hiç birini yapmamakdatırlar.

    Unvalidated Redirects and Forwards: Çok web uygulamasında ilk ve son veri kontrolü yapılmaksızın yönlendirmeler yapılmaktadır. Buna en güzel örnek yıllar önce alışveriş sitelerinde ödeme sayfasına geçmeden bir önceki sayfalarda fiyatlar ve miktalar değiştirilerek ödeme sayfasına yönlendirme işlemleri idi.

    Bunların haricinde FileUpload, TLS, ReDos, vb. tehdit türleri de mevcuttur. Daha detaylı listeyi OWASP üzerinden bulabilirsiniz. Bu konuya meraklı olan arkadaşların OWASP Türkiye mail grubuna dahil olmasını tavsiye ederim. (Link : OWASP Türkiye Mail Grubu)

    Güvenli kalmanız dileklerimle :)

    Kaynakça:

    1) https://www.owasp.org/index.php/Category:Attack

    2) https://www.olympos.net/belgeler/owasp/en-guncel-10-guvenlik-riski-5071048.html

    3) https://www.bgasecurity.com/egitim/guvenli-yazilim-gelistirme-egitimi/

    4) https://www.bgasecurity.com/makaleler/

    5) https://en.wikipedia.org/wiki/OWASP

    6) https://en.wikipedia.org/wiki/Cyberattack

    7) https://tr.wikipedia.org/wiki/SQL_Injection

    8) https://tr.wikipedia.org/wiki/Kategori:Exploitler