Responder ve ARP Spoofing Temelleri: Yerel Ağda MITM (Yasal Lab)

Selam TurkTeam,

Yerel ağlar (LAN), çoğu zaman güvenliğin en zayıf olduğu yerlerdir. Katman 2 protokollerindeki zayıflıklar, bir saldırganın trafiği kendine yönlendirmesine (ortadaki adam / MITM) veya kimlik bilgilerini toplamasına izin verebilir. Bu rehberde iki klasik tekniği, isim çözümleme zehirleme için Responder ve ARP tablosu zehirleme için arpspoof, SADECE kendi izole lab ağınızda anlatıyoruz. Amaç, saldırıyı anlamak ve ona karşı savunmayı kurmaktır.

Konuda Anlatılacaklar

1. MITM, ARP ve LLMNR/NBT-NS nedir
   
2. Yasal ve izole lab kurulumu
   
3. Responder ile isim çözümleme zehirleme
   
4. Yakalanan NTLMv2 hash'lerini inceleme
   
5. arpspoof ile ARP zehirleme temelleri
   
6. Savunma: zehirlemeyi durduran kontroller
   
7. Sonuç, kaynakça ve yasal uyarı
   

1. Temel Kavramlar
MITM (ortadaki adam), saldırganın iki taraf arasındaki trafiğin akışına girmesidir. Yerel ağda bunu başarmanın iki yaygın yolu vardır:

• ARP zehirleme: ARP, IP adreslerini MAC adreslerine eşler ve kimlik doğrulaması yoktur. Saldırgan sahte ARP yanıtlarıyla "ağ geçidi benim" diyerek kurbanın trafiğini kendi üzerinden geçirtebilir.
  
• İsim çözümleme zehirleme (LLMNR/NBT-NS/mDNS): Windows, DNS başarısız olduğunda bu yayın tabanlı protokollerle "bu isim kimde?" diye sorar. Responder bu yayınlara "bende" diye yanıt verip kurbanı kendine kimlik doğrulamaya zorlar ve NTLMv2 hash'ini yakalar.
  

2. Yasal ve İzole Lab Kurulumu
Bu teknikler yalnızca tamamen izole, size ait bir lab ağında denenmelidir. Ne kurumsal ne de paylaşılan bir ağda çalıştırın; MITM tüm ağı etkiler ve yasa dışıdır. İdeal kurulum: bir sanal ağ (Host-Only/Internal) üzerinde bir Kali (saldırgan) ve bir veya iki hedef VM (ör. bir Windows test makinesi).
Arayüzünüzü doğrulayın:

3. Responder ile İsim Çözümleme Zehirleme
Responder, LLMNR, NBT-NS ve mDNS yayınlarına yanıt vererek sahte servisler (SMB, HTTP vb.) sunar ve kimlik doğrulama girişimlerini yakalar.
-I - Dinlenecek arayüz; -A - analiz modu (zehirlemeden yalnızca izler, keşif için idealdir):
Analizle ağı anladıktan sonra, lab'da aktif modda çalıştırırsınız:
Responder açılışta hangi sahte sunucuların (SMB, HTTP, MSSQL...) etkin olduğunu listeler ve zehirleme yanıtlarını canlı gösterir.

Hangi sahte sunucuların açık olacağını yapılandırma dosyasından ayarlayabilirsiniz (örneğin yalnızca belirli servisleri açmak için):
Bir lab kurbanı var olmayan bir paylaşıma (örn. yanlış yazılmış \\suncu) erişmeye çalıştığında, Responder bu isteği yakalar ve istemciyi kimlik doğrulamaya zorlayarak NTLMv2 hash'ini elde eder.

4. Yakalanan Hash'leri İnceleme
Responder, yakaladığı hash'leri hem ekranda gösterir hem de log dizinine kaydeder (genelde /usr/share/responder/logs/):
Yakalanan kayıt, "kullanici:OMAIN:challenge:response..." biçiminde bir NTLMv2 hash'idir. Bu hash, çevrimdışı olarak kırılmaya çalışılabilir (yalnızca lab verinizde):
Burada -m 5600 Hashcat'in NTLMv2 modudur. Bu, zayıf parolaların yerel ağda ne kadar kolay ifşa olabileceğini somut biçimde gösterir.


