TurkTeam | Türk Siber Güvenlik Topluluğu - Python

Pillow CVE-2026-112900: EPS Dosyası ve Ghostscript Üzerinden Komut Çalıştırma Riski

Sat, 24 Oct 2026 11:17:59 +0300

Selamlar,

Python dünyasının en yaygın görsel işleme kütüphanesi Pillow için önemli bir güvenlik güncellemesi var. The Hacker News'in 23 Ekim 2026 tarihli haberine göre CVE-2026-112900, EPS dosyalarının Ghostscript'e aktarılması sırasında dosya adının kontrolsüz iletilmesinden kaynaklanıyor. Kullanıcıdan görsel alan bir web uygulaması yazıyorsanız okumanızı öneririm.

Konuda anlatılacaklar

Açığın özeti
Kimler risk altında?
Aynı sürümde kapanan diğer açıklar
Güncelleme ve Python 3.10 notu
Güvenli görsel işleme için kod önerileri

1. Açığın özeti

Kod:
CVE           : CVE-2026-112900
Etkilenen     : Pillow 2.6.0 - 12.3.0
Duzeltme      : Pillow 13.0.0 (16 Ekim 2026)
Kosul         : Sistemde Ghostscript (gs) kurulu olmasi
Puan          : GitHub CNA 9.2; bakimcilar "orta" olarak degerlendiriyor

Pillow, EPS formatını kendi başına işleyemez; bu iş için sistemdeki Ghostscript'i çağırır. Sorun, bu çağrı sırasında dosya adının yeterince denetlenmemesi. Ghostscript kurulu değilse risk büyük ölçüde ortadan kalkıyor.

2. Kimler risk altında?

Kullanıcı yüklemelerini Image.open() ile açan ve sunucusunda gs kurulu olan uygulamalar.
ImageMagick veya PDF araçları nedeniyle Ghostscript'in zaten yüklü olduğu konteyner imajları.
Dosya uzantısına güvenen, içeriği doğrulamayan yükleme formları.

Kod:
which gs && gs --version
python3 -c "import PIL; print(PIL.__version__)"

3. Aynı sürümde kapanan diğer açıklar
Pillow 13.0.0 iki açığı daha kapatıyor: JPEG küçük resim işlemesinde bir taşma olan CVE-2026-112403 (Anthropic'in Claude modeliyle bulunup Ada Logics tarafından doğrulandı) ve 2013'ten beri kodda olan, TIFF'in belleğe yazılmasıyla ilgili CVE-2026-112393.

4. Güncelleme

Kod:
pip install -U "Pillow>=13.0.0"
pip-audit

Dikkat: Pillow 13, Python 3.10 desteğini bıraktı. Hâlâ 3.10 kullanan projelerde önce Python sürümünü yükseltmeniz gerekecek.

5. Güvenli görsel işleme önerileri

Kod:
from PIL import Image

IZINLI = ["JPEG", "PNG", "WEBP"]

def guvenli_ac(yol):
    im = Image.open(yol, formats=IZINLI)
    im.verify()
    im = Image.open(yol, formats=IZINLI)
    return im

formats parametresiyle kabul ettiğiniz formatları sınırlayın.
Ghostscript'e ihtiyacınız yoksa görsel işleyen sunucudan kaldırın.
Görsel işlemeyi yetkisi düşük bir işçi süreçte veya konteynerde yapın.

Projelerinizde kullanıcı yüklemelerini nasıl işliyorsunuz? Format kısıtlaması kullanan var mı?

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

03-t03-pillow-cve-2026-112900.png (Dosya Boyutu: 122.06 KB / İndirme Sayısı: 4)

Python site-packages Tuzağı: .pth import Satırları ve sitecustomize

Thu, 22 Oct 2026 11:27:39 +0300

Selamlar,

LiteLLM 1.107.0'ın zararlısı neden "litellm import etmeden" çalıştı? Cevap Python'un site başlangıç mekanizmasında. Bu yazıda resmi site modülü belgelerine dayanarak .pth dosyaları, sitecustomize ve yeni .start dosyalarının nasıl çalıştığını, neden tedarik zinciri saldırılarında bu kadar sevildiğini anlatıyorum.

