<![CDATA[TurkTeam | Türk Siber Güvenlik Topluluğu - CTF Genel]]> https://www.turkteam.org/ Sun, 25 Oct 2026 18:48:59 +0000 MyBB <![CDATA[CTF'de Forensics: Wireshark ile Flag Avı Pratik Notlarım]]> https://www.turkteam.org/konu-ctf-de-forensics-wireshark-ile-flag-avi-pratik-notlarim.html Mon, 19 Oct 2026 00:46:55 +0300 KulTigin]]> https://www.turkteam.org/konu-ctf-de-forensics-wireshark-ile-flag-avi-pratik-notlarim.html [Resim: attachment.php?aid=269]
CTF forensics sorularında en çok pcap geliyor. Bu yazıda Wireshark ile flag avında izlediğim yolu, filtreleri ve sık görülen tuzakları kendi pratik notlarımdan derledim. Örnekler genel teknik; spesifik yarışma sorusu spoiler'ı yok.

İlk 60 saniye kontrol listesi
  1. Capture Options değil; File > Open ile pcap'i aç
  2. Statistics > Protocol Hierarchy: hangi protokoller var?
  3. Statistics > Conversations / Endpoints: kim kiminle konuşmuş?
  4. File > Export Objects: HTTP, SMB, IMF... dosya sızmış mı?
Protocol Hierarchy'de birdenbire "Data" şişmesi, tünel veya özel protokol ipucu olabilir.

Display filter vs capture filter
Capture filter BPF'dir (tcpdump ile aynı aile). Display filter Wireshark'a özgüdür ve daha ifade gücüdür. CTF'de dosya zaten kaydedilmiş olduğu için display filter kullanırsınız.
Kod:
http.request dns.qry.name contains "flag" tcp.stream eq 3 frame contains "CTF{"

[Resim: attachment.php?aid=270]

HTTP üzerinden dosya çıkarmak
Kod:
# Display filter http.request.method == "GET"
Sonra Export Objects > HTTP. İndirilen PNG/JPEG içinde stego olabilir; strings + binwalk laboratuvarı ayrı hikâye.
Kod:
strings -n 8 indirdigim.bin | head binwalk indirdigim.bin

TCP stream takip
Şüpheli pakette sağ tık > Follow > TCP Stream. Aynı bağlantının uygulama verisini birleşik görürsünüz. "Show data as" seçeneğini ASCII / Hex / UTF-8 arasında değiştirin; flag bazen Base64'tür.
Kod:
echo 'Q1RGe2V4YW1wbGV9' | base64 -d

DNS tüneli ve şüpheli sorgular
Kod:
dns.qry.name
Uzun, rastgele alt alan adları veya TXT kayıtları tünel olabilir. Statistics > DNS ile sorgu dağılımına bakın.

USB / diğer link katmanı
Bazı CTF pcap'leri USBPcap ile alınmıştır. Protocol Hierarchy'de USB görürseniz korkmayın; Wireshark USB dekoratörleriyle cihaz tanımlayıcılarını ve interrupt transferlerini gösterebilir. Flag bazen HID tuş vuruşu olarak gelir (keystroke reconstruction).

Zaman ve parçalama
  • View > Time Display Format > Seconds Since Beginning — akışı görmek kolaylaşır
  • Parçalanmış IP / yeniden montaj: tercihlerde reassembly açık olsun
  • VLAN etiketleri: vlan.id filtresi

Sık tuzaklar
  • Yalnızca http.filter ile bakıp HTTPS içine flag aramak (şifreli; anahtar yoksa göremezsiniz)
  • Export Objects'te "saved" sanıp aslında boş dosya kaydetmek
  • Wrong stream numarası: Conversations'dan stream index doğrulayın
  • Flag formatını okumamak (bazen flag{...} değil TEAM{...})

Kaynaklar
  • Wireshark User's Guide
  • pcap challenge arşivleri (yasal CTF setleri)
  • tshark -Y ile aynı filtreleri CLI'da koşturma
Kod:
tshark -r challenge.pcap -Y 'frame contains "flag"' -T fields -e frame.number

Sizin forensics CTF'de "ilk baktığım yer" neresi? USB keystroke sorusu çözenler yorumda ipucu (spoiler etiketiyle) bırakabilir.

