[center]![[Resim: attachment.php?aid=203]](https://www.turkteam.org/attachment.php?aid=203)
[/center]
Selam TurkTeam, BlueTornado burada.
Shodan, internete açık cihazlar ve servisler için bir arama motorudur. Banner'lar, sertifikalar, başlıklar ve bazı meta veriler indekslenir. Bu rehber temeller ve etik kullanım odaklıdır: kendi varlıklarınızı nasıl gördüğünüzü anlamak, yanlış yapılandırmayı yakalamak ve yasal sınırları bilmek. İzinsiz sistemlere saldırı anlatılmaz; Google Dorks konusu ayrıca mevcuttur.
Konuda Anlatılacaklar
1) Shodan Nedir?
Klasik arama motorları web sayfalarını indeksler. Shodan ise daha çok servis banner'larını indeksler: açık portlarda konuşan HTTP, SSH, FTP, endüstriyel protokoller vb. "İnternette şu an kim neyi açık bırakmış?" sorusuna pasif bir bakış sunar.
2) Etik ve Yasal Çerçeve
Türkiye'de bilişim sistemine izinsiz girme TCK 243-245 kapsamında düzenlenir. Pasif arama ile aktif sömürü arasındaki çizgiyi aşmayın.
3) Başlangıç: Hesap ve Arayüz
CLI kurulumu (opsiyonel):
[center][/center]
4) Arama Sözdizimi Temelleri
Filtreler birleştirilebilir:
Örnek yorumlama:
Üretimde başkasının MongoDB'sine bağlanmayı denemeyin.
5) Uygulamalı: Kendi Envanterinizi Görmek
Adım 1 - Public IP listenizi çıkarın. Bulut konsolu, firewall, hosting paneli.
Adım 2 - Shodan'da net/hostname arayın.
Adım 3 - Beklenmeyen port var mı?
[center][/center]
Adım 4 - Düzeltme ve doğrulama. Firewall kuralı, security group, reverse proxy kısıtı. Bir süre sonra indeksi tekrar kontrol edin (indeks gecikmeli olabilir).
6) Faydalı Filtre Senaryoları (Savunma)
Çıktıyı bir envanter tablosuna aktarın:
7) İleri Seviye
Shodan Monitor / Alert: Belirli net bloğu için yeni açık port uyarısı (ücretli özellikler değişebilir; resmi dokümana bakın).
API:
Alternatifler: Censys, FOFA, ZoomEye benzeri motorlar; her birinin ToS ve yasal şartları farklıdır. BinaryEdge vb. ticari seçenekler.
OPSEC: Araştırmacı hesabınızı günlük tarayıcı profilinizden ayırın; API anahtarını sızdırmayın.
[center][/center]
8) Sonuç
Shodan, internete açık yüzünüzü görmek için güçlü bir OSINT aracıdır. Etik kullanım kendi varlıklarınız ve izinli kapsamla başlar. Sonuçları envanter ve sertleştirme sürecine bağlayın; merakla başkasının sistemine girmeyin.
Ek: Ekip İçin Savunma Playbook'u
Küçük bir güvenlik ekibi Shodan'ı şu döngüyle kullanabilir:
Yanlış kullanım örnekleri (yapmayın):
[center][/center]
Pasif görünürlük ile aktif ihlal arasındaki farkı ekip içinde yazılı politika haline getirin.
Kaynakça
Yasal Uyarı
Bu içerik eğitim ve savunma (kendi varlık görünürlüğü) içindir. İzinsiz erişim, tarama ötesi sömürü veya veri hırsızlığı TCK 243, 244, 245 kapsamında suçtur. Shodan kullanımında da yerel yasalara ve Shodan ToS'a uyun. Sorumluluk uygulayana aittir.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).
Selam TurkTeam, BlueTornado burada.
Shodan, internete açık cihazlar ve servisler için bir arama motorudur. Banner'lar, sertifikalar, başlıklar ve bazı meta veriler indekslenir. Bu rehber temeller ve etik kullanım odaklıdır: kendi varlıklarınızı nasıl gördüğünüzü anlamak, yanlış yapılandırmayı yakalamak ve yasal sınırları bilmek. İzinsiz sistemlere saldırı anlatılmaz; Google Dorks konusu ayrıca mevcuttur.
Konuda Anlatılacaklar
- Shodan nedir, ne değildir?
- Hesap, kredi ve yasal/etik çerçeve
- Arama sözdizimi temelleri
- Kendi IP/domain envanterinizi kontrol etme
- Yaygın filtreler ve çıktı yorumlama
- İleri seviye: monitör, API, alternatifler
- Kaynakça ve yasal uyarı
1) Shodan Nedir?
Klasik arama motorları web sayfalarını indeksler. Shodan ise daha çok servis banner'larını indeksler: açık portlarda konuşan HTTP, SSH, FTP, endüstriyel protokoller vb. "İnternette şu an kim neyi açık bırakmış?" sorusuna pasif bir bakış sunar.
- Yapar: Herkese açık şekilde görünen servis bilgilerini aranabilir kılar
- Yapmaz (sizin yerinize): Otomatik exploit, şifre kırma, izinsiz giriş
- Sizin sorumluluğunuz: Sonucu nasıl kullanacağınız
Alıntı:Shodan'da bir cihazın görünmesi tek başına "hack'lendi" anlamına gelmez. Ancak varsayılan arayüzlerin, test panellerinin veya yanlışlıkla public kalan yönetim konsollarının keşfini kolaylaştırır.
2) Etik ve Yasal Çerçeve
- Öncelik: kendi kurumunuzun IP aralıkları, kendi bulut hesaplarınız, yazılı izinli kapsam
- Başkasının altyapısında banner ötesine geçmek (login denemesi, exploit) izin olmadan yasaktır
- Bulduğunuz kişisel veriyi paylaşmayın / satmayın
- Responsible disclosure: kendi müşteriniz değilse ve kritik bir açık görürseniz, yasal danışmanlık ve CERT süreçlerini bilin; "iyi niyet" her zaman yasal koruma sağlamayabilir
Türkiye'de bilişim sistemine izinsiz girme TCK 243-245 kapsamında düzenlenir. Pasif arama ile aktif sömürü arasındaki çizgiyi aşmayın.
3) Başlangıç: Hesap ve Arayüz
Kod:
# https://www.shodan.io adresinden hesap
# Ücretsiz hesapta arama ve sonuç sayısı sınırlıdır
# Akademik / ücretsiz kredi fırsatları dönemsel değişir; resmi siteyi kontrol edinCLI kurulumu (opsiyonel):
Kod:
pipx install shodan
shodan init YOUR_API_KEY
# Anahtarı ekran görüntüsüne / git'e koymayın[center][/center]
4) Arama Sözdizimi Temelleri
Filtreler birleştirilebilir:
Kod:
hostname:turkteam.org
org:"Example Company"
net:203.0.113.0/24
port:22
product:nginx
http.title:"Dashboard"
http.status:200
country:TR
ssl.cert.subject.cn:example.comKod:
# Kendi lab netiniz (örnek RFC 5737 dokümantasyon IP'si değil; kendi aralığınız)
net:SIZIN_PUBLIC_IP/32
# veya
hostname:lab.sizin-domaininiz.comÖrnek yorumlama:
Kod:
product:mongodb net:SIZIN_CIDR
# Kendi CIDR'ınızda beklenmeyen MongoDB görünüyorsa acil gözden geçirin
# Authentication olmadan açık DB'ler geçmişte sıkça indekslenmiştirÜretimde başkasının MongoDB'sine bağlanmayı denemeyin.
5) Uygulamalı: Kendi Envanterinizi Görmek
Adım 1 - Public IP listenizi çıkarın. Bulut konsolu, firewall, hosting paneli.
Kod:
# Örnek not
edge-fw: 198.51.100.10
vpn: 198.51.100.11
web: 203.0.113.50Adım 2 - Shodan'da net/hostname arayın.
Kod:
shodan host 203.0.113.50
# veya web arayüzüAdım 3 - Beklenmeyen port var mı?
- Dev/test paneli production IP'sinde mi?
- Eski SSL / zayıf şifru takımı banner'da görünüyor mu?
- başlığı sürüm sızdırıyor mu? (bilgi; tek başına zafiyet değil)Kod:
Server
[center][/center]
Adım 4 - Düzeltme ve doğrulama. Firewall kuralı, security group, reverse proxy kısıtı. Bir süre sonra indeksi tekrar kontrol edin (indeks gecikmeli olabilir).
Kod:
# SSL sertifika bilgisi (kendi hostunuz)
echo | openssl s_client -connect SIZIN_HOST:443 -servername SIZIN_HOST 2>/dev/null | openssl x509 -noout -issuer -dates6) Faydalı Filtre Senaryoları (Savunma)
Kod:
# Kendi org adınızla indekslenen servisler
org:"Sirket Adi"
# HTTP başlığında dahili yazılım adı
http.component:wordpress net:SIZIN_CIDR
# Endüstriyel / IoT: yalnızca kendi tesis IP'leriniz
# Başkasının PLC/SCADA arayüzüne dokunmayınKod:
# SSL süresi / konu (filtreler sürüme göre değişebilir; UI yardımını okuyun)
ssl.cert.expired:true net:SIZIN_CIDRÇıktıyı bir envanter tablosuna aktarın:
Kod:
IP | Port | Ürün | Başlık | İlk görülme | Aksiyon
203.0.113.50 | 8080 | nginx | Test Admin | 2026-10-01 | SG kapatıldı7) İleri Seviye
Shodan Monitor / Alert: Belirli net bloğu için yeni açık port uyarısı (ücretli özellikler değişebilir; resmi dokümana bakın).
API:
Kod:
shodan stats --facets port net:SIZIN_CIDR
shodan download own-net.json.gz net:SIZIN_CIDR
shodan parse own-net.json.gz --fields ip_str,port,productAlternatifler: Censys, FOFA, ZoomEye benzeri motorlar; her birinin ToS ve yasal şartları farklıdır. BinaryEdge vb. ticari seçenekler.
OPSEC: Araştırmacı hesabınızı günlük tarayıcı profilinizden ayırın; API anahtarını sızdırmayın.
[center][/center]
8) Sonuç
Shodan, internete açık yüzünüzü görmek için güçlü bir OSINT aracıdır. Etik kullanım kendi varlıklarınız ve izinli kapsamla başlar. Sonuçları envanter ve sertleştirme sürecine bağlayın; merakla başkasının sistemine girmeyin.
Ek: Ekip İçin Savunma Playbook'u
Küçük bir güvenlik ekibi Shodan'ı şu döngüyle kullanabilir:
- Ayda bir: kurum CIDR ve kritik hostname sorgusu
- Yeni port/ürün çıkarsa ticket aç
- Firewall / security group kanıtı ekle
- Bir sonraki taramada kaybolduğunu doğrula
- Sonuçları yönetim özetine "dışarıdan görünür yüzey" olarak raporla
Kod:
# Basit cron fikri (kendi API kotanıza dikkat)
# 0 9 1 * * shodan download /var/lib/inv/shodan-$(date +\%Y\%m).json.gz net:CIDRYanlış kullanım örnekleri (yapmayın):
- "webcam" / "default password" arayıp cihazlara girmek
- Bulunan RDP/SSH üzerinde brute-force
- Başkasının tıbbi / ICS arayüzünü "merak için" tıklamak
[center][/center]
Pasif görünürlük ile aktif ihlal arasındaki farkı ekip içinde yazılı politika haline getirin.
Kaynakça
- Shodan resmi site
- Shodan Help Center / arama filtreleri
- Shodan CLI
- CISA - internete açık varlıklar (bağlam)
- OWASP Amass (DNS keşfi ile tamamlayıcı)
- OSINT Framework
Yasal Uyarı
Bu içerik eğitim ve savunma (kendi varlık görünürlüğü) içindir. İzinsiz erişim, tarama ötesi sömürü veya veri hırsızlığı TCK 243, 244, 245 kapsamında suçtur. Shodan kullanımında da yerel yasalara ve Shodan ToS'a uyun. Sorumluluk uygulayana aittir.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).