TürkTeam Portal

Siber güvenlik topluluğunun nabzı

Duyurular, öne çıkan konular ve topluluktan son haberler burada.

Forumlar Yeni Mesajlar Kurallar
Duyurular
 Hashcat ile Parola Kırma Temelleri: Modlar, Saldırı Tipleri ve Örnekler
Tonyukuk 10-17-2026, 08:24 AM · Araç Tanıtım ve Eğitimleri
0 33
[Resim: attachment.php?aid=95]

Parola kırma konusu çoğu zaman yanlış yerden anlatılıyor; sanki amaç "başkasının şifresini bulmak" gibi sunuluyor. Oysa bir pentester için Hashcat, bir kurumun parola politikasının gerçekten ne kadar dayanıklı olduğunu ölçen bir denetim aracı. Bu rehberde Hashcat'i kendi lab ortamınızda, kendi ürettiğiniz hash'ler üzerinde öğreteceğim.

Konuda anlatılacaklar
  1. Hashcat nedir, ne işe yarar?
  2. Hash nedir, kırma neden mümkün?
  3. Kurulum ve donanım (GPU/CPU)
  4. Mod (-m) ve saldırı tipi (-a) kavramı
  5. Sözlük, kural ve kaba kuvvet örnekleri
  6. Kendi lab hash'inizi üretme
  7. Savunma: parolaları nasıl kırılamaz saklarız?
  8. Yasal uyarı

Hashcat Nedir?

Hashcat, açık kaynaklı ve çok hızlı bir parola kurtarma / hash kırma aracıdır. GPU hızlandırmayı desteklediği için saniyede milyarlarca denemeye ulaşabilir. Bir hash değerini alıp, tahmin ettiği parolaları aynı algoritmayla hashleyip sonucu karşılaştırır; eşleşirse parolayı bulmuş olur.

Önemli: Hashcat parolayı "geri çözmez". Hash tek yönlüdür. Hashcat sadece doğru parolayı tahmin edip doğrular. Bu yüzden güçlü ve uzun parolalar pratikte kırılamaz kalır.

Hash Nedir, Kırma Neden Mümkün?

Hash, bir veriyi sabit uzunlukta bir özete çeviren tek yönlü fonksiyondur (MD5, SHA-256, bcrypt gibi). Sistemler parolayı düz metin saklamak yerine hash'ini saklar. Saldırgan veritabanını ele geçirdiğinde elinde hash'ler olur. Eğer:
  • Hash algoritması hızlıysa (MD5, SHA-1 gibi),
  • Parola kısa/tahmin edilebilirse,
  • Tuz (salt) kullanılmamışsa,
kırma çok kolaylaşır. Modern sistemler bu yüzden bcrypt/argon2 gibi kasıtlı yavaş ve tuzlu algoritmalar kullanır.

Kurulum

Kod:
# Kali/Debian sudo apt install hashcat # Sürüm ve cihaz kontrolü hashcat --version hashcat -I # algılanan OpenCL/CUDA cihazları

GPU'nuz yoksa CPU ile de çalışır, sadece yavaştır. Öğrenmek için yeterli.

Mod ve Saldırı Tipi Kavramı

Hashcat'te iki temel seçenek vardır:

-m (hash modu): Hangi hash türü olduğunu söyler.
  • 0 = MD5
  • 100 = SHA1
  • 1400 = SHA-256
  • 1800 = sha512crypt (Linux /etc/shadow)
  • 3200 = bcrypt

-a (saldırı tipi):
  • 0 = Sözlük (straight)
  • 1 = Kombinasyon
  • 3 = Kaba kuvvet / maske
  • 6, 7 = Hibrit (sözlük + maske)

Pratik Örnekler

1) Sözlük saldırısı:
Kod:
hashcat -m 0 -a 0 hashes.txt rockyou.txt
MD5 hash'leri, rockyou kelime listesiyle dener.

2) Sözlük + kural:
Kod:
hashcat -m 0 -a 0 hashes.txt rockyou.txt -r rules/best64.rule
Kurallar, kelimeleri "Password" > "P@ssw0rd!" gibi varyasyonlara çevirir. Gerçek dünyada en verimli yöntem budur.

3) Maske (kaba kuvvet) saldırısı:
Kod:
hashcat -m 0 -a 3 hashes.txt ?u?l?l?l?l?d?d
?u büyük harf, ?l küçük harf, ?d rakam. Bu maske "Abcde12" gibi desenleri dener. Desen bilindiğinde çok hızlıdır.

Sonuçları görme:
Kod:
hashcat -m 0 hashes.txt --show

Kendi Lab Hash'inizi Üretin

Başkasının hash'iyle uğraşmadan, kendi test hash'inizi üretip kırmayı deneyin:

Kod:
echo -n "Yaz2026!" | md5sum # çıktıdaki hash'i hashes.txt içine yazın, sonra: hashcat -m 0 -a 3 hashes.txt ?u?l?l?d?d?d?d?s

Böylece hem aracı öğrenir hem de hangi parola uzunluğunun ne kadar sürede kırıldığını kendi gözünüzle görürsünüz. Bu, parola politikası tartışmalarında çok ikna edici bir deneyimdir.

Savunma: Parolaları Nasıl Saklamalı?
  • bcrypt, scrypt veya Argon2 kullanın; MD5/SHA-1 ile parola saklamak 2026'da affedilmez.
  • Her parolaya benzersiz tuz (salt) ekleyin; rainbow table saldırısını etkisiz kılar.
  • Kullanıcıları uzun parola cümlelerine (passphrase) yönlendirin; uzunluk, karmaşıklıktan daha önemlidir.
  • Mümkün olan her yerde çok faktörlü kimlik doğrulama (MFA) zorunlu kılın.
  • Sızmış parola listelerine karşı kontrol yapın (ör. Have I Been Pwned Passwords API).

Sonuç

Hashcat'i öğrenmenin en sağlıklı yolu, saldırı tarafını anlamak ama gözü savunmada tutmak. Kendi ürettiğiniz hash'lerle oynayın, kaç karakterin gerçekten güvenli olduğunu ölçün. Hangi kural setini (best64, OneRuleToRuleThemAll vb.) verimli buluyorsunuz, yorumlarda paylaşın.

Yasal Uyarı

Parola kırma yalnızca kendinize ait veya yazılı olarak yetkilendirildiğiniz sistemlerdeki hash'ler için yapılabilir. Başkasına ait hash/parola kırmak ve çalıntı veri (combo/log) kullanmak TCK 243-245 kapsamında suçtur. Bu forumda çalıntı veri paylaşımı yasaktır.

Görsel: PonyDuck21, Wikimedia Commons, lisans CC0 - https://commons.wikimedia.org/wiki/File:...t_Info.png

Ek DosyalarEkran Görüntüleri
   
 PowerShell ile Gunluk Guvenlik Kontrolu: Otomatik Tarama Scripti
KulTigin 10-17-2026, 08:24 AM · Script ve Otomasyon
0 37
[Resim: attachment.php?aid=93]

Herkese selam,

Windows makinelerinde her sabah elle kontrol ettigim birkac sey vardi: yeni acilan kullanicilar, dinlenen portlar, kritik servislerin durumu. Bunlari tek bir PowerShell scriptine topladim, her sabah otomatik calisiyor. Paylasayim dedim, belki isinize yarar.

Konuda Anlatilacaklar
  1. Neden otomasyon?
  2. Kontrol scripti
  3. Zamanlanmis gorev olarak kurma
  4. Ciktinin degerlendirilmesi

1) Neden Otomasyon?
Elle kontrol atlanir, unutulur, insana bagli olur. Ayni islemi script yaparsa her gun ayni gozle bakilir, cikti kaydedilir, karsilastirilabilir. Basit ama etkili.

2) Kontrol Scripti
Asagidaki script temel bir durum fotografi cikarir:

Kod:
$rapor = "C:\secaudit\rapor_$(Get-Date -Format yyyyMMdd).txt" New-Item -ItemType Directory -Force -Path C:\secaudit | Out-Null "=== Aktif Yerel Kullanicilar ===" | Out-File $rapor Get-LocalUser | Where-Object Enabled | Select-Object Name, LastLogon | Out-File $rapor -Append "`n=== Dinlenen TCP Portlari ===" | Out-File $rapor -Append Get-NetTCPConnection -State Listen | Select-Object LocalAddress, LocalPort, OwningProcess | Sort-Object LocalPort | Out-File $rapor -Append "`n=== Kritik Servisler ===" | Out-File $rapor -Append Get-Service -Name WinDefend, EventLog, Wuauserv | Select-Object Name, Status | Out-File $rapor -Append "`n=== Son 10 Guvenlik Olayi (4625 - basarisiz giris) ===" | Out-File $rapor -Append Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 10 -ErrorAction SilentlyContinue | Select-Object TimeCreated, Message | Out-File $rapor -Append

3) Zamanlanmis Gorev
Her sabah 08:00'de calistirmak icin:

Kod:
$act = New-ScheduledTaskAction -Execute "powershell.exe" ` -Argument "-File C:\secaudit\gunluk.ps1" $trg = New-ScheduledTaskTrigger -Daily -At 8am Register-ScheduledTask -TaskName "GunlukGuvenlikKontrol" ` -Action $act -Trigger $trg -RunLevel Highest

4) Cikti Degerlendirme
Raporlari gun gun karsilastirin. Dun olmayan bir kullanici bugun varsa, beklenmedik bir port dinleniyorsa veya 4625 (basarisiz giris) olaylari aniden artmissa, bu incelemeye deger. Script tespit yapmaz, gorunurluk saglar; yorumu siz yaparsiniz.

Kaynaklar
Alıntı:Yasal not: Scripti yalnizca yonettiginiz bilgisayarlarda calistirin.

Siz gunluk kontrol scriptinize baska ne eklerdiniz?

Ek DosyalarEkran Görüntüleri
   
 WDAC mi AppLocker mi? Windows Uygulama Kontrolu 2026 Karsilastirmasi
BilgeKagan 10-17-2026, 08:24 AM · Windows ve Güvenlik
0 39
[Resim: attachment.php?aid=90]

Herkese selam,

"Kullanici bilgisayarinda sadece onayli uygulamalar calissin" demek kulaga basit geliyor ama Windows tarafinda iki ayri teknoloji var ve hangisinin ne zaman kullanilacagi kafa karistiriyor: WDAC (Windows Defender Application Control) ve AppLocker. Bu konuda ikisini sade bir dille karsilastiracagim.

Konuda Anlatilacaklar
  1. Uygulama kontrolu neden gerekli?
  2. AppLocker ozellikleri ve sinirlari
  3. WDAC ozellikleri ve guc noktalari
  4. Hangi senaryoda hangisi?
  5. Guvenli baslangic adimlari

1) Neden Uygulama Kontrolu?
Antivirus "kotu bilineni" engeller; uygulama kontrolu ise "iyi bilinmeyen her seyi" engeller. Bu, fidye yazilimi ve bilinmeyen zararlilara karsi cok guclu bir yaklasimdir. Mantik, varsayilan-ret (default deny): listede olmayan calismaz.