TLS trafiğinde flag aramak
Şifreli trafikte düz metin flag yoksa anahtar materyali (SSLKEYLOGFILE) verilmiş olabilir; CTF yazarları bazen bunu ayrı dosyada sunar. Wireshark'ta Preferences > Protocols > TLS > (Pre)-Master-Secret log filename. Key olmadan "HTTPS içinde ara" zaman kaybıdır; başka kanala (DNS, dosya export) bakın.

tshark ile otomasyon
Birden fazla pcap gelen CTF'de bash döngüsü:
Kod:
for f in *.pcap; do echo "== $f"; tshark -r "$f" -Y 'http.request' -T fields -e http.host -e http.request.uri; done
İlk eleme böyle biter; derin Follow Stream'i GUI'de yaparsınız.


Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.

Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.

.png   100-n08-e61b22.png (Dosya Boyutu: 57.58 KB / İndirme Sayısı: 10)

.png   n08-inner.png (Dosya Boyutu: 21.21 KB / İndirme Sayısı: 10) ]]> [Resim: attachment.php?aid=269]
CTF forensics sorularında en çok pcap geliyor. Bu yazıda Wireshark ile flag avında izlediğim yolu, filtreleri ve sık görülen tuzakları kendi pratik notlarımdan derledim. Örnekler genel teknik; spesifik yarışma sorusu spoiler'ı yok.

İlk 60 saniye kontrol listesi
  1. Capture Options değil; File > Open ile pcap'i aç
  2. Statistics > Protocol Hierarchy: hangi protokoller var?
  3. Statistics > Conversations / Endpoints: kim kiminle konuşmuş?
  4. File > Export Objects: HTTP, SMB, IMF... dosya sızmış mı?
Protocol Hierarchy'de birdenbire "Data" şişmesi, tünel veya özel protokol ipucu olabilir.

Display filter vs capture filter
Capture filter BPF'dir (tcpdump ile aynı aile). Display filter Wireshark'a özgüdür ve daha ifade gücüdür. CTF'de dosya zaten kaydedilmiş olduğu için display filter kullanırsınız.
Kod:
http.request dns.qry.name contains "flag" tcp.stream eq 3 frame contains "CTF{"

[Resim: attachment.php?aid=270]

HTTP üzerinden dosya çıkarmak
Kod:
# Display filter http.request.method == "GET"
Sonra Export Objects > HTTP. İndirilen PNG/JPEG içinde stego olabilir; strings + binwalk laboratuvarı ayrı hikâye.
Kod:
strings -n 8 indirdigim.bin | head binwalk indirdigim.bin

TCP stream takip
Şüpheli pakette sağ tık > Follow > TCP Stream. Aynı bağlantının uygulama verisini birleşik görürsünüz. "Show data as" seçeneğini ASCII / Hex / UTF-8 arasında değiştirin; flag bazen Base64'tür.
Kod:
echo 'Q1RGe2V4YW1wbGV9' | base64 -d

DNS tüneli ve şüpheli sorgular
Kod:
dns.qry.name
Uzun, rastgele alt alan adları veya TXT kayıtları tünel olabilir. Statistics > DNS ile sorgu dağılımına bakın.

USB / diğer link katmanı
Bazı CTF pcap'leri USBPcap ile alınmıştır. Protocol Hierarchy'de USB görürseniz korkmayın; Wireshark USB dekoratörleriyle cihaz tanımlayıcılarını ve interrupt transferlerini gösterebilir. Flag bazen HID tuş vuruşu olarak gelir (keystroke reconstruction).