Konuda anlatılacaklar

site modülü ne zaman yüklenir?
.pth dosyalarında "import" satırları
sitecustomize ve usercustomize
Python 3.15+ .start dosyaları
Savunma: kendi ortamınızda nasıl tararsınız?

site modülü ne zaman yüklenir?
Python belgelerine göre site modülü yorumlayıcı başlatılırken otomatik içe aktarılır. -S seçeneğiyle bu otomatik içe aktarma bastırılabilir. Modül, sys.prefix / sys.exec_prefix altındaki site-packages dizinlerini sys.path'e ekler ve o dizinlerdeki yapılandırma dosyalarını işler.

.pth dosyaları
name.pth dosyaları site-packages içinde bulunur. Her satır normalde sys.path'e eklenecek bir yoldur. Ama geriye dönük uyumluluk için "import" ile başlayan satırlar exec() ile çalıştırılır. LiteLLM olayındaki cook.pth dosyası yalnızca şunu içeriyordu: import cook. Yani her Python başlangıcında cook.py çalışıyordu.

Belgeler ayrıca diyor ki: yürütülebilir satırlar (pth içindeki import satırları ve .start giriş noktaları), belirli bir modülün gerçekten kullanılıp kullanılmayacağından bağımsız olarak başlangıçta her zaman çalışır; -S verilmedikçe.

Python 3.15'te pth içindeki import satırları kullanımdan kaldırıldı (deprecated); 3.20'de kaldırılacak. Yerine .start dosyaları geliyor.

sitecustomize
Yol manipülasyonlarından sonra site modülü sitecustomize adlı bir modülü içe aktarmaya çalışır. Bu dosya tipik olarak sistem yöneticisi tarafından site-packages'e konur ve keyfi özelleştirme yapabilir. ImportError (name='sitecustomize') sessizce yok sayılır. LiteLLM olayında saldırgan sitecustomize.py'yi wheel'in .data/purelib/ dizinine koyarak pip'in onu site-packages köküne kopyalamasını sağladı; böylece her başlangıçta arka plan yükleyici ayağa kalkıyordu.

Lab: zararsız bir gösterim

Kod:
# Yalnızca kendi venv'inizde deneyin
python3 -m venv /tmp/sitedemo && source /tmp/sitedemo/bin/activate
SP=$(python -c "import site; print(site.getsitepackages()[0])")
# Zararsız bir isaretleyici
cat > "$SP/demo_hook.py" <<'E'
print("[demo_hook] calisti - bu satiri uretimde GORMEK istemezsiniz")
E
echo "import demo_hook" > "$SP/demo_hook.pth"
python -c "print('merhaba')"
# Temizlik
rm -f "$SP/demo_hook.py" "$SP/demo_hook.pth"

python -c "print('merhaba')" satırı demo_hook'u hiç import etmez; yine de pth yüzünden çalışır.

Savunma taraması

Kod:
# Tum site-packages icinde supheli pth / sitecustomize
python - <<'PY'
import site, pathlib
paths = list(site.getsitepackages())
if site.ENABLE_USER_SITE and site.USER_SITE:
    paths.append(site.USER_SITE)
for p in paths:
    root = pathlib.Path(p)
    if not root.is_dir():
        continue
    for f in root.glob("*.pth"):
        text = f.read_text(errors="replace")
        if any(ln.lstrip().startswith("import ") for ln in text.splitlines()):
            print("PTH_IMPORT", f)
    for name in ("sitecustomize.py", "usercustomize.py"):
        t = root / name
        if t.exists():
            print("CUSTOMIZE", t)
PY

CI imajlarınızda ve üretim venv'lerinizde bu taramayı düzenli çalıştırın. pip uninstall litellm demek ekstra dosyaları temizlemez; LiteLLM'in de vurguladığı gibi cook.pth ve sitecustomize.py elle silinmelidir.

Üretim imajlarınızda pth/sitecustomize taraması var mı? Script'inizi paylaşırsanız herkes faydalanır.

Yasal uyarı
Bu yazı bilgilendirme ve savunma amaçlıdır. Anlatılan kontrolleri yalnızca kendi sistemlerinizde veya yazılı izinle yapın. İzinsiz erişim, tarama ve sömürü girişimleri TCK 243-245 kapsamında suçtur. TurkTeam white-hat bir topluluktur; çalıntı veri, hesap, combo/log paylaşımı ve hack hizmeti talepleri forum kurallarına aykırıdır.

Kaynaklar

12-b02-sitecustomize-pth.png (Dosya Boyutu: 112.66 KB / İndirme Sayısı: 6)

Python asyncio ile Ağ I/O: Güvenlik Araçlarında open_connection Pratiği

Wed, 21 Oct 2026 11:30:33 +0300

Selam,

Thread bombası yerine asyncio, binlerce yavaş I/O bekleyen bağlantıyı tek iş parçacığında yönetmenizi sağlar. Banner grab, health-check, kendi lab port tarayıcınız... Resmi dokümandaki asyncio.open_connection ile küçük bir örnek yazalım.

Minimal banner okuma

Kod:
import asyncio

async def grab(host: str, port: int, timeout: float = 3.0) -> str:
    try:
        reader, writer = await asyncio.wait_for(
            asyncio.open_connection(host, port), timeout=timeout
        )
        data = await asyncio.wait_for(reader.read(256), timeout=timeout)
        writer.close()
        await writer.wait_closed()
        return data.decode("latin-1", errors="replace")
    except Exception as e:
        return f"ERR: {e!r}"

async def main():
    hosts = [("127.0.0.1", 22), ("127.0.0.1", 80)]
    results = await asyncio.gather(*(grab(h, p) for h, p in hosts))
    for (h, p), r in zip(hosts, results):
        print(f"{h}:{p} -> {r[:120]!r}")

asyncio.run(main())

Dikkat edilecekler

Timeout'suz gather lab'ı kilitleyebilir; wait_for kullanın
Semaphore ile eşzamanlılık sınırı koyun (ör. 100)
TLS için open_connection(..., ssl=True) veya kendi SSLContext
Bu bir silahlaştırılmış tarayıcı değil; yalnızca kendi host'larınız

Kod:
sem = asyncio.Semaphore(50)
async def bounded(h, p):
    async with sem:
        return await grab(h, p)

Güvenlik aracı disiplini
Kütüphane seçimi kadar kullanıcı arayüzü önemli: varsayılan hedef localhost, scope dosyası zorunlu, User-Agent/etiket logu. asyncio + rate limit ikilisi "hızlı ama nezaketli" araçların omurgası.

Yasal uyarı
İzinsiz port/banner tarama suç olabilir. TCK 243-245.

Kaynaklar

Test
pytest-asyncio ile timeout ve semaphore sınırlarını birim test edin. Labda kasıtlı olarak kapalı porta istek atıp ERR yolunu doğrulayın. Loglara hedef IP yazarken KVKK/minimization uygulayın.

Uygulamada sık gördüğüm hatalar
Birçok ekip yamayı "planlandı" diye işaretleyip internete açık yüzeyde günlerce bekletiyor. İkinci sık hata: yalnızca CVE numarasına bakıp zincir etkisini görmemek. Üçüncü hata: yama sonrası log ve dosya bütünlüğüne bakmamak; oysa yama öncesi sömürü olmuş olabilir. Bu üç noktayı kendi kontrol listenize eklemenizi öneririm.

Ekip içi iletişim şablonu
Yönetime veya müşteriye yazarken teknik jargonu azaltın: hangi varlık etkilendi, internete açık mı, yama var mı, geçici azaltma ne, doğrulama nasıl yapılacak. Tek paragrafta risk + eylem + sahiplik yazmak, uzun CVE özetinden daha hızlı karar aldırır.

Lab not defteri
Bu konuyu kendi defterime şu başlıklarla işliyorum: tarih, kaynak URL, etkilenen ürün/sürüm, internete açık mı, yama komutu, geri alma planı, IOC listesi, kime haber verildi. Siz de benzer basit bir şablon tutarsanız bir ay sonra "ne yapmıştık?" sorusu cevapsız kalmaz.

İzleme ve doğrulama
Değişiklikten sonra en az bir negatif ve bir pozitif kontrol tanımlayın. Negatif: alarm boş yere düşmemeli. Pozitif: bilinen kötü örneği veya beklenen log satırını yakalamalı. İkisini de kaydedin; aksi halde "sanırım düzeldi" ile yetinirsiniz.

Sonuç
Özetle: kaynağı okuyun, kendi envanterinize bağlayın, yama veya azaltmayı uygulayın, sonra doğrulayın. TurkTeam'de yorumlarda kendi ortamınızdan (ürün adı ve sürüm yeter, hassas IP yazmayın) kısa deneyim paylaşırsanız herkes faydalanır.