2) AppLocker
AppLocker eski ama hala kullanisli. Grup Ilkesi ile yonetilir, kurallari yol, yayinci (imza) veya dosya hash'i uzerinden tanimlarsiniz. Etkili ilkeyi gormek icin:

Kod:
Get-AppLockerPolicy -Effective -Xml

Artilari: kurmasi gorece kolay, denetim (audit) modu var. Eksileri: cekirdek seviyesinde zorlanmaz, bazi atlatma teknikleri bilinir, Microsoft bunu artik birincil cozum olarak onermiyor.

3) WDAC
WDAC (yeni adiyla App Control for Business) cekirdek seviyesinde calisir ve cok daha guclu bir zorlama saglar. Politikayi XML olarak yazar, derleyip (.cip) dagitirsiniz. Surucu ve cekirdek bilesenlerini de kapsar.

[code># Ornek politika olusturma (New-CIPolicy)
New-CIPolicy -Level Publisher -FilePath .\policy.xml -UserPEs
ConvertFrom-CIPolicy .\policy.xml .\policy.cip[/code]

Artilari: cok guclu, imza/yayinci temelli, Intune ile olceklenir. Eksileri: ogrenme egrisi dik, yanlis yapilandirma sistemi kilitleyebilir, bu yuzden once audit modu sart.

4) Hangisi?
  • Yeni bir dagitim yapiyorsaniz ve modern yonetim (Intune) varsa: WDAC.
  • Hizli bir baslangic, GPO tabanli ortam, sinirli kaynak: AppLocker makul.
  • Microsoft'un yonu net: WDAC birincil, AppLocker tamamlayici.

5) Guvenli Baslangic
Hangisini secerseniz secin, altin kural ayni: once denetim modunda calistirin. Haftalarca log toplayip hangi mesru uygulamalarin engellenecegini gorun, listeyi olgunlastirin, sonra zorlamaya gecin. Dogrudan zorlama ile baslamak kullanicilarin isini durdurur.

Kaynaklar
Alıntı:Yasal not: Politikalari yalnizca yonettiginiz cihaz ve etki alanlarinda test edip uygulayin.


Ek DosyalarEkran Görüntüleri
   
 Burp Suite Sıfırdan Başlangıç: Proxy, Repeater ve Intruder Rehberi
Tonyukuk 10-17-2026, 08:23 AM · Araç Tanıtım ve Eğitimleri
0 39
[Resim: attachment.php?aid=91]

Web uygulama güvenliğiyle uğraşan herkesin eninde sonunda tanıştığı araç Burp Suite. Ama çoğu yeni başlayan ilk kurulumda sertifika hatasına takılıp pes ediyor. Bu rehberde Burp'ü sıfırdan kuracak, trafiği yakalayacak ve en çok kullanılan iki sekmeyi (Repeater ve Intruder) pratikle göstereceğim. Kafamdaki hedef: bu yazıyı bitirince kendi lab uygulamanızda ilk isteğinizi tekrar oynatabilmeniz.

Konuda anlatılacaklar
  1. Burp Suite nedir, Community ve Professional farkı
  2. Kurulum ve ilk çalıştırma
  3. Tarayıcı proxy ayarı ve CA sertifikası
  4. Proxy ile trafiği yakalama
  5. Repeater ile istek düzenleme
  6. Intruder ile otomasyon mantığı
  7. Lab önerisi ve yasal uyarı

Burp Suite Nedir?

Burp Suite, PortSwigger tarafından geliştirilen, web uygulamalarını test etmek için kullanılan bir araya giren vekil sunucu (intercepting proxy) temelli güvenlik aracıdır. Tarayıcınız ile sunucu arasına girer; aradan geçen her HTTP/HTTPS isteğini görmenizi, durdurmanızı ve değiştirmenizi sağlar.

Sürümler:
  • Community (ücretsiz): Proxy, Repeater, Decoder, Comparer tam; Intruder kısıtlı hızda; tarayıcı (scanner) yok.
  • Professional (ücretli): Tam Intruder, otomatik zafiyet tarayıcı, uzantı deposu avantajları.

Yeni başlayanlar için Community gayet yeterli. Alternatif olarak açık kaynak OWASP ZAP da var.

Kurulum

Kali/Parrot gibi dağıtımlarda Burp zaten kuruludur. Değilse:

Kod:
# Kali sudo apt update && sudo apt install burpsuite # Veya resmi siteden .jar / installer: # https://portswigger.net/burp/communitydownload

İlk çalıştırmada "Temporary project" ve "Use Burp defaults" ile ilerleyin.

Tarayıcı Proxy Ayarı ve CA Sertifikası

Burp varsayılan olarak 127.0.0.1:8080 portunda dinler. En kolay yol, Burp'ün gömülü tarayıcısını kullanmaktır (Proxy > Intercept > Open Browser); bu tarayıcıda sertifika zaten tanımlıdır.

Kendi tarayıcınızı kullanacaksanız:
  1. Tarayıcı proxy'sini 127.0.0.1:8080 yapın (FoxyProxy eklentisi işi kolaylaştırır).
  2. http://burpsuite adresine gidip CA sertifikasını (cacert.der) indirin.
  3. Sertifikayı tarayıcınızın güvenilen kök sertifika deposuna ekleyin.

Sertifikayı eklemezseniz HTTPS sitelerinde güvenlik uyarısı alırsınız. Bu adım en çok takılınan yer, acele etmeyin.

Proxy ile Trafiği Yakalama

Proxy > Intercept sekmesinde "Intercept is on" iken bir sayfa açın. İstek Burp'te durur; "Forward" ile iletir, "Drop" ile atarsınız. Durdurmadan sadece izlemek isterseniz Intercept'i kapatıp HTTP history sekmesinden geçmiş tüm istekleri inceleyebilirsiniz. Benim önerim: başta Intercept'i kapalı tutup history üzerinden çalışmak daha az kafa karıştırıcı.

Repeater ile İstek Düzenleme

Repeater, tek bir isteği defalarca elle değiştirip tekrar göndermenizi sağlar. En sık kullanacağınız sekme budur.

Akış:
  1. HTTP history'den bir isteğe sağ tıklayın > "Send to Repeater".
  2. Repeater sekmesinde istek gövdesini düzenleyin (parametre değeri, başlık vb.).
  3. "Send" ile gönderip sağdaki yanıtı inceleyin.

Örneğin bir id parametresini 1'den 2'ye çevirip yetki kontrolü var mı diye bakmak (IDOR testi) tam bir Repeater işidir.

Intruder ile Otomasyon Mantığı

Intruder, bir isteğin belirli noktalarına otomatik olarak farklı değerler yerleştirip (payload) toplu gönderim yapar. Mantığı:
  • Positions: İsteğin değişecek kısmını isaretlersiniz (ör. parola alanı).
  • Payloads: Denenecek değer listesini verirsiniz (ör. kelime listesi).
  • Attack type: Sniper (tek nokta), Cluster bomb (çoklu nokta kombinasyonu) gibi.

Community sürümünde Intruder bilinçli olarak yavaşlatılır, yine de kavramı öğrenmek için yeterli. Yanıt uzunluğu veya durum koduna göre sıralayıp farklı davranan isteği bulmak temel tekniktir.

Lab Önerisi

Pratik için güvenli hedefler:

Kod:
# OWASP Juice Shop docker run --rm -p 3000:3000 bkimminich/juice-shop # DVWA docker run --rm -p 80:80 vulnerables/web-dvwa

Bir de PortSwigger'ın ücretsiz Web Security Academy lab'ları Burp öğrenmek için birebirdir.

Sonuç

Burp'ü öğrenmenin yolu okumaktan çok dokunmaktan geçiyor. Proxy > Repeater > Intruder sırasıyla ilerleyin, her adımı kendi lab'ınızda deneyin. Takıldığınız sertifika/proxy adımlarını yorumlara yazarsanız yardımcı olmaya çalışırım.

Yasal Uyarı

Burp Suite'i yalnızca kendi sistemlerinizde ya da açıkça yetkilendirildiğiniz (bug bounty kapsamı, yazılı izin) hedeflerde kullanın. İzinsiz test TCK 243-245 kapsamında suçtur.

Görsel: Mvb71, Wikimedia Commons, lisans CC BY-SA 4.0 - https://commons.wikimedia.org/wiki/File:...pSuite.png

Ek DosyalarEkran Görüntüleri
   
 Kali Linux 2026.3 Yenilikleri: Yeni Araclar ve Temiz Kurulum Notlari
KulTigin 10-17-2026, 08:23 AM · Kali / Parrot OS
0 37
[Resim: attachment.php?aid=89]

Selamlar,

Kali 2026.3 cikali bir sure oldu, ben de temiz bir kurulum yapip yeni gelenleri denedim. Hangi araclar eklendi, kuruluste nelere dikkat ettim, kisa notlarimi paylasiyorum.

Konuda Anlatilacaklar
  1. 2026.3 ile gelen yeni araclar
  2. Guncelleme mi, temiz kurulum mu?
  3. Kurulum sonrasi ilk ayarlar
  4. Araclari derli toplu tutmak

1) Yeni Araclar
2026.3 ile depoya giren dikkat cekici araclardan bazilari: SDRangel, qsreplace, Dalfox, snaffler-ng, Katana ve rustscan. Bir onceki 2026.2 surumu de arsenal-ng, legba, oletools, shell-gpt, tailscale, tookie-osint ve uro gibi eklemeler getirmisti. Ozellikle rustscan (hizli port tarama) ve Dalfox (XSS tarama) pratikte cok ise yariyor.

2) Guncelleme mi, Temiz mi?
Mevcut Kali'niz varsa cogu zaman guncelleme yeterli:

Kod:
sudo apt update && sudo apt full-upgrade -y sudo apt autoremove -y

Ama sistem uzun suredir takip edilmemisse veya anahtar/arsiv hatalari aliyorsaniz, temiz bir VM kurulumu daha az bas agritir. Ben lab icin her zaman temiz VM'den gidiyorum; kirli kalmiyor.

3) Kurulum Sonrasi
Temiz kurulumdan sonra ilk yaptiklarim:
Kod:
# arsiv anahtarini guncel tut sudo apt install -y kali-archive-keyring # tum meta paketi istersen sudo apt install -y kali-linux-default
Varsayilan kali kullanicisinin parolasini mutlaka degistirin ve VM'in anlik goruntusunu (snapshot) alin; bir sey bozulunca geri donmek icin.

4) Derli Toplu Tutmak
Kali'yi ana isletim sistemi yapmayin; bir sanal makinede tutun ve snapshot aliskanligi edinin. Her araci kurmaya calismak yerine, gorev bazli kurun. Sistem sismesin.