Zaman ve parçalama
  • View > Time Display Format > Seconds Since Beginning — akışı görmek kolaylaşır
  • Parçalanmış IP / yeniden montaj: tercihlerde reassembly açık olsun
  • VLAN etiketleri: vlan.id filtresi

Sık tuzaklar
  • Yalnızca http.filter ile bakıp HTTPS içine flag aramak (şifreli; anahtar yoksa göremezsiniz)
  • Export Objects'te "saved" sanıp aslında boş dosya kaydetmek
  • Wrong stream numarası: Conversations'dan stream index doğrulayın
  • Flag formatını okumamak (bazen flag{...} değil TEAM{...})

Kaynaklar
  • Wireshark User's Guide
  • pcap challenge arşivleri (yasal CTF setleri)
  • tshark -Y ile aynı filtreleri CLI'da koşturma
Kod:
tshark -r challenge.pcap -Y 'frame contains "flag"' -T fields -e frame.number

Sizin forensics CTF'de "ilk baktığım yer" neresi? USB keystroke sorusu çözenler yorumda ipucu (spoiler etiketiyle) bırakabilir.

TLS trafiğinde flag aramak
Şifreli trafikte düz metin flag yoksa anahtar materyali (SSLKEYLOGFILE) verilmiş olabilir; CTF yazarları bazen bunu ayrı dosyada sunar. Wireshark'ta Preferences > Protocols > TLS > (Pre)-Master-Secret log filename. Key olmadan "HTTPS içinde ara" zaman kaybıdır; başka kanala (DNS, dosya export) bakın.

tshark ile otomasyon
Birden fazla pcap gelen CTF'de bash döngüsü:
Kod:
for f in *.pcap; do echo "== $f"; tshark -r "$f" -Y 'http.request' -T fields -e http.host -e http.request.uri; done
İlk eleme böyle biter; derin Follow Stream'i GUI'de yaparsınız.


Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.

Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.

.png   100-n08-e61b22.png (Dosya Boyutu: 57.58 KB / İndirme Sayısı: 10)

.png   n08-inner.png (Dosya Boyutu: 21.21 KB / İndirme Sayısı: 10) ]]> <![CDATA[picoCTF mi pwn.college mi? Yeni Baslayan Icin CTF Platformu Secimi]]> https://www.turkteam.org/konu-picoctf-mi-pwn-college-mi-yeni-baslayan-icin-ctf-platformu-secimi.html Sat, 17 Oct 2026 11:25:17 +0300 KulTigin]]> https://www.turkteam.org/konu-picoctf-mi-pwn-college-mi-yeni-baslayan-icin-ctf-platformu-secimi.html [Resim: attachment.php?aid=97]
Selam arkadaslar,

"CTF'e baslamak istiyorum, nereden?" sorusunu cok aliyorum. Iki populer ucretsiz secenek var ama ikisi ayni kitleye hitap etmiyor: picoCTF ve pwn.college. Kendi deneyimime dayanarak hangisiyle baslamak gerektigini anlatayim.

Konuda Anlatilacaklar
  1. CTF turleri kisaca
  2. picoCTF kime uygun?
  3. pwn.college kime uygun?
  4. Onerdigim sira

1) CTF Turleri
Jeopardy tarzinda kategoriler vardir: web, kripto, tersine muhendislik, pwn (binary exploitation), forensics, OSINT. Yeni baslayan icin en kolay giris web ve kriptodur; pwn en dik ogrenme egrisine sahiptir.

2) picoCTF
picoCTF (artik CyLab Security Academy altinda) tam bir baslangic platformu: ucretsiz, tarayici tabanli, kategorilere ayrilmis, ipuclu ve cozumlu. Yil boyu acik pratik alani var, ayrica donemsel yarismalar duzenleniyor. Hic terminal bilmeyen biri bile buradan baslayabilir.

3) pwn.college
pwn.college ise Linux komut satirinda rahat olduktan sonra parlar. Rehberli terminal, VS Code, masaustu ve SSH ortamlari sunar; yapilandirilmis ogrenme yollari ve giderek zorlasan challenge'lari vardir. Ozellikle binary exploitation ve derinlemesine bilgisayar bilgisi icin bicilmis kaftan ama cig bir baslangic noktasi degil.

