Arşiv

Günlük Okunma : 53 | 04.05.2008

Başbakanlık sitesi hacklenmiş - daha doğrusu tekrar hacklenmiş. Daha önceden İstanbul' da bilişim suçları konferansında devlet sistemlerinin güvensizliğinden ve bir an önce ciddi standartlar getirilmesi gerektiğinden bahsetmiştim.  İkinci konu daha önceden de bahsettiğim gibi acaba bu buz dağının görünen kısmı mı?...

Günlük Okunma : 22 | 15.04.2008

Web sitelerinde genelde atlanılan ancak bir çok script kiddie ve potansiyel saldırgan tarafından kötüye kullanılan olaylardan biri sunucu tarafından uzun ve ağır işlem yapan sayfalara çok fazla istek yaparak sisteme DoS saldırısında bulunmaktır. Genelde arama sayfaları, ağır listeleme sayfaları ya da kötü bir kod bunun için biçilmiş kaftandır. Bu aralar Subsonic ile oynuyorum, muhtemelen .NET için en iyi ücretsiz ORM sistemidir, sayfalama yapmak için PageIndex diye bir parametre var , temel olarak veritabanından data çekerken kaç......

Günlük Okunma : 13 | 09.03.2008

Web Güvenlik Topluluğu 9 Mart' ta Kadiköy' de buluşuyor. Ben malum nedenlerden dolayı orada olamayacağım, gidecek arkadaşlara iyi eğlenceler. Eğer web uygulaması güvenliği ile ilgileniyor ve OWASP Turkiye e-mail listesine üye değilseniz hemen suradan olabilirsiniz....

Günlük Okunma : 15 | 12.02.2008

Bir kaç gündür 2006' dan bu yanadır kullanılan ama henüz pulic olarak ortaya çıkan bir linux local root exploiti var (vmsplice, 2.6.17-2.6.24.1 ve 2.6.23 - 2.6.24), deneyenler ne kadar basit ve stabil bir şekilde çalıştığını görecektir. Geçmişte de yıllar sonra ortaya çıkan  CVS exploitlerini görmüştük. Şimdi ne kadar güvende olduğunuzu tekrar düşünün ve benim büyük bir fanı olduğum "derinlemesine defans" kulübüne üyeliğinizi yaptırın. Son olarak, Linux kullanıcıları, ilgi......

Günlük Okunma : 9 | 06.02.2008

Geçen bu blogu düzenli takip eden arkadaşlardan biri son zamanlarda pek yazmadığımı, özellikle de güvenlik konularında eskisi gibi yazmadığımı söyledi. Kendisine e-mail ile cevap verdim ama zaten buradan da değinmek istediğim bir konuydu, aşağıda özet olarak durumumu belirtiyorum. Klasik Sebepler, Bahaneler... Bu aralar normale göre çok daha odaklı olarak bir proje üzerinde çalışıyorum, boş vakitlerimde de başka bir kaç yan projem ile ve genel rutin e-mail cevaplama gibi işler ile uğraşıyorum. Bunun yanında güvenlik konusunda bir kaç konuda iş dışında ar-ge yapmaya çalışıyorum. Bütün bunlar b......

Günlük Okunma : 10 | 01.02.2008

Çok ilginç bir şekilde eşşek kadar firmaların ve kurumların hatta bazen güvenlik uzmanlarının hala SSL i anlayamamış olduğunu görüyorum. Bugün ZDNet blog' unda SSL üzerinden girilen gmail' in XHR isteklerini HTTP üzerinden yaptığını öğrendim. Gmail' ın varsayılan olarak SSL olmaması zaten saçma bir durum ama SSL üzerinden kendini korumaya çalışan insanların bile koruyamıyor olması içler acısı! Benzer bir olayı godaddy' ye bizzat bildirdim ve kendileri hala HTTP üzerinden login formunun güvenli olduğunu iddia ettiler b......

Günlük Okunma : 8 | 12.12.2007

Bildiğiniz gibi ben güvenlik işi yapıyorum, konu güvenlik işi olunca Linux piyasanın lideri, her ne kadar son 1-2 yılda MacOS piyasayı değiştirmeye başladıysa bile. Özetle benden başka hemen hemen tüm tanıdığım güvenlikçiler ana sistem olarak ya Linux ya FreeBSD ya da MacOS kullanıyorlar. Dolaysıyla benim de onları ve genel kullanım davranışlarını analiz etme şansım oluyor. Ben genelde personal firewall diye bilinen ama ana işlerinin process kontrolü olan yapıları çok seviyorum ve bu yazılımların büyük bir destekçisiyim, komik olan ise......

Günlük Okunma : 9 | 30.11.2007

Nihayet birileri bu konuda gerçek bir şeyler yaptı, biliniyordu ama aksiyon yoktu. Buradaki videoda klavye vuruşlarını sniff ediyorlar. 10 metreye kadar çalışabiliyormuş. İlgili ama detaylı olmayan bir makale : 27 Mhz Keyboard Insecurities Günün salak notu : MSN şifresi çalmak için yeni bir yöntem bulduk(!)...

Günlük Okunma : 15 | 22.11.2007

Basitçe bu yazıda genel olarak geliştiricilerin ve bireylerin SSL hakkında yanlış bildikleri veya bilmedikleri, sık sordukları soru - cevapları paylaşmaya çalıştım. Özellikle web yazılımlarında yanlış implemantasyonlar görüyorum. Herşeyden Önce, SSL nedir? Özetle ve hepimizin anlayacağı şekilde SSL gidip - gelen datanın şifrelenmesini sağlar. Neden ki? Sertifika ne?, Asimetrik şifreleme ne? gibi sorular soruyorsanız PGP' ye Giriş makalesini okumanızı tavsiye ederim. O makalede bu konulara değinmeye çalışmıştım. Şimdi SSL ile ilgili Sık Sorulan Sorula......

Günlük Okunma : 5 | 14.11.2007

Türkiye de güvenlik siteleri konusunda ciddi sıkıntılar yaşamaktayız. Ara ara yeni siteler çıksa da hızla kayboluyorlar izlerini takip edemiyoruz.  H-Security Labs, Türkçe ve gayet güzel içerikli ne yaptığını bilen yeni bir güvenlik sitesi. Açılalı çok olmamış ancak çok güzel makaleler şimdiden sitede yerini almış. Özellikle WEP' in Zayıflıkları ve SQL Injection Serileri ilginizi çekebilir. Benim RSS okuyucumdaki yerlerini aldılar, sitenin her zaman bu formda kalmasını umuyoruz....

Günlük Okunma : 8 | 31.10.2007

Son kitaplarımdan bahsetmiştim, Art of intrusion' un ortalarında olduğumdan şimdiden bir sonraki siparişimi verdim ve bugün Secrets and Lies elime ulaştı. İlerleyen günlerde kitap hakkında kendi görüşlerimi gene yazmaya çalışacağım ama şunu biliyorumki bu gayet popüler bir kitap ve yazarı Bruce Schneier' ı zaten herkes tanıyor. Dolayısıyla keyifli bir okuma deneyimi beklemekteyim....

Günlük Okunma : 4 | 31.10.2007

SQL Injection ile ileri derecede haşır neşir olan ben son zamanlarda daha önceden farketmediğim bir şey farkettim. BSQL Hacker ile testler yaparken WAITFOR Delay ile yaptığım atakların yüksek paralel bağlantılarda hatalı sonuçlar verdiğini gördüm. Bu sorun ile uğraşırken Database bağlantı katman limitlerinden birini daha görmüş oldum. WAITFOR DELAY veya benzeri ataklarda 60 saniyenin üzerine giden saldırılar genelde hata verecektir çünkü varsayılan olarak bir çok web dilinde script' in zaman aşımı süresi maksimum 90 saniyedir, e......

Günlük Okunma : 5 | 19.10.2007

Özellikle kaynak kod analizleri yaparken sık sık rastladığım hatalardan biri bu. Güvenlik veya herhangi bir nedenden dolayı uygulamada IP adreslerini loglamak istiyorsunuz ancak potansiyel proxy adreslerini de loglayabilmek için HTTP_X_FORWARDED_FOR HTTP Header' ını da (veya benzer başka HTTP headerları) kullanıyorsunuz. Bu güzel bir fikir çünkü bazı proxyler ziyaretçinin gerçek IP adresini bu HTTP Header(ları) içerisinde gönderiyorlar ama bu işlem yapılırken uygulanan çok yanlış bir model var. Sık şekilde şu kod ile karşılışıyoru......

Günlük Okunma : 7 | 18.10.2007

Konu penetration testing, sistem hackleme ve genel hacker motivasyonu olunca benim için belli başlı hack / hacker modelleri var; Vulnerabiliry Assesment - Çok az Zevk, RisksizBu model en zevk açısından en düşük olanı. Açık orada ama exploit edemiyorsunuz! Hatta açığın orada olduğundan bile emin olamayabiliyorsunuz. Buna rağmen en legal olarak en temiz ve dertsizi. White Hat - Orta zevk - Çok az riskBir firma için resmi olarak tüm izinlere sahip şekilde test yapmak. Hala riskiniz var çünkü sistemi genelde çökertmemelisiniz. Bunun yanında genelde karşıdaki sistemleri exploit......

Günlük Okunma : 6 | 11.10.2007

Kurgu ve güvenliğin birleştiği iyi kitapları seven biriyim. Aşağıda bu konuda zevkle okumuş olduğum üç kitap var. Software Piracy Exposed Stealing the Network: How to Own a Continent Stealing the Network: How to Own the Box Dolayısıyla Kevin Mitnick' in Art of Deception ını beğenerek okuduğum gibi yeni kitabı olan Art of Intrusion' u da beğenerek okumaya başladım. Belki hatırlarsınız Kevin Mitnick 3 sene kadar önce insanlardan hack hikayelerini göndermelerini istemişti. Full-Disclosure' da da bunun üzerine her zamanki geyikler dönmüştü. İşte o isteklerden sonra bu kişiler ile yaptıklar......

Günlük Okunma : 3 | 11.10.2007

Bu kitabı henüz bitirdim ve eğer benden tek bir cümle ile kitap hakkındaki yorumu isterseniz buyrun; Uzak durun! Durumu özetledikten sonra detaylara geleyim. Bir kaç gün önce üç yeni güvenlik kitabı sipariş ettiğimi söylemiştim. Bu da onlardan biriydi. Bu web uygulaması güvenliği ile ilgili olan piyasada okmadığım bir - iki kitaptan biri, içeriği de bana fena gelmemişti. Kitap genel web güvenliği sorunlarına çoook kısa bir şekilde ve çoook temel bir şekilde değiniyor. Resimler çıktıktan sonra sadece 130 sayfa kadar bir içeriğe sahip. Eğer web uygulaması güvenliği konusuna bir seneden uzun bi......

Günlük Okunma : 3 | 04.10.2007

Elimdeki üç kitabı aynı anda bitirince okuyacak kitabım kalmadı. Bende biraz alış-verişe çıktım. Web güvenliği ile ilgili piyasada 4 kadar yeni kitap var bunlardan How to Break Web Software' ı sipariş verdim. Pek yeni bir şey olduğunu sanmıyorum ama iki tane yeni numara öğrenirsek daha ne isteyelim? Bundan sonra hazır birşeyler sipariş ediyorken listeye bir kaç kitap daha ekleyeyim istedim. Kevin Mitnick' in Art of Deception' ını e-book olarak okumuştum ama Mitnick' in yeni kitabı olan The art of Intrusion' u alırken onu da aldım. Henüz kitaplar hakkın......

Günlük Okunma : 3 | 22.09.2007

ARFIS sourceforge' tan PHP scriptleri indiriyor, içerlerinde otomarik olarak RFI (remote file inclusion) açıklarını tespit ediyor ve ilgili açık olan kısmı ARFIS bloguna otomatik olarak gönderiyor. Eğlenceli bir deneme olmuş, Sourceforge' u bitirmişler şimdi hotscripts' e başlayacaklarmış......

Günlük Okunma : 3 | 17.08.2007

Bir süredir normal ofisimin dışında çalışıyorum, dolayısıyla işe gidip gelmem de normale göre daha uzun sürüyor. Her zaman söylerim toplu taşımanın yegane güzelliği bu, kitap okuma şansınız var. Ben de sadece bir yerden bir yere giderken kitap okuyabilerlerdenim, tabii ki kitap standatların çok üzerinde değilse (bkz : The Code Complete, Grange, Palahniuk kitapları). Dolayısıyla bu güzel bir bahane oldu ve ben de iki tane sürüklenen kitabımı bitirmiş oldum.  Bunlardan biri Cyber Adversary Characterization - Auditing The Hacker Mind. Kitap temel olarak bilişim suçlularının psikolojisi ve m......

Günlük Okunma : 4 | 07.07.2007

http://www.scanit.be/uploads/php-file-upload.pdf adresinde PHP File Upload Security isimli bir makale var. Ben bir hafta kadar okudum. Yeni hiç bir şey yok, ilginç şekilde eskilerin de hepsi yok ama genel olarak bu konuda bir makale bakıyorsanız işinize yarabilir. Özellikle Null (%00) byte ataklarına değinmemesi çok ilginç. ...

Günlük Okunma : 6 | 18.05.2007

Bildiğiniz gibi Windows XP / Windows 2003 SP 2 den beri Windows SYN Scan tekniğinin temeli olan yarı açık TCP/IP bağlantı limitlerini kısıtladı. Bu tamamen salak bir limit ve bildiğim kadarıyla ana amaçlarından bir worm' lerin dağılımını yavaşlatmak! Sonuç olarak bu sorundan Windows Vista' da kurtulmak için Vista TCP/IP and UAC AutoPatch 6.0 ini uygulayabilirsiniz. Tehlikelidir ve yedeklerinizi hatta restore point yapmanızı önerebilirim. Ek olarak aynı zamanda Raw TCP access limiti de gelmişti bir de ona adam gibi patch bulsak süper olacak. Bir işletim sistemini bu şekilde bir saçmalık yapmas......

Günlük Okunma : 3 | 12.05.2007

Rain Forest Puppy' yi güvenlik sektörünü takip edenler veya eskiden takip etmiş olanlar bilirler, Özellikle "How I hacked Packetstorm" u okumuş olanlar. ush.it - a beautiful place RFP ile röportaj yapmış. RFP şu aralar piyasada görünmese de (röportajdan öğrendim ki kendisi gene sektörde aktif olarak çalışıyormuş) röportaj gayet güzel. ...

Günlük Okunma : 4 | 10.04.2007

Shmoocon 2007 Videoları online olmuşlar.  ...

Günlük Okunma : 3 | 05.04.2007

WeBekçi - OWASP Proje Sayfası nda göreceğiniz üzere ModSecurity 2.x için yazılmış bir yönetim aracı. Eğer modesecurity kullanıyorsanız şiddetle denemenizi ve feedback vermenizi öneriyorum. Bu arada bu proje OWASP Türkiye altındaki ilk proje olma özelliği de taşıyor!...

Günlük Okunma : 5 | 04.04.2007

Bu sene yedincisi düzenlenen Sacis Expo Bilgi Güvenliği ve Denetimi Konferansında Cross-site Scripting Tünelleri hakkında konuşacağım. Sunum XSS atakları ile ilgili bir süredir uğraştığım yeni bir konsepte değinecek. Program ve konsept te ilk defa olarak bu Sacis konferabsında yayınlanacak. Konferansın tarihi 26-27 Nisan, yani 3 hafta var. Maalesef tarih benim için biraz zor oldu. Bildiğiniz gibi Infosec 24-26 nisan tarihleri arasında. Ondan hemen sonra da 27-30 Nisan arası yıllık özel bir toplantıda bulunmam gerekiyor. Bu yüzden 25' inde Türkiye ye gelip, 26......

Günlük Okunma : 28 | 04.04.2007

WEP in öldüğünü zaten wireless ağları kırma makalesinde detayları ile ilan etmiştik ama bu çok daha ciddi. Aircrack-ptw sadece 60.000 paket ile %95 şans işle WEP şifrelerini kırıyor. En büyük sorun ise sadece 104bit WEP şifrelerini desteklemesi ki artık iyice zor bulunur oldular. Makalenin henüz detaylarını inceleyemedim (ahh kripto, bana fazla geliyor!) ama ilginç olan bir diğer noktada atağın aktif olduğu ve ARP istekleri de kullanması, dolayısıyla tespit edilebilirsiniz. Tabii genel olarak bakınca burada şöyle bir çelişki var. Eğer 128 WEP kullanıyorsanız muhtemelen bir IDS kullanmıyorsunu......

Günlük Okunma : 3 | 01.04.2007

Sosyal aksiyonaların popülerlerinden Digg, del.ici.ous ve Technorati deki XSS ve CSRF açıklarını exploit ederek kendini giren kişinin arkadaşlarına ve favori hikayelerine ekleyen bir sayfa. Bu digg' in ve bir çoğunun başına daha önceden de geldi, ama sanırım bu olay bir kişinin bu sitelerde isteyince rahat şekilde açık bulabileceğine işaret ediyor. Bu arada MySpace teki XSS açıklarının sayısını tutan oldu mu?...

Günlük Okunma : 3 | 31.03.2007

Muhtemelen gene bir kaç adware firmasına satılmış bir 0day. Dikkat ediniz. Her zaman dediğimiz gibi IE ile interneti dolaşmak E5' te çıplak olarak paten yapmak gibi bir şey......

Günlük Okunma : 6 | 22.03.2007

Dün sid ile birlikte wordpress' te sid' in bulduğu bir SQL Injection' ı exploit ederken MySQL de de bir DoS açığı bulduk. Basitçe çalıştırılan bir SQL komutu MySQL' ün uçmasına neden oluyor. Wordpress ve MySQL açıkları yakında yayınlanacak, üreticilerle kontak ve patch sürecini bekliyoruz. Komik olan şu ki MySQL' e bir açığı bildirmek için abuk subuk bir şeylere üye olup onların keyfine göre açığı o form üzerinden bildirmemiz gerekiyor. Buradaki açık ciddi bir sorun değil MySQL bu açığı kapamasa bile çok ciddi bir sorun olmaz belki, dolayısıyla umursamıyorlar diyebiliriz ama genel olarak baktı......

Günlük Okunma : 4 | 20.03.2007

Bu advisory' de de görülecegi üzere gözü kapalı seri replace size yardım etmeyecek zarar verecektir. İkincisi ise kullandığınız sub-sistemi (buradaki örnekte MySQL) tanımak ve bilmek, güvenli sub-sistem erişimi için kritik noktadır....