Kaynaklar
Alıntı:Yasal not: Kali araclarini yalnizca kendi lab ortaminizda veya yazili izin aldiginiz sistemlerde kullanin.

2026.3'u deneyen var mi, hangi yeni araci begendiniz?

Ek DosyalarEkran Görüntüleri
   
 Sigma Kurallari ile Tespit: Windows Event Loglarindan SIEM Kuralina
BilgeKagan 10-17-2026, 08:22 AM · Mavi Takım / SOC
0 37
[Resim: attachment.php?aid=88]

Selamlar,

Mavi takim tarafinda en degerli becerilerden biri, bir saldiri davranisini jenerik bir tespit kuralina cevirebilmek. Sigma tam da bunun icin var: tek bir YAML kuralini yazip Splunk, Elastic, Sentinel gibi farkli SIEM'lere cevirebiliyorsunuz. Bu konuda Sigma mantigini ve basit bir kural yazimini adim adim gosterecegim.

Konuda Anlatilacaklar
  1. Sigma nedir, neden standart haline geldi?
  2. Kural anatomisi (logsource, detection)
  3. Ornek: supheli PowerShell indirmesi
  4. sigma-cli ile hedefe cevirme
  5. False positive yonetimi

1) Sigma Nedir?
Sigma, log tabanli tespit kurallari icin acik bir imza formatidir. YARA dosyalara, Snort ag trafigine ne ise, Sigma da log olaylarina odur. Avantaji tasinabilirlik: bir kez yazilan kural, backend'e gore hedef sorguya cevrilir. 2026 itibariyle topluluk deposu binlerce hazir kural barindiriyor.

2) Kural Anatomisi
Her kuralin iki kilit bolumu vardir: hangi logda arayacagini soyleyen logsource ve neyi arayacagini soyleyen detection.

Kod:
title: Supheli PowerShell Web Indirmesi status: experimental logsource: product: windows category: process_creation detection: selection: Image|endswith: '\powershell.exe' CommandLine|contains: - 'DownloadString' - 'IEX' - 'Invoke-WebRequest' condition: selection level: medium

Burada process olusturma loglarinda (Sysmon Event ID 1 veya Security 4688) powershell.exe'nin indirme/execute kaliplariyla calismasini ariyoruz.

3) Hedefe Cevirme
sigma-cli ile kurali istediginiz backend'e cevirirsiniz:

Kod:
pip install sigma-cli sigma plugin install splunk sigma convert -t splunk -p sysmon powershell_download.yml

Cikan sorguyu dogrudan SIEM'inizde arama olarak kullanabilir veya alarma baglayabilirsiniz.

4) False Positive Yonetimi
Hicbir kural ilk gunden mukemmel degildir. Kurali yazdiktan sonra birkac gun "audit" modunda calistirip gelen eslesmeleri inceleyin. Mesru yonetim scriptleri de Invoke-WebRequest kullanabilir; bu durumda bilinen sunucu adlarini veya imzali scriptleri filter blokuyla elersiniz:

Kod:
filter: CommandLine|contains: 'https://repo.sirketiniz.local' condition: selection and not filter

5) Pratik Tavsiye
Once Sysmon'u iyi bir config ile kurun (telemetri olmadan kural calismaz), sonra MITRE ATT&CK tekniklerinden birini secip ona karsilik gelen Sigma kurallarini inceleyin. Hazir kurallari okumak, kendi kuralinizi yazmanin en hizli yoludur.

Kaynaklar
Alıntı:Yasal not: Tespit kurallarini yalnizca yonettiginiz veya izinli oldugunuz log kaynaklarinda uygulayin.

Siz hangi teknik icin kural yaziyorsunuz, altta paylasin.

Ek DosyalarEkran Görüntüleri
   
 SSRF Nedir? Server-Side Request Forgery Türleri ve Korunma Rehberi
Tonyukuk 10-17-2026, 08:22 AM · Web Uygulama Güvenliği
0 35
[Resim: attachment.php?aid=87]

Web güvenliğine yeni girenlerin gözünde SSRF biraz "ikinci lig" bir açık gibi durur; XSS ve SQLi kadar anlatılmaz. Oysa son yılların en ağır bulut ihlallerinin bir kısmı SSRF ile başladı. Bu rehberde SSRF'i sıfırdan, lab üzerinde deneyebileceğiniz şekilde ele alıyorum. Amacım, kavramı ezberletmek değil, "neden çalışıyor" kısmını oturtmak.

Konuda anlatılacaklar
  1. SSRF nedir, neden tehlikelidir?
  2. Çalışma mantığı ve tipik güvenlik açığı deseni
  3. Türleri: temel (basic), kör (blind), yarı-kör
  4. Bulut metadata servisleri neden kritik hedef?
  5. Lab ortamı ve güvenli test
  6. Korunma yöntemleri ve güvenli kod
  7. Yasal uyarı

SSRF Nedir?

SSRF (Server-Side Request Forgery / Sunucu Taraflı İstek Sahteciliği), bir saldırganın uygulama sunucusunu kendi adına istek atmaya kandırdığı bir açıktır. Yani istek sizin tarayıcınızdan değil, hedef sunucudan çıkar. Bu, saldırgan için çok değerlidir: sunucu, dışarıdan erişemeyeceğiniz iç ağ kaynaklarına (localhost, 10.x.x.x, 169.254.x.x) erişebilir.