4) Onerdigim Sira
  1. Once picoCTF: genis bir giris, cok kategori, moral icin hizli cozumler.
  2. Paralelde temel Linux (bir onceki "25 komut" konusu ise yarar).
  3. Rahatlayinca pwn.college: pwn ve sistem tarafinda derinlesme.
En buyuk hata, dogrudan pwn'e dalip tikanip birakmak. Once momentum kazanin, sonra zorlasin.

Kaynaklar
Alıntı:Yasal not: CTF becerilerini yalnizca bu platformlarda ve izinli lab ortamlarinda kullanin.

Siz hangisiyle basladiniz, ilk cozdugunuz challenge neydi?

.png   kultigin-k04.png (Dosya Boyutu: 81.68 KB / İndirme Sayısı: 9) ]]> [Resim: attachment.php?aid=97]
Selam arkadaslar,

"CTF'e baslamak istiyorum, nereden?" sorusunu cok aliyorum. Iki populer ucretsiz secenek var ama ikisi ayni kitleye hitap etmiyor: picoCTF ve pwn.college. Kendi deneyimime dayanarak hangisiyle baslamak gerektigini anlatayim.

Konuda Anlatilacaklar
  1. CTF turleri kisaca
  2. picoCTF kime uygun?
  3. pwn.college kime uygun?
  4. Onerdigim sira

1) CTF Turleri
Jeopardy tarzinda kategoriler vardir: web, kripto, tersine muhendislik, pwn (binary exploitation), forensics, OSINT. Yeni baslayan icin en kolay giris web ve kriptodur; pwn en dik ogrenme egrisine sahiptir.

2) picoCTF
picoCTF (artik CyLab Security Academy altinda) tam bir baslangic platformu: ucretsiz, tarayici tabanli, kategorilere ayrilmis, ipuclu ve cozumlu. Yil boyu acik pratik alani var, ayrica donemsel yarismalar duzenleniyor. Hic terminal bilmeyen biri bile buradan baslayabilir.

3) pwn.college
pwn.college ise Linux komut satirinda rahat olduktan sonra parlar. Rehberli terminal, VS Code, masaustu ve SSH ortamlari sunar; yapilandirilmis ogrenme yollari ve giderek zorlasan challenge'lari vardir. Ozellikle binary exploitation ve derinlemesine bilgisayar bilgisi icin bicilmis kaftan ama cig bir baslangic noktasi degil.

4) Onerdigim Sira
  1. Once picoCTF: genis bir giris, cok kategori, moral icin hizli cozumler.
  2. Paralelde temel Linux (bir onceki "25 komut" konusu ise yarar).
  3. Rahatlayinca pwn.college: pwn ve sistem tarafinda derinlesme.
En buyuk hata, dogrudan pwn'e dalip tikanip birakmak. Once momentum kazanin, sonra zorlasin.

Kaynaklar
Alıntı:Yasal not: CTF becerilerini yalnizca bu platformlarda ve izinli lab ortamlarinda kullanin.

Siz hangisiyle basladiniz, ilk cozdugunuz challenge neydi?

.png   kultigin-k04.png (Dosya Boyutu: 81.68 KB / İndirme Sayısı: 9) ]]> <![CDATA[CTF Metodolojisi: Takılmadan İlerlemek İçin Kişisel Kontrol Listem]]> https://www.turkteam.org/konu-ctf-metodolojisi-takilmadan-ilerlemek-icin-kisisel-kontrol-listem.html Fri, 16 Oct 2026 11:24:05 +0300 KulTigin]]> https://www.turkteam.org/konu-ctf-metodolojisi-takilmadan-ilerlemek-icin-kisisel-kontrol-listem.html [Resim: attachment.php?aid=37]
Selam millet!

CTF'de puan değil öğrenme hedefleyenler için kendi kontrol listemi paylaşıyorum. Jeopardy veya HTB makinesi fark etmez; sıra aynı: enum, exploit, stabilize, escalate, dokümante et.