5. arpspoof ile ARP Zehirleme Temelleri
Trafiği üzerinizden geçirmeden önce yönlendirmeyi açın; aksi halde kurbanın bağlantısı kesilir (hizmet reddi):
dsniff paketindeki arpspoof ile hem kurbana hem ağ geçidine sahte ARP yanıtları gönderin (iki yönlü):
Artık trafik sizin üzerinizden akar. Bunu bir lab'da gözlemlemek için kendi analiz aracınızla (ör. tcpdump/Wireshark) akışı izleyebilirsiniz. Kurban makinede ARP önbelleğini inceleyerek etkiyi doğrulayabilirsiniz:
Saldırgan tarafında üzerinizden geçen trafiği gözlemlemek için (yalnızca lab):
Kurbanın ARP tablosunda ağ geçidi MAC'inin sizin MAC'inizle değiştiğini görmek, tekniğin çalıştığını doğrular.


Önemli: İş bittiğinde zehirlemeyi durdurun (arpspoof'u Ctrl+C ile kapatın); araç çıkışta doğru ARP kayıtlarını geri göndermeye çalışır. ip_forward'ı da eski haline alın.

6. Savunma: Zehirlemeyi Durduran Kontroller
Bu teknikleri öğrenmenin asıl amacı savunmadır. Etkili önlemler:

• LLMNR/NBT-NS/mDNS kapatma: Kurumsal ağlarda bu eski protokolleri Group Policy ile devre dışı bırakmak, Responder saldırılarının çoğunu etkisiz kılar.
  
• SMB imzalama (signing) zorunlu: NTLM relay saldırılarını kırar ve yakalanan hash'lerin yeniden kullanımını zorlaştırır.
  
• Dynamic ARP Inspection (DAI) ve DHCP Snooping: Yönetilebilir anahtarlarda sahte ARP yanıtlarını engeller.
  
• Port security ve 802.1X: Yetkisiz cihazların ağa katılmasını sınırlar.
  
• Güçlü parola ve MFA: Hash yakalansa bile kırılmasını pratikte imkansız kılar.
  

7. İleri Seviye Not
Modern testlerde Responder genellikle NTLM relay araçlarıyla (ör. Impacket'in ntlmrelayx betiği) birlikte kullanılır: yakalanan kimlik doğrulama, kırılmadan doğrudan başka bir hedefe "aktarılır". ARP/MITM için ise bettercap, modüler yapısıyla arpspoof'a göre daha kapsamlı bir alternatiftir. Bu ileri senaryolar da yalnızca izole lab ve yetkili testler içindir; mantığı anlamak, savunma kontrollerini doğru konumlandırmanıza yardımcı olur.

Sonuç
Responder ve ARP zehirleme, yerel ağ katmanının neden dikkatle korunması gerektiğini çarpıcı biçimde gösterir: kimlik doğrulaması olmayan protokoller, bir saldırgana trafik yönlendirme ve kimlik toplama fırsatı verir. Bu teknikleri yalnızca kendi izole lab'ınızda deneyin, her denemeden sonra ortamı temiz bırakın ve öğrendiklerinizi doğrudan savunma kontrollerine (LLMNR kapatma, SMB imzalama, DAI) dönüştürün.

Kaynakça

• Responder Resmi Deposu - https://github.com/lgandx/Responder
  
• Kali Tools: responder - https://www.kali.org/tools/responder/
  
• dsniff / arpspoof - https://www.kali.org/tools/dsniff/
  
• Hashcat Örnek Hash Türleri (NTLMv2 -m 5600) - https://hashcat.net/wiki/doku.php?id=example_hashes
  
• MITRE ATT&CK - Adversary-in-the-Middle (T1557) - https://attack.mitre.org/techniques/T1557/
  

Yasal Uyarı

Alıntı:MITM, ARP zehirleme ve isim çözümleme zehirleme teknikleri tüm yerel ağı etkiler ve SADECE kendinize ait, izole bir lab ağında denenmelidir. İzinsiz uygulanması Türk Ceza Kanunu 243-245. maddeleri kapsamında ağır suçtur; başkasının trafiğine müdahale ve kimlik bilgisi ele geçirme kesinlikle yasaktır.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).