Klasik örnek: "URL'den resim çek", "bir web sayfasının önizlemesini oluştur", "webhook'u test et", "PDF'e uzak logo ekle" gibi özellikler. Uygulama, kullanıcının verdiği URL'ye gidip içeriği getiriyorsa ve bu URL yeterince kısıtlanmamışsa SSRF doğar.

Çalışma Mantığı

Diyelim bir servis şöyle çalışıyor:

Kod:
POST /api/fetch-preview Content-Type: application/json { "url": "https://example.com/logo.png" }

Sunucu bu URL'ye gidip yanıtı size döndürüyor. Saldırgan url'yi değiştirirse:

Kod:
{ "url": "http://127.0.0.1:8080/admin" } { "url": "http://169.254.169.254/latest/meta-data/" } { "url": "http://localhost:6379/" }

Sunucu bu iç adreslere kendi ağından ulaşabildiği için, dışarıya kapalı yönetim panelleri, Redis gibi servisler veya bulut metadata uç noktaları aniden erişilebilir hale gelir.

SSRF Türleri

1) Temel (Basic / In-band) SSRF: Sunucunun getirdiği yanıt doğrudan size döner. En kolay sömürülenidir çünkü iç kaynağın cevabını okuyabilirsiniz.

2) Kör (Blind) SSRF: Sunucu isteği atar ama yanıtı size göstermez. Burada varlığı kanıtlamak için harici bir dinleyici kullanılır. Kendi kontrolünüzdeki bir sunucuya veya Burp Collaborator benzeri bir araca istek tetiklenip tetiklenmediğine bakılır:

Kod:
{ "url": "http://benim-dinleyicim.example/ssrf-test" }

DNS veya HTTP isteği geldiyse kör SSRF doğrulanmış olur.

3) Yarı-kör: Yanıtın tamamı değil ama durum kodu, yanıt süresi veya hata mesajı gibi dolaylı sinyaller döner. Bu farklarla iç portların açık olup olmadığı anlaşılabilir (bir tür zamanlama tabanlı port tarama).

Neden Bulut Metadata Servisleri Kritik?

Bulut sağlayıcılarında örnekler, kendileri hakkında bilgi almak için özel bir iç IP kullanır: 169.254.169.254. Eski (IMDSv1) yapılandırmalarda bu uç nokta kimlik doğrulaması olmadan geçici kimlik bilgilerini dönebiliyordu. SSRF ile bu uç noktaya ulaşan saldırgan, sunucunun IAM rolüne ait anahtarları çalabilir; sonrası tam bir bulut hesabı ele geçirmeye kadar gider. AWS tarafında çözüm IMDSv2'yi (token zorunlu) kullanmaktır.

Lab Ortamı

SSRF'i güvenle denemek için hazır zafiyetli uygulamalar birebir. Kendi makinenizde Docker ile kurabilirsiniz:

Kod:
# OWASP Juice Shop docker run --rm -p 3000:3000 bkimminich/juice-shop # PortSwigger Web Security Academy ücretsiz SSRF lab'ları (tarayıcı üzerinden) # https://portswigger.net/web-security/ssrf

Burada kritik kural: yalnızca kendi kurduğunuz lab ortamında veya açıkça izin verilen bug bounty kapsamında test edin.

Korunma Yöntemleri
  • Allowlist (beyaz liste): Kullanıcıdan gelen URL'yi serbest bırakmak yerine, yalnızca izin verilen alan adları/şemalar kabul edin. Blacklist yaklaşımı (127.0.0.1'i engelle) kolayca atlatılır (ör. 127.1, 0.0.0.0, ondalık IP, DNS rebinding).
  • Şema kısıtı: Sadece http/https'e izin verin; file://, gopher://, dict:// gibi şemaları reddedin.
  • İç ağ bloklama: Çözümlenen IP'yi kontrol edin; özel aralıkları (RFC 1918), loopback'i ve 169.254.0.0/16'yı reddedin. Çözümlemeyi yönlendirme sonrası tekrar yapın (DNS rebinding'e karşı).
  • Yönlendirmeleri takip etmeyin ya da her adımda yeniden doğrulayın.
  • IMDSv2 ve en az yetki (least privilege) IAM rolleri kullanın.
  • Ağ segmentasyonu: İstek atan servisin iç yönetim ağına erişimini kısıtlayın.

Örnek bir Python kontrolü (basitleştirilmiş fikir):

Kod:
import ipaddress, socket from urllib.parse import urlparse ALLOWED_SCHEMES = {"http", "https"} def is_safe(url): p = urlparse(url) if p.scheme not in ALLOWED_SCHEMES: return False ip = ipaddress.ip_address(socket.gethostbyname(p.hostname)) if ip.is_private or ip.is_loopback or ip.is_link_local: return False return True

Not: Bu örnek eğitim amaçlıdır; gerçek hayatta TOCTOU ve DNS rebinding için istek anında da IP doğrulaması yapan, olgun bir kütüphane kullanmak gerekir.

Sonuç

SSRF'i tehlikeli yapan şey, tek başına bir açıktan çok bir köprü olması: dış dünyadan iç dünyaya. Bu yüzden savunmada da tek bir satır değil, katmanlı bir yaklaşım gerekir. Siz üretimde SSRF'i nasıl engelliyorsunuz, allowlist mi yoksa proxy katmanı mı tercih ediyorsunuz, yorumlarda konuşalım.

Yasal Uyarı

Bu rehber yalnızca kendi sistemlerinizde veya açıkça yetkilendirildiğiniz (yazılı izin, bug bounty kapsamı) ortamlarda uygulanmalıdır. İzinsiz sistemlere yönelik testler TCK 243-245 kapsamında suçtur.

