AG Test: forensics

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s1600/tcpdump.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="158" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEgJcKDwe5E3jOFzGnDZSC2SRmQ674pzZcg5YqcBZJSfdOXAKBKTRGnSanHfCSBRDxXR45xnZSQptMercN_j5U9PSYdJD7xMCSFEUfpv64SE3GJvkZyZmNY28s6K8bEQJkPRdNQb2Ij3N7Y2/s200/tcpdump.png" width="200" /></a>Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek <b>tcpdump </b>aracı ile temel ağ trafiği analizinin nasıl gerçekleştirilebileceğine değinilecektir.<br />Analiz yöntemlerinin temelinde <b>pcap </b>verisi yer almaktadır. 1987 yılında <i>Lawrence Berkeley National Laboratory</i> tarafından ortaya konulan bu format, bir çok farklı ağ tabanlı uygulama tarafından okunabilmekte/yazılabilmektedir.<br /><br /><a name="more"></a></div><div style="text-align: justify;">Sistem üzerinde tcpdump bulunmuyorsa </div><h4># apt-get install tcpdump</h4><div style="text-align: justify;">komutu ile kurulum gerçekleştirilebilir.</div><div style="text-align: justify;"><span style="text-align: start;">Tcpdump çıktısının temel olarak yapısı aşağıdaki gibidir:</span><br /><h2 style="text-align: start;"><span style="font-size: small;">[zaman_damgası] [protokol] [kaynak IP].[kaynak port] > [hedef IP].[</span><span style="font-size: small;">hedef</span><span style="font-size: small;"> </span><span style="font-size: small;">port]</span></h2></div><div style="text-align: justify;"><b>-w </b>parametresi ile dosyaya yazmak için</div><h4># tcpdump -w kayit.pcap</h4><blockquote class="tr_bq"><span style="color: #990000;">Görsel gösterim için <a href="http://www.wireshark.org/" target="_blank">Wireshark</a>'tan yararlanılabilir.</span></blockquote><div>Pcap dosyası içindeki paket sayısını bulmak için:</div><h4># tcpdump -nn -r kayit.pcap | wc -l</h4><div><span style="text-align: justify;">I/O yönlendirme ile <b>cut </b>aracı ile dosya içerisindeki kaynak IP adresi ve portu aşağıdaki gibi süzülebilir:</span></div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap | cut -d " " -f3</h4><div style="text-align: justify;">Çıktıdan 2.katman trafiğini hariç tutmak için tcpdump'a protokol süzgeci girilebilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3</h4><div>Port bilgisini de hariç tutarak sadece IP adresini görmek için</div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4</h4><div style="text-align: justify;">Bu noktada sadece IP adreslerini süzmek için aşağıdaki gibi bir düzenli ifade ile <b>grep </b>komutu kullanılabilir:</div><h4>grep -Eo '[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}'</h4><div style="text-align: justify;">Çıktıdaki birbirini tekrar eden kayıtları gözardı etmek ve sıralamak için <b>sort </b>ve <b>uniq </b>komutları kullanılabilir.</div><h4 style="text-align: justify;"># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq</h4><div style="text-align: justify;"><blockquote class="tr_bq"><span style="color: #990000;"><b>sort </b>komutu <b>-u</b> parametresi ile <b>uniq</b>'in yaptığı işlevi görebilmektedir.</span></blockquote></div><div style="text-align: justify;">Belirlenen IP adreslerine dair kaç adet kayıt bulunduğunu görmek için <b>-c </b>parametresi ile <b>uniq </b>komutu çalıştırılır ve çıktı büyükten küçüğe tekrar sıralanır.</div><div><h4># tcpdump -nn -r kayit.pcap 'tcp or udp' | cut -d " " -f3 | cut -d "." -f1-4 | sort | uniq -c | sort -nr</h4><div><div style="text-align: justify;">Sadece bağlantı kurmaya çalışan (SYN bayrağı ayarlanmış) IP adreslerinin hedef aldığı portların belirlenmesi için <b>tcp[13]=2</b> filtresinden yararlanılabilir:</div></div><div><h4># tcpdump -nn -r kayit.pcap 'tcp[13]=2' | cut -d " " -f5 | cut -d "." -f5 | sort | uniq -c | sort -nr</h4></div><div style="text-align: justify;">SMTP, FTP, DNS gibi yükünü düz metin olarak ileten protokollerin içeriklerinin gösterimi için <b>-A </b>parametresi kullanılabilir.</div><h4># tcpdump -Ann -r kayit.pcap 'dst port 21 or dst port 25 or dst port 53 or dst port 80'</h4><div>Çıktı üzerinden istenilen içerik grep ile aranabilir. Örneğin 80.port süzüldükten sonra </div><h4>grep -Ei 'user-agent | sort | uniq -c | sort -nr | head 10</h4><div>komutuna yönlendirilirse en fazla GET isteğinde bulunan 10 User-Agent'ı görülebilir. </div><h2><span style="color: white; font-size: small;">Bazı sık kullanılan tcpdump filtreleri</span></h2><h4># tcpdump net 1.2.3.0/24<br /># tcpdump icmp<br /># tcpdump port 3389<br /># tcpdump udp and src port 53 //udp port 53 filtrele<br /># tcpdump 'src 10.0.2.4 and (dst port 3389 or 22)'<br /># tcpdump -ni eth1 -w file.cap not port 22<br /># tcpdump -ni eth1 -s 150 -c 10 not port 22<br /># tcpdump -r file.cap<br /># tcpdump -e -n not port 22            <span style="color: #cc0000;">//Ethernet başlığını görüntüle</span><br /></h4></div><blockquote class="tr_bq"><span style="color: #990000;">Tcpdump için faydalı bir cheatsheet <a href="http://media.packetlife.net/media/library/12/tcpdump.pdf" target="_blank">bağlantıdan</a> temin edilebilir.</span></blockquote>