1) Keşif (asla atlama)
  • Port tarama (önce hızlı, sonra full)
  • Servis versiyonları + web başlıkları
  • robots.txt, kaynak kodu yorumları, gizli parametreler
  • Varsayılan kimlik bilgileri (lab'da!)
"Hemen exploit ara" refleksi Easy makinelerde bile zaman kaybettiriyor.

2) Ayak Basma
Bir şey bulduğunuzda hemen shell peşine düşmeyin; önce kanıtlayın (ör. dosya okuma). Sonra reverse shell / web shell. Shell alınca: whoami, id, uname -a, ip a.

3) Yetki Yükseltme Kontrol Listesi (Linux)
Kod:
sudo -l find / -perm -4000 -type f 2>/dev/null ls -la /etc/cron* getcap -r / 2>/dev/null env | grep -iE 'pass|key|token'
Windows'ta: whoami /priv, net user, AlwaysInstallElevated, yazılabilir servis yolları.

4) Zaman Kutusu
90 dakika takıldıysanız writeup'tan tek ipucu alın (retired/bitmiş CTF). Aktif yarışmada spoiler yasak; takım arkadaşınıza sorun.

5) Sonra
Bayrağı teslim etmek bitiş değil. Not: hangi yanlış varsayım zaman kaybettirdi? Bir dahaki sefere ilk bakılacak yer neresi?

Sizin listenizde olmazsa olmaz bir madde var mı? Alta yazın, listeyi büyütelim.

Kaynak: HackTricks (referans, körlemesine kopyalamayın), GTFOBins

Alıntı:Yalnızca CTF/lab ve izinli sistemler. TCK 243-245.

Kapak: özgün TurkTeam görseli.

.png   kultigin-07.png (Dosya Boyutu: 78.31 KB / İndirme Sayısı: 12) ]]> [Resim: attachment.php?aid=37]
Selam millet!

CTF'de puan değil öğrenme hedefleyenler için kendi kontrol listemi paylaşıyorum. Jeopardy veya HTB makinesi fark etmez; sıra aynı: enum, exploit, stabilize, escalate, dokümante et.

1) Keşif (asla atlama)
  • Port tarama (önce hızlı, sonra full)
  • Servis versiyonları + web başlıkları
  • robots.txt, kaynak kodu yorumları, gizli parametreler
  • Varsayılan kimlik bilgileri (lab'da!)
"Hemen exploit ara" refleksi Easy makinelerde bile zaman kaybettiriyor.

2) Ayak Basma
Bir şey bulduğunuzda hemen shell peşine düşmeyin; önce kanıtlayın (ör. dosya okuma). Sonra reverse shell / web shell. Shell alınca: whoami, id, uname -a, ip a.

3) Yetki Yükseltme Kontrol Listesi (Linux)
Kod:
sudo -l find / -perm -4000 -type f 2>/dev/null ls -la /etc/cron* getcap -r / 2>/dev/null env | grep -iE 'pass|key|token'
Windows'ta: whoami /priv, net user, AlwaysInstallElevated, yazılabilir servis yolları.

4) Zaman Kutusu
90 dakika takıldıysanız writeup'tan tek ipucu alın (retired/bitmiş CTF). Aktif yarışmada spoiler yasak; takım arkadaşınıza sorun.

5) Sonra
Bayrağı teslim etmek bitiş değil. Not: hangi yanlış varsayım zaman kaybettirdi? Bir dahaki sefere ilk bakılacak yer neresi?

Sizin listenizde olmazsa olmaz bir madde var mı? Alta yazın, listeyi büyütelim.

Kaynak: HackTricks (referans, körlemesine kopyalamayın), GTFOBins

Alıntı:Yalnızca CTF/lab ve izinli sistemler. TCK 243-245.

Kapak: özgün TurkTeam görseli.

.png   kultigin-07.png (Dosya Boyutu: 78.31 KB / İndirme Sayısı: 12) ]]>