Görsel: TurkTeam özgün kapak görseli

Ek DosyalarEkran Görüntüleri
   
 Telefonuma Virus Bulasti mi? Android'de Kontrol ve Temizleme Adimlari
KulTigin 10-17-2026, 08:21 AM · Virüs Temizleme ve Kişisel Güvenlik
0 45
[Resim: attachment.php?aid=82]

Selam arkadaslar,

Cevremdekiler en cok "telefonum garip davraniyor, virus mu kaptim?" diye soruyor. Cogu zaman is bir "virus" degil, kotu niyetli bir uygulama veya izin. Pahali temizlik uygulamalari kurmadan, elle yapilabilecek kontrol adimlarini sade sade yaziyorum.

Belirtiler
  • Asiri batarya/veri tuketimi
  • Tanimadiginiz uygulamalar
  • Surekli reklam acilmasi (ana ekranda bile)
  • Telefonun asiri isinmasi ve yavaslamasi
Bunlar kesin virus demek degil ama kontrol sinyali.

1) Guvenli Modda Baslat
Cogu Android'de guc tusunu basili tutup "Guvenli mod"u secersiniz. Guvenli modda yalnizca sistem uygulamalari calisir. Sorun guvenli modda kayboluyorsa, suclu sonradan kurulan bir uygulamadir.

2) Uygulamalari Gozden Gecir
Ayarlar > Uygulamalar > tum uygulamalar. Tanimadiginiz, sizin kurmadiginiz uygulamalari kaldirin. Ozellikle "cihaz yoneticisi" yetkisi isteyen supheli uygulamalara dikkat: Ayarlar > Guvenlik > Cihaz yonetici uygulamalari bolumunden yetkisini kaldirmadan silinmeyebilirler.

3) Izinleri Denetle
Ayarlar > Gizlilik > Izin yoneticisi. "Erisilebilirlik" (Accessibility) ve "Diger uygulamalarin ustune ciz" izinleri kotuye kullanilan basliklardir. Bir fener uygulamasinin SMS veya erisilebilirlik iznine ihtiyaci yoktur; varsa supheli.

4) Tarama
Google Play Protect'i acin (Play Store > profil > Play Protect > tara). Ek olarak itibarli bir guvenlik uygulamasiyla tarama yapabilirsiniz, ama "telefonunuz 99 virus kapti, hemen indir" diyen reklam uygulamalarindan uzak durun; cogu kendisi zarardir.

5) Son Care
Temizlenmiyorsa, onemli verilerinizi yedekleyip fabrika ayarlarina donun. Sonrasinda uygulamalari tek tek, yalnizca resmi magazadan kurun. APK'yi rastgele sitelerden indirmeyin.

Korunma
  • Yalnizca Play Store / resmi magaza
  • Kurulumda izinleri okuyun
  • Isletim sistemi ve uygulamalari guncel tutun
  • Bilmediginiz baglantilara tiklamayin

Kaynaklar
Alıntı:Not: Bu adimlari yalnizca kendi cihazinizda uygulayin.

Sizin denediginiz ve ise yarayan bir yontem var mi?

Ek DosyalarEkran Görüntüleri
   
 Çalıntı Yapay Zeka API Anahtarları ile Otonom Tarama: MONST3R-AI ve FakeGit
Tonyukuk 10-17-2026, 08:21 AM · Yapay Zeka Güvenliği
0 37
[Resim: attachment.php?aid=81]

Sızan bir AWS anahtarının başınıza ne işler açabileceğini çoğumuz biliriz: biri gelir, madenci kurar, fatura kabarır. Peki sızan bir OpenAI veya Anthropic API anahtarının faturası, başkalarının sistemlerine yapılan saldırıları fonlamak için kullanılırsa? Bitsight'ın tehdit istihbaratı ekibinin raporu tam da bu yeni tabloyu anlatıyor.

MONST3R-AI: tek panel, çok çalıntı anahtar

Kısıtlı bir suç forumunda satılan MONST3R-AI, kendini otonom sızma testi platformu olarak pazarlıyor. Mantığı basit ve kötü niyetli ölçüde zekice:
  • Alıcı, çalınmış OpenAI, Anthropic ve Google API anahtarlarını panele yapıştırıyor.
  • Bir bütçe limiti belirleyip ajanı bir hedef listesine yönlendiriyor.
  • Satıcı kendi modelini barındırmıyor; sağlayıcının güvenlik eğitimini es geçiyor ve faturayı anahtarın gerçek sahibi ödüyor.

Satıcı, 199 taranan ana sistemde 1.072 bulgu iddia ediyor. Bu rakam satıcının kendi panelinden geliyor ve Bitsight doğrulayamıyor; ancak küçük bir kısmı bile doğru olsa aracın işe yaradığı anlamına geliyor. Bitsight, bundan sonra anahtarların yalnızca bu tür tarayıcıları beslemek için satılmasını bekliyor.

Daha büyük eğilim: açık ağırlıklı modellere kayış

Bitsight, Şubat-Ağustos 2026 arasında 16 yeraltı forumunu izlemiş. O dönemde yapay zeka ajanları, dolaylı prompt injection ve Model Context Protocol (MCP) bahisleri yüzde 67 artmış. Jailbreak hala en popüler konu (yaklaşık dörtte üç büyüme). Ama asıl anlamlı değişim, yetenekli aktörlerin açık ağırlıklı (open-weights) modellere (GLM, DeepSeek gibi) yönelmesi. Bu modeller kiralık sunuculara indirilip çalıştırılabiliyor; orada istekleri denetleyen, log tutan ya da hesap kapatan bir sağlayıcı yok. Bazı aktörler modelin güvenlik davranışını kendileri söküyor (abliteration denilen teknik).

Karşılaştırma için: aynı forumlarda yapay zeka ile ilgili konuşmalar yüzde 45 artarken, fidye yazılımı bahisleri yüzde 49, oltalama yüzde 8,5 düşmüş. Düşüşün bir kısmı dikkatin konu değiştirmesinden kaynaklanıyor olabilir.

Geliştiriciler için asıl risk: FakeGit

Rapordaki en pratik tehdit bence bu. Forum üyeleri FakeGit adlı bir kampanyayı tartışıyor: Water Kurita aktörüne atfedilen bu kampanyada yaklaşık 7.600 sahte GitHub deposu SmartLoader zararlısını yaymış. Bunların 800'den fazlası kendini "AI skill" veya "MCP sunucusu" gibi göstererek (ör. sahte bir Docker MCP Gateway) genel AI kayıt defterlerine (registry) indekslenmeye çalışmış.

Yani agent eklentilerini, MCP sunucularını ve "AI skill" paketlerini gelişigüzel çekmek, artık doğrudan bir tedarik zinciri riski.

Ne yapmalı?
  • Sızan AI sağlayıcı anahtarlarını tarayın ve bir sızıntıyı açık AWS kimlik bilgisi kadar ciddi ele alın. Anahtarları gizli yönetimine koyun, repolara yazmayın, düzenli döndürün.
  • Kurduğunuz her MCP sunucusunun ve agent eklentisinin kaynağını doğrulayın. Depo yıldız sayısına değil, yayıncı kimliğine ve koda bakın.
  • Yerel kod ajanlarını hassas dizinlerden ve insan onayı olmadan shell komutlarından uzak tutun.
  • Notion, Slack, GitHub gibi servislerde insan giriş hızını temellendirin; başsız (headless) tarayıcı süren ajanlar belirgin bir ritimle çalışır.

Yasal ve etik not

Bu konu bir tehdit istihbaratı derlemesidir. Burada anlatılan araçlar yalnızca savunma amacıyla, kendi anahtarlarınızı ve sistemlerinizi korumak için tanıtılmıştır. Başkasının API anahtarını kullanmak ya da izinsiz sistem taramak hem etik dışı hem de TCK kapsamında suçtur.

Kaynakça
Görsel: TurkTeam özgün kapak görseli

Ek DosyalarEkran Görüntüleri
   
 Mavi Takim Sertifikalari 2026: BTL1, CySA+ ve SOC Analisti Yol Haritasi
BilgeKagan 10-17-2026, 08:21 AM · Sertifikalar
0 31
[Resim: attachment.php?aid=80]

Merhaba,

Sertifika yol haritalarinin cogu saldiri (OSCP, eJPT) odakli. Savunma tarafina, yani SOC ve mavi takima yonelenler icin ayri bir rehber derledim. Bu konuda 2026 icin guncel mavi takim sertifikalarini ve mantikli bir sirayi paylasiyorum.

Konuda Anlatilacaklar
  1. Mavi takim yolu neden farkli?
  2. Temel: Security+
  3. Analist: CySA+ (CS0-004)
  4. Pratik kanit: BTL1
  5. Uzmanlasma ve siralama

1) Neden Farkli?
Mavi takimda isveren log analizi, olay mudahale, SIEM kullanimi ve tehdit istihbaratini olcer. Bu yuzden sertifika secimi de pratik, elde yapma odakli olmali. Teori + uygulama dengesi onemli.

2) Temel: Security+
CompTIA Security+ (SY0-701) genis bir giris saglar ve bircok ilanda taban sart olarak gecer. Henuz hicbir sertifikaniz yoksa buradan baslamak mantikli; guvenlik kavramlarinin ortak dilini ogretir.

3) Analist: CySA+
CompTIA CySA+ artik CS0-004 surumunde (CS0-003 emekliye ayriliyor, calisirken CS0-004 materyali kullanin). Davranissal analiz, tehdit tespiti ve olay mudahalesine odaklanir. SOC analistligi ilanlarinda genis kabul gorur.

4) Pratik Kanit: BTL1
Security Blue Team'in BTL1 sertifikasi 24 saatlik uygulamali bir sinava dayanir; phishing analizi, tehdit istihbarati, adli bilisim, SIEM ve olay mudahalesini elle yaparsiniz. Ozgecmise "teoriyi degil isi biliyorum" demenin guzel bir yoludur.

5) Siralama ve Uzmanlasma
Pratik bir sira:
  1. Security+ (temel)
  2. CySA+ (analist tanirligi) veya BTL1 (uygulamali kanit)
  3. Hedef isveren Microsoft Sentinel kullaniyorsa SC-200
Butce sinirliysa once BTL1 + bol lab (Blue Team Labs Online, LetsDefend) iyi bir maliyet/fayda verir. Sertifika tek basina is getirmez; yaninda gercek lab deneyimi ve GitHub'da gorunur calismalar sart.

Kaynaklar
Alıntı:Not: Sertifika fiyatlari ve sinav surumleri degisebilir; kayit oncesi resmi sayfalardan guncel bilgiyi dogrulayin.

Siz hangi mavi takim sertifikasini hedefliyorsunuz?

Ek DosyalarEkran Görüntüleri