Tcpdump ve Temel Linux Komutları ile Temel Ağ Trafiği Analizi

Bu yazıda ağ trafiği analizi için kullanılabilecek bir çok ücretli/ücretsiz araç olmasına rağmen defacto olarak nitelendirilebilecek tcpdump...

<div style="text-align: justify;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjn6W8cUQFKKpHmQwnZP4xlQMW1TnM1wg3TC9wKxtv3XOgmDEqE1GsxC6FCQzabB9IDrhMxLJz7bpQFIQLbVzx1Onf35DmgJK1_Y9TfHsequTW0z1oPAVzc7kYS-Zc0lSGCk1VGLpoMR9k/w392-h300-n-k/v.png" imageanchor="1" style="clear: right; float: right; margin-bottom: 1em; margin-left: 1em;"><img border="0" height="151" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEjn6W8cUQFKKpHmQwnZP4xlQMW1TnM1wg3TC9wKxtv3XOgmDEqE1GsxC6FCQzabB9IDrhMxLJz7bpQFIQLbVzx1Onf35DmgJK1_Y9TfHsequTW0z1oPAVzc7kYS-Zc0lSGCk1VGLpoMR9k/w392-h300-n-k/v.png" width="200" /></a>Günümüzün en çok ilgi gören bilgi güvenliği alanlarından biri olan forensic konusuna dair olan bu notta Windows XP SP3 işletim sistemine sahip bir makineye ait mevcut <b>memory dump</b> dosyası (.vmem) üzerinden <b>Volatility </b>aracı kullanılarak <b>Administrator </b>parolasının ele geçirme yöntemi açıklanacaktır. <a href="http://code.google.com/p/volatility/" target="_blank">Volatility</a> her ne kadar çok geniş kullanım seçenekleri sunsa da bu notta <b>SAM</b> ve <b>SYSTEM </b>dosyalarının yerlerinin tespiti sonrasında hashdump alınması ve sonrasında ele geçirilen hashlerin kırılması gösterilecektir.</div><div style="text-align: justify;"><a name="more"></a><blockquote class="tr_bq">"Notta incelenecek memory dump dosyasına <a href="http://wargame2k10.nuitduhack.com/epreuves/forensic/EOhpD6Ifu7/forensic2.tar.gz" target="_blank">bağlantıdan </a>erişilebilir."</blockquote></div><div style="text-align: justify;">Backtrack5 ile varsayılan olarak gelen Volatility aracına <b>-f</b> parametresi ile mevcut memory dump dosyası girdi olarak verilip <b>hivescan </b>parametresi ile <i>registry hive </i>değerlerinin fiziksel adresleri bulunabilir:</div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hivescan</h4><div><b>hivelist </b>plugini ile sanal adresler belirlenebilir:</div><div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hivelist<br />Volatile Systems Volatility Framework 1.4_rc1<br />Virtual     Physical    Name<br />0xe1cf9008  0x19524008  \??\C:\Documents and Settings\mr_esclave\Local Settings\Application Data\Microsoft\Windows\UsrClass.dat<br />[...]<br />0xe15fdb60  0x0688ab60  \Device\HarddiskVolume1\WINDOWS\system32\config\software<br />0xe15ebb60  0x06708b60  \Device\HarddiskVolume1\WINDOWS\system32\config\default<br />0xe15fd008  0x0688a008  \Device\HarddiskVolume1\WINDOWS\system32\config\SECURITY<br /><span style="color: #cc0000;"><u>0xe15f2658</u> </span> 0x066cf658  \Device\HarddiskVolume1\WINDOWS\system32\config\<u><span style="color: #cc0000;">SAM</span></u><br />0xe12eb288  0x02d58288  [no name]<br /><span style="color: #cc0000;"><u>0xe1035b60 </u></span> 0x02a9fb60  \Device\HarddiskVolume1\WINDOWS\system32\config\<u><span style="color: #cc0000;">system</span></u><br />0xe102e008  0x02a99008  [no name]<br />0x8066e904  0x0066e904  [no name]</h4></div><div style="text-align: justify;">Yukarıda da görüldüğü üzere <b>SAM </b>ve <b>SYSTEM </b>dosyalarının yerleri belirlendikten sonra <b>hashdump </b>pluginine bu dosyaların adresleri verilerek Administrator hash'i elde edilebilir.</div><div><h4># python volatility.py -f ../xp_forensics.vmem --profile=WinXPSP3x86 hashdump -y 0xe1035b60 -s 0xe15f2658<br />Volatile Systems Volatility Framework 1.4_rc1<br />Administrateur:500:a94c6377a507e293d87f0f06a65161cd:ca5cf9cfc07ec43a78d00bc936242594:::</h4></div><div style="text-align: justify;">Bu noktadan sonra <b>JtR</b>, <b>Ophcrack </b>ve Rainbow Tabloları ile bu hash kırılabileceği gibi <a href="http://cracker.offensive-security.com/" target="_blank">bağlantıdan </a>erişilebilecek online siteler aracılığı ile elde ettiğimiz hash kırılabilir.</div><div class="separator" style="clear: both; text-align: center;"><a href="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6IWU6mYW9f4pMzHT_2_T8MlHgTzT9RBr1d7Fh9Gry97LZ3og0Ug0_PNuTPYeLn_dkc-TZddckVhQSidsqY2H3-hZz4FaBo3QDtiiw3NwmlhbM2WE17LNMeRyr3LdPGpjO9Cl2D6XTZjLy/s1600/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" imageanchor="1" style="clear: left; float: left; margin-bottom: 1em; margin-right: 1em;"><img border="0" height="513" src="https://blogger.googleusercontent.com/img/b/R29vZ2xl/AVvXsEj6IWU6mYW9f4pMzHT_2_T8MlHgTzT9RBr1d7Fh9Gry97LZ3og0Ug0_PNuTPYeLn_dkc-TZddckVhQSidsqY2H3-hZz4FaBo3QDtiiw3NwmlhbM2WE17LNMeRyr3LdPGpjO9Cl2D6XTZjLy/s640/Ekran+Al%C4%B1nt%C4%B1s%C4%B1.PNG" width="640" /></a></div><div style="text-align: left;">Volatiliy için daha detaylı bilgi edinmek amacıyla aşağıdaki kaynaktan yararlanabilirsiniz.<br /><h2><a href="http://cse.spsu.edu/raustin2/coursefiles/forensics/How_to_use_Volatility_v2.pdf" target="_blank">How_to_use_Volatility_v2.pdf</a></h2></div>

Volatility ile Memory Dump Üzerinden Yerel Yönetici Parolası Ele Geçirme

Günümüzün en çok ilgi gören bilgi güvenliği alanlarından biri olan forensic konusuna dair olan bu notta Windows XP SP3 işletim sistemine sah...