Adım adım kontrol listesi (kopyala-yapıştır)

Kaynak duyuruyu ve varsa üretici güvenlik sayfasını arşivleyin (PDF/HTML).
Envanterde etkilenen ürün var mı diye CMDB / agent raporu / netscan ile bakın.
İnternete açık mı, yoksa yalnızca iç ağda mı? Buna göre SLA seçin.
Yama veya yapılandırma azaltmasını stagingde deneyin.
Üretim penceresinde uygulayın; değişiklik kaydı açın.
Servis sağlık kontrolü + log doğrulaması yapın.
Gerekliyse IOC avı veya compromise assessment planlayın.
Kapanış notunu yazın: sürüm, tarih, kim onayladı.

Sık sorulanlar
Sadece okumak yeter mi? Hayır. Okuduktan sonra envanter satırına bağlanmayan bilgi operasyonel değildir.
PoC çalıştırmalı mıyım? Yalnızca izole lab ve yazılı izinle. İnternette rastgele deneme hem etik dışı hem yasadışı olabilir.
WAF / EDR tek başına kurtarır mı? Katmanlı savunma işe yarar ama yamanın yerini tutmaz; özellikle kimlik doğrulamasız RCE sınıflarında.
Ne zaman yönetime çıkmalıyım? İnternete açık kritik yüzey, aktif sömürü istihbaratı veya veri sızıntısı şüphesi varsa gecikmeden.

Örnek komut defteri

Kod:
# Tarih damgası ve ortam notu
date -Is
hostnamectl 2>/dev/null | head -5 || true
# Ağ dinleme özeti (lab)
ss -lntp | head -30
# Son reboot / güncelleme ipucu (systemd)
who -b 2>/dev/null || true

Bu komutlar tanı koymaz; değişiklik öncesi/sonrası basline almak için kullanın.

İlgili TurkTeam bölümleri
Bu yazıyı okuduktan sonra aynı kategorideki komşu konulara ve Soru-Cevap bölümüne kendi lab çıktınızı (hassas veri olmadan) taşıyabilirsiniz. Kısa ekran görüntüsü veya komut çıktısı, uzun teoriden daha çok işe yarar.

Kapanış ve yasal çerçeve
TurkTeam white-hat bir topluluktur. Anlatılan teknikler eğitim, savunma ve izinli test içindir. Başkalarının sistemlerinde izinsiz tarama, sömürü, veri çalma veya "hack hizmeti" sunmak forum kurallarına ve TCK 243, 244, 245 maddelerine aykırıdır. Kendi laboratuvarınızı izolasyonla kurun; üretim verisi kullanmayın. Kaynaklardaki bağlantıları birincil referans kabul edin; bu yazı özet ve yol göstericidir, üretici duyurusunun yerini tutmaz.

Kişisel deneyim notu
Ben benzer konuları işlerken önce resmi duyuruyu iki kez okuyup sonra labda en küçük yeniden üretilebilir adımı arıyorum. Yeniden üretemiyorsam bile envanter ve yama doğrulamasını aynı gün bitirmeye çalışıyorum. Siz de "bugün tek iş" diye bir satır seçin: ya yamayı uygulayın ya da etkilenen varlık olmadığını kanıtlayın. İkisi de geçerli kapanıştır.

Okuma listesi

Üretici / araştırmacı birincil yazısı (kaynakçada)
CISA KEV veya CERT duyurusu varsa o
Kendi iç runbook'unuzun ilgili maddesi

Üçünden fazlasını aynı anda açmak yerine birini bitirip not alın; aksi halde tab kaybı başlar.

16-k01-asyncio.png (Dosya Boyutu: 113.88 KB / İndirme Sayısı: 7)

Python ile Dosya Butunlugu Izleme: hashlib ile Basit FIM Scripti

Sat, 17 Oct 2026 11:20:25 +0300

Merhaba arkadaslar,

Sunucularda en sik gozden kacan savunma katmanlarindan biri dosya butunlugu izlemesi (File Integrity Monitoring, FIM). Pahali bir urun almadan, standart kutuphanelerle kendi basit FIM aracinizi yazabilirsiniz. Bu konuda hashlib ile calisan, harici bagimliligi olmayan kucuk bir script uzerinden mantigi anlatacagim.

Konuda Anlatilacaklar

FIM nedir, neden onemlidir?
Hangi dizinleri izlemeli?
Baseline (referans) olusturma
Degisiklik tespiti ve raporlama
Zamanlama (cron) ve sinirlar

1) FIM Nedir, Neden Onemli?
FIM, kritik dosyalarin icerik ozetini (hash) belirli araliklarla hesaplayip referans degerle karsilastirir. Bir saldirgan /etc/passwd, bir web uygulamasinin index dosyasi veya bir systemd servis dosyasini degistirdiginde fark aninda ortaya cikar. Mantik basit: once temiz bir referans al, sonra duzenli olarak karsilastir. Kurumsal dunyada AIDE veya Tripwire bu isi yapar; buradaki amac mantigi ogrenmek.

2) Baseline Olusturma
Once izlenecek dizinleri tarayip her dosyanin SHA-256 ozetini bir JSON dosyasina yaziyoruz.

Kod:
import hashlib, os, json, sys, time

def sha256(path, chunk=65536):
    h = hashlib.sha256()
    with open(path, "rb") as f:
        for block in iter(lambda: f.read(chunk), b""):
            h.update(block)
    return h.hexdigest()

def scan(roots):
    db = {}
    for root in roots:
        for dirpath, _, files in os.walk(root):
            for name in files:
                p = os.path.join(dirpath, name)
                try:
                    db[p] = sha256(p)
                except (PermissionError, FileNotFoundError):
                    continue
    return db

Buyuk dosyalari parca parca okudugumuza dikkat edin; boylece bellek sismaz.

3) Degisiklik Tespiti
Baseline ile guncel tarama arasindaki farki uc kumeye ayiriyoruz: eklenen, silinen ve degisen dosyalar.

Kod:
def diff(old, new):
    old_k, new_k = set(old), set(new)
    added = new_k - old_k
    removed = old_k - new_k
    changed = {k for k in old_k & new_k if old[k] != new[k]}
    return added, removed, changed

if __name__ == "__main__":
    ROOTS = ["/etc", "/var/www"]
    DB = "/var/lib/fim/baseline.json"
    if "--baseline" in sys.argv:
        os.makedirs(os.path.dirname(DB), exist_ok=True)
        json.dump(scan(ROOTS), open(DB, "w"))
        print("Baseline olusturuldu.")
    else:
        old = json.load(open(DB))
        a, r, c = diff(old, scan(ROOTS))
        for tag, s in (("EKLENDI", a), ("SILINDI", r), ("DEGISTI", c)):
            for p in sorted(s):
                print(f"[{tag}] {p}")

4) Zamanlama
Scripti saatlik calistirmak icin basit bir cron satiri:

Kod:
0 * * * * /usr/bin/python3 /opt/fim/fim.py >> /var/log/fim.log 2>&1

Ciktida DEGISTI satiri gorurseniz once mesru bir guncelleme mi (paket yukseltmesi, deploy) diye bakin; degilse incelemeye alin.

5) Sinirlar
Bu script bir baslangic noktasidir. Gercek ortamda baseline dosyasini salt-okunur veya ayri bir yerde tutun; saldirgan hem dosyayi hem baseline'i degistirebilir. Ayrica cok degisen dizinleri (log, cache) izleme disinda birakin, yoksa gurultu olur. Uretim icin AIDE gibi olgun araclara gecmenizi oneririm.

Kaynaklar

Alıntı:Yasal not: Scripti yalnizca kendi sunucularinizda veya yetkili oldugunuz sistemlerde calistirin.

Kolay gelsin.

bilgekagan-b01.png (Dosya Boyutu: 82.93 KB / İndirme Sayısı: 7)

Python ile SSH Brute Force Tespiti: auth.log Analiz Scripti (Adım Adım)

Fri, 16 Oct 2026 11:09:46 +0300

Selam arkadaşlar,

İnternete açık bir VPS kiraladıysanız ilk gün şunu fark etmişsinizdir: sunucu daha hiçbir yerde duyurulmadan SSH portuna dakikada onlarca giriş denemesi gelmeye başlar. Bunların çoğu otomatik tarayıcılar ve botlardır. Ben kendi sunucularımda bu trafiği hem anlamak hem de raporlamak için küçük bir Python scripti kullanıyorum. Bu konuda o scripti satır satır anlatıyorum; tamamen savunma amaçlıdır ve sadece kendi sunucunuzun loglarında kullanılmalıdır.

Konuda Anlatılacaklar

SSH giriş denemeleri loglarda nasıl görünür?
auth.log mu, journalctl mi? (Debian/Ubuntu farkı)
Python scripti: regex, Counter ve argparse ile analiz
Çıktıyı yorumlamak: asıl tehlikeli olan satır hangisi?
Scripti otomatikleştirmek ve sonraki adımlar

1) Loglarda SSH Denemeleri Nasıl Görünür?
OpenSSH sunucusu (sshd) her kimlik doğrulama olayını syslog'a yazar. Bizi ilgilendiren üç tip satır var:

Kod:
Failed password for root from 198.51.100.7 port 52122 ssh2
Invalid user admin from 203.0.113.45 port 40022
Accepted publickey for bilge from 192.168.1.20 port 51000 ssh2

Failed password / Failed publickey: Var olan (veya "invalid user" olarak işaretlenen) bir hesaba hatalı deneme.
Invalid user: Sistemde hiç olmayan bir kullanıcı adı denenmiş. Botlar admin, test, oracle, pi gibi isimleri sırayla dener.
Accepted: Başarılı giriş. Brute force yapan bir IP'den bu satırı görüyorsanız alarm zili çalmalı.

2) auth.log mu, journalctl mi?
Ubuntu'da rsyslog varsayılan olarak geldiği için kayıtlar /var/log/auth.log dosyasında durur. Debian 12 ve sonrasında ise rsyslog varsayılan kurulumda gelmez, loglar sadece systemd journal içindedir. Script iki durumu da desteklesin diye dosya verilmezse standart girdiden (stdin) okuyacak şekilde yazdım:

Kod:
# Ubuntu (rsyslog varsa)
sudo python3 ssh_tespit.py /var/log/auth.log

# Debian 12+ veya journal kullanan sistemler (servis adı dağıtıma göre ssh ya da sshd)
sudo journalctl -u ssh --since today -o cat | python3 ssh_tespit.py
sudo journalctl -u sshd --since "2 days ago" -o cat | python3 ssh_tespit.py --esik 5

3) Script
Python 3.8 ve üstü yeterli (walrus operatörü := kullandım). Harici paket yok, sadece standart kütüphane:

Kod:
#!/usr/bin/env python3
"""auth.log / journalctl çıktısından SSH brute force denemelerini özetler."""
import argparse, ipaddress, json, re, sys
from collections import Counter, defaultdict

FAILED = re.compile(r"Failed (?:password|publickey) for (?:invalid user )?(?P\S+) from (?P[0-9a-fA-F:.]+)")
INVALID = re.compile(r"Invalid user (?P\S*) from (?P[0-9a-fA-F:.]+)")
ACCEPTED = re.compile(r"Accepted (?P\S+) for (?P\S+) from (?P[0-9a-fA-F:.]+)")

def analiz(satirlar):
    hata = Counter()        # "Failed password/publickey" satırları
    gecersiz = Counter()    # "Invalid user" satırları (olmayan kullanıcı)
    kullanicilar = defaultdict(set)
    basarili = defaultdict(list)
    for satir in satirlar:
        if m := FAILED.search(satir):
            hata[m["ip"]] += 1
            kullanicilar[m["ip"]].add(m["user"])
        elif m := INVALID.search(satir):
            gecersiz[m["ip"]] += 1
            kullanicilar[m["ip"]].add(m["user"] or "(bos)")
        elif m := ACCEPTED.search(satir):
            basarili[m["ip"]].append(f'{m["user"]}/{m["method"]}')
    return hata, gecersiz, kullanicilar, basarili

def main():
    p = argparse.ArgumentParser(description="SSH brute force özet raporu")
    p.add_argument("dosya", nargs="?", help="auth.log yolu (boşsa stdin okunur)")
    p.add_argument("--esik", type=int, default=10, help="şüpheli sayılacak minimum hatalı deneme")
    p.add_argument("--json", action="store_true", help="çıktıyı JSON ver")
    a = p.parse_args()

    kaynak = open(a.dosya, encoding="utf-8", errors="replace") if a.dosya else sys.stdin
    with kaynak:
        hata, gecersiz, kullanicilar, basarili = analiz(kaynak)

    rapor = []
    toplam = hata + gecersiz
    for ip, adet in toplam.most_common():
        if adet < a.esik:
            break
        rapor.append({
            "ip": ip,
            "hatali_deneme": hata[ip],
            "gecersiz_kullanici": gecersiz[ip],
            "yerel_veya_ayrilmis": ipaddress.ip_address(ip).is_private,
            "denenen_kullanicilar": sorted(kullanicilar[ip])[:10],
            "basarili_giris": basarili.get(ip, []),
        })

    if a.json:
        print(json.dumps(rapor, ensure_ascii=False, indent=2))
        return
    print(f"{'IP':<40}{'HATA':>6}{'GECERSIZ':>10}  KULLANICILAR")
    for r in rapor:
        uyari = "  <-- DIKKAT: basarili giris var!" if r["basarili_giris"] else ""
        print(f"{r['ip']:<40}{r['hatali_deneme']:>6}{r['gecersiz_kullanici']:>10}  {','.join(r['denenen_kullanicilar'])}{uyari}")
    print(f"\nToplam {len(rapor)} şüpheli IP (eşik: {a.esik})")

if __name__ == "__main__":
    main()

Ne yapıyor, kısaca:

Üç ayrı regex ile satırları sınıflandırıyor. IPv6 adresleri de yakalansın diye IP desenini [0-9a-fA-F:.] olarak geniş tuttum.
"Failed" ve "Invalid user" sayılarını ayrı tutuyorum. Bunun bir sebebi var: sshd olmayan bir kullanıcı için çoğu zaman önce "Invalid user" sonra "Failed password for invalid user" yazar. Tek sayaçta toplarsanız aynı denemeyi iki kez saymış olursunuz.
Eşik değeri (--esik) altında kalan IP'leri raporlamıyor; gürültü azalıyor.
ipaddress modülü ile adresin yerel/ayrılmış bir blokta olup olmadığını işaretliyor. Kendi ağınızdan gelen hatalı denemeler genelde şifresini unutan bir kullanıcıdır, farklı değerlendirin.
--json ile çıktıyı başka bir araca (SIEM, Telegram botu, cron maili) aktarabilirsiniz.

4) Çıktıyı Yorumlamak
Test için oluşturduğum örnek logda (dokümantasyon IP blokları kullanıldı) çıktı şöyle:

Kod:
IP                                        HATA  GECERSIZ  KULLANICILAR
203.0.113.45                                25         0  admin,oracle,test
198.51.100.7                                12         0  root  <-- DIKKAT: basarili giris var!
192.0.2.9                                    0         3  pi

Toplam 3 şüpheli IP (eşik: 3)

Burada asıl dikkat edilmesi gereken ikinci satır: 12 hatalı root denemesinin ardından aynı IP'den başarılı giriş var. Gerçek bir sunucuda bunu görürseniz yapılacaklar sırasıyla şunlar:

O oturumu ve kullanıcıyı tespit edin: last -i, who ve journal kayıtları.
Şifreyi değiştirin, authorized_keys dosyasına sizin eklemediğiniz bir anahtar eklenmiş mi bakın.
crontab, systemd servisleri ve /tmp altında tanımadığınız dosya var mı kontrol edin.
Kalıcı çözüm: parola ile girişi kapatın, sadece anahtar kullanın.

5) Otomatikleştirme ve Sonraki Adımlar
Ben scripti günde bir kez çalıştırıp JSON çıktıyı bir dosyaya ekliyorum. Basit bir cron satırı:

Kod:
# her gün 07:00'de dünün özetini kaydet
0 7 * * * journalctl -u ssh --since yesterday --until today -o cat | /usr/bin/python3 /opt/ssh_tespit.py --json >> /var/log/ssh_ozet.jsonl

Tespit tek başına koruma değildir. Asıl koruma için sırasıyla:

/etc/ssh/sshd_config içinde PasswordAuthentication no ve PermitRootLogin no (veya prohibit-password).
Fail2ban gibi bir araçla tekrarlayan denemeleri otomatik engelleme.
Mümkünse SSH'ı sadece VPN veya belirli IP'lerden erişilebilir yapmak.

Bu scripti geliştirmek isteyenlere fikir: saat bazlı dağılım (botlar genelde gece yoğunlaşıyor), ülke bilgisi için yerel bir GeoIP veritabanı, ya da sonuçları SQLite'a yazıp haftalık trend çıkarmak. Geliştiren olursa konunun altına eklesin, birlikte toparlarız.

Kaynaklar

Alıntı:Yasal not: Bu içerik savunma amaçlıdır. Scripti yalnızca yöneticisi olduğunuz veya yazılı izin aldığınız sistemlerin loglarında kullanın. Başkasına ait sistemlere izinsiz erişim TCK 243-245 kapsamında suçtur.

Kapak görseli: TurkTeam için hazırlanmış özgün görsel.

bilgekagan-01.png (Dosya Boyutu: 90.98 KB / İndirme Sayısı: 10)