Siber Saldırılar ve Ağ Analizi Aracı: hping3

Siber güvenlik dünyasında ağ trafiğini analiz etmek, güvenlik testleri yapmak ve sistemlerin dayanıklılığını ölçmek büyük önem taşır. Bu amaçla kullanılan araçlardan biri de hping3 yazılımıdır.

hping3; TCP/IP paketleri oluşturabilen, düzenleyebilen ve gönderebilen güçlü bir komut satırı aracıdır. Ağ yöneticileri, siber güvenlik uzmanları ve etik hackerlar tarafından;

• Ağ testi yapmak,

• Güvenlik duvarlarını analiz etmek,

• Port taraması gerçekleştirmek,

• Paket manipülasyonu yapmak,

• DoS test ortamları oluşturmak,

• IDS/IPS sistemlerini incelemek

amacıyla kullanılır.

Linux sistemlerde oldukça yaygın kullanılan bu araç, özellikle penetrasyon testlerinde önemli bir yere sahiptir.

---

hping3 Nedir?

hping3, klasik ping komutunun gelişmiş bir versiyonu olarak düşünülebilir. Ancak normal ping aracından çok daha güçlüdür.

Standart ping yalnızca ICMP paketleri gönderirken, hping3 şunları destekler:

• TCP paketleri

• UDP paketleri

• ICMP paketleri

• RAW-IP paketleri

Bu sayede kullanıcı, ağ paketlerini detaylı şekilde kontrol edebilir.

---

hping3 Ne İşe Yarar?

Başlıca kullanım alanları:

Kullanım Alanı	Açıklama
Port Tarama	Açık portların tespiti
Güvenlik Testi	Firewall davranışını analiz etme
Paket Manipülasyonu	Özel TCP/IP paketleri oluşturma
Ağ Performansı	Gecikme ve yanıt analizi
IDS/IPS Testleri	Saldırı tespit sistemlerini inceleme
DoS Simülasyonu	Test ortamlarında yoğun trafik üretme

---

Linux’ta hping3 Kurulumu

Pardus / Debian / Ubuntu

sudo apt update
sudo apt install hping3

Arch Linux

sudo pacman -S hping

Fedora

sudo dnf install hping3

---

Temel Kullanım Yapısı

hping3 [seçenekler] hedef

Örnek:

hping3 192.168.1.10

---

ICMP Ping Testi

Normal ping benzeri kullanım:

sudo hping3 --icmp 192.168.1.10

Gönderilen ICMP paketleri sayesinde hedef sistemin cevap verip vermediği analiz edilir.

---

TCP SYN Paket Gönderme

TCP SYN paketleri ağ analizinde oldukça önemlidir.

sudo hping3 -S 192.168.1.10 -p 80

Parametreler:

Parametre	Açıklama
-S	SYN flag kullan
-p 80	80 portunu hedef al

Bu işlem sayesinde hedef sistemde ilgili portun açık olup olmadığı analiz edilebilir.

---

UDP Paket Gönderme

sudo hping3 --udp -p 53 192.168.1.10

DNS servislerinin test edilmesinde sık kullanılır.

---

Port Tarama İşlemleri

Belirli portları test etmek için:

sudo hping3 -S 192.168.1.10 -p ++20

Bu komut art arda port taraması gerçekleştirir.

---

Flood Modu (Yoğun Trafik Üretimi)

⚠️ Dikkat: Bu özellik yalnızca laboratuvar ve izinli test ortamlarında kullanılmalıdır.

sudo hping3 --flood -S 192.168.1.10 -p 80

Bu komut çok hızlı SYN paketi gönderir.

Siber Güvenlikte Kullanımı

• Sunucu dayanıklılık testleri

• IDS/IPS davranış analizi

• Ağ yük testleri

Gerçek sistemlerde izinsiz kullanım yasa dışıdır.

---

Sahte IP (Spoofing) Testleri

sudo hping3 -a 1.2.3.4 -S 192.168.1.10 -p 80

Parametre	Açıklama
-a	Sahte kaynak IP adresi

Bu teknik bazı saldırı türlerinin anlaşılması için eğitim ortamlarında incelenir.

---

TTL Analizi

TTL değeri işletim sistemi tespiti için ipucu verebilir.

sudo hping3 --icmp 192.168.1.10

Örnek TTL değerleri:

TTL	Olası Sistem
64	Linux
128	Windows
255	Ağ cihazları

---

TCP Flag Analizi

TCP paketlerinde farklı flag kombinasyonları kullanılabilir.

Flag	Açıklama
SYN	Bağlantı başlat
ACK	Onay
FIN	Bağlantıyı kapat
RST	Bağlantıyı sıfırla
PSH	Veriyi ilet

Örnek:

sudo hping3 -F -P -U 192.168.1.10

---

Traceroute Benzeri Kullanım

sudo hping3 --traceroute -S 8.8.8.8 -p 80

Ağ üzerindeki yönlendirme adımları analiz edilir.

---

Rastgele Paket Boyutu Gönderme

sudo hping3 -d 120 -S 192.168.1.10 -p 80

Parametre	Açıklama
-d	Veri boyutu

Bu yöntem MTU testlerinde kullanılabilir.

---

IDS/IPS Sistem Testleri

hping3 ile:

• Snort

• Suricata

• Zeek

gibi sistemlerin paketlere nasıl tepki verdiği gözlemlenebilir.

Örneğin:

sudo hping3 -S --flood -V 192.168.1.10

Bu trafik güvenlik sistemleri tarafından tespit edilmeye çalışılır.

---

Gerçek Dünya Kullanım Senaryoları

1. Güvenlik Duvarı Analizi

Bir firewall’un hangi portları engellediği analiz edilir.

2. Ağ Gecikme Ölçümü

Paketlerin dönüş süreleri incelenir.

3. Eğitim Laboratuvarları

Öğrencilere TCP/IP mantığını öğretmek için kullanılır.

4. Penetrasyon Testleri

Yetkili güvenlik testlerinde ağ davranışları analiz edilir.

---

Wireshark ile Birlikte Kullanımı

Wireshark ile birlikte kullanıldığında:

• Gönderilen paketler canlı izlenebilir,

• TCP flag yapıları analiz edilebilir,

• Paket boyutları incelenebilir,

• Ağ davranışları detaylandırılabilir.

Örnek senaryo:

1. hping3 ile SYN paketi gönderilir.

2. Wireshark ile paket yakalanır.

3. TCP handshake analizi yapılır.

---

Avantajları

Avantaj	Açıklama
Esnek Paket Oluşturma	Özelleştirilmiş TCP/IP paketleri
Güçlü Ağ Analizi	Ağ davranışını inceleme
Penetrasyon Testi	Güvenlik değerlendirmesi
Firewall Testi	Filtreleme davranışlarını analiz
Açık Kaynak	Ücretsiz kullanım

---

Dezavantajları

Dezavantaj	Açıklama
Yanlış Kullanım Riski	Saldırı amaçlı kullanılabilir
Root Yetkisi Gerektirir	Birçok özellik için sudo gerekir
Ağ Yükü Oluşturabilir	Yanlış kullanım ağ sorunlarına yol açabilir

---

Siber Güvenlikteki Önemi

hping3, ağ seviyesinde saldırıların nasıl çalıştığını anlamada oldukça değerlidir.

Özellikle:

• TCP/IP öğrenimi

• Paket analizi

• Ağ savunması

• Güvenlik testi

• IDS/IPS geliştirme

alanlarında önemli katkı sağlar.

---

Etik ve Yasal Uyarı

Bu araç yalnızca:

• Eğitim,

• Laboratuvar çalışmaları,

• Yetkili penetrasyon testleri,

• Savunma amaçlı analizler

için kullanılmalıdır.

İzinsiz sistemlere yönelik saldırılar birçok ülkede suçtur.

---

Sonuç

hping3, Linux ortamlarında çalışan güçlü bir ağ paket analiz ve üretim aracıdır. Ağ güvenliği alanında çalışan kişiler için TCP/IP yapısını öğrenmede büyük fayda sağlar.

Özellikle:

• Ağ paket analizi,

• Güvenlik testleri,

• Firewall incelemeleri,

• IDS/IPS laboratuvarları,

• Eğitim senaryoları

için vazgeçilmez araçlardan biridir.

---

Ağ güvenliği, sistem yöneticilerinin ve siber güvenlik uzmanlarının yalnızca savunma araçlarını değil, saldırı vektörlerini de derinlemesine anlamasını gerektirir. Standart ağ sorun giderme araçlarının yetersiz kaldığı noktalarda devreye giren hping3, özel ağ paketleri oluşturma (packet crafting) yeteneğiyle öne çıkar.

Özellikle Kırmızı Takım (Red Team) ve Mavi Takım (Blue Team) senaryolarının uygulandığı izole sanal laboratuvar ortamlarında (örneğin Proxmox üzerinde sanallaştırılmış sistemlerde) ağın sınırlarını test etmek ve log analiz becerilerini geliştirmek için en temel araçlardan biridir.

---

hping3 Nedir ve Neden Kullanılır?

Geleneksel ping komutu, yalnızca ICMP (Internet Control Message Protocol) yankı istekleri göndererek hedefin ayakta olup olmadığını kontrol eder. Ancak günümüzdeki modern güvenlik duvarları (Firewall) genellikle ICMP paketlerini engeller.

hping3, TCP, UDP, ICMP ve RAW-IP protokollerini kullanarak özel paketler inşa etmenizi sağlayan komut satırı tabanlı bir araçtır. Pardus gibi Linux dağıtımlarının depolarında standart olarak bulunur ve ağın güvenlik duruşunu test etmek için benzersiz avantajlar sunar.

Temel Kullanım Alanları:

• Gelişmiş Port Tarama (Port Scanning): Nmap'in tespit edilebildiği durumlarda daha spesifik, parçalanmış (fragmented) paketlerle gizli taramalar yapmak.

• Güvenlik Duvarı Kurallarını Test Etme: Hangi protokollerin ve bayrakların (flags) güvenlik duvarından geçebildiğini belirlemek.

• DoS (Denial of Service) Simülasyonları: Sistemlerin yüksek trafik altındaki davranışlarını ve dayanıklılığını ölçmek.

• Ağ Keşfi ve Traceroute: Sadece ICMP değil, TCP/UDP üzerinden de paketlerin izlediği yolu bulmak.

---

Kırmızı Takım (Red Team): Saldırı Simülasyonları ve Komutlar

Siber güvenlik tatbikatlarının "Büyük Final" aşamalarında, Kırmızı Takım'ın hedef sistemdeki zafiyetleri ve yapılandırma hatalarını tespit etmesi beklenir. hping3 bu aşamada kritik bir rol oynar.

(Not: Aşağıdaki komutların tamamı yalnızca yetkili olduğunuz veya eğitim amacıyla kurduğunuz izole laboratuvar ortamlarında çalıştırılmalıdır.)

1. TCP SYN Tarama (Yarım Açık Tarama)

Hedefin bağlantı noktasının açık olup olmadığını TCP üçlü el sıkışmasını (Three-way handshake) tamamlamadan kontrol eder. Hedef sistemin loglarında daha az iz bırakır.

Bash:

sudo hping3 -S -p 80 -c 5 192.168.1.50

• -S: SYN bayrağını (flag) ayarlar.

• -p 80: Hedef portu (HTTP) belirtir.

• -c 5: Sadece 5 adet paket gönderileceğini belirtir.

2. ACK Tarama ile Güvenlik Duvarı Keşfi

ACK paketleri göndererek hedef ağdaki güvenlik duvarının "durum denetimli" (stateful) olup olmadığını analiz etmek için kullanılır.

Bash:

sudo hping3 -A -p 443 -c 3 192.168.1.50

3. SYN Flood (Hizmet Aksatma Simülasyonu)

Mavi Takım'ın log analizi ve olay müdahale (incident response) becerilerini test etmek için en etkili yöntemlerden biridir. Hedef sunucuya sahte IP adreslerinden (spoofing) binlerce SYN paketi göndererek kaynaklarını tüketmeyi amaçlar.

Bash:

sudo hping3 -S -p 80 --flood --rand-source 192.168.1.50

• --flood: Paketleri mümkün olan en yüksek hızda gönderir ve gelen cevapları beklemez.

• --rand-source: Gönderilen her paketin kaynak IP adresini rastgele değiştirerek engellemeyi zorlaştırır ve IP Spoofing yapar.

---

Mavi Takım (Blue Team): Tespit ve Log Analizi

Eğitim müfredatının en değerli kısmı, yapılan bir simülasyonun ardından savunma hattının nasıl tepki verdiğini incelemektir. Mavi Takım öğrencilerinin, sistem loglarını ve ağ trafiğini analiz ederek olay müdahale raporları hazırlaması hedeflenir.

hping3 Saldırılarını Tespit Etme Yöntemleri:

1. Ağ Trafiği İzleme (Wireshark/tcpdump):

   SYN Flood simülasyonu sırasında, ağda çok sayıda SYN paketi görülecek ancak hiçbir ACK (onay) paketi geri dönmeyecektir. Ayrıca paketlerin kaynak IP adreslerinin tamamen rastgele ve anlamsız alt ağlardan gelmesi, --rand-source parametresinin kullanıldığının en net kanıtıdır.

2. Sistem Loglarının İncelenmesi:

   Linux sistemlerinde /var/log/syslog veya /var/log/kern.log dosyalarında, TCP bağlantı tablolarının dolduğuna dair uyarılar aranmalıdır (Örn: TCP: request_sock_TCP: Possible SYN flooding on port 80).

3. Güvenlik Duvarı (Iptables/UFW) Logları:

   Öğrenciler, belirli bir eşik değerini aşan SYN paketlerini tespit etmek ve düşürmek (DROP) için aşağıdaki gibi kuralların log kayıtlarını analiz edebilir:

   Bash:

   iptables -A INPUT -p tcp ! --syn -m state --state NEW -j DROP
   

---

Aşağıdaki komut, hping3 aracının en yoğun ve riskli kullanım örneklerinden biridir. Temel olarak çok büyük miktarda sahte kaynak IP’li TCP SYN paketi üretmeye çalışır.

⚠️ Bu tür komutlar yalnızca:

• İzole laboratuvar ortamlarında,

• Eğitim amaçlı ağ simülasyonlarında,

• Yetkili stres testlerinde

kullanılmalıdır.

Gerçek sistemlerde izinsiz kullanım yasa dışıdır.

---

Komutun Tam Hali

hping3 -V -c 10000000 -d 120 -S -w 64 -p 445 -s 445 --flood --rand-source 192.168.1.10

---

Genel Amaç

Bu komut:

• Hedef IP’ye,

• Çok hızlı şekilde,

• TCP SYN paketleri gönderir,

• Paketlerin kaynak IP adreslerini rastgele değiştirir,

• Flood (yoğun trafik) üretir.

Bu davranış, teorik olarak bir SYN Flood saldırısının mantığını simüle eder.

---

Parametrelerin Ayrıntılı Açıklaması

---

-V

Verbose (ayrıntılı çıktı) modudur.

Gönderilen paketler hakkında daha fazla bilgi verir.

Örnek çıktı:

len=46 ip=192.168.1.10 ttl=64 DF id=0 sport=445 flags=SA seq=0 win=64 rtt=0.5 ms

Burada:

Alan	Açıklama
len	Paket uzunluğu
ttl	Time To Live
sport	Kaynak port
flags	TCP flag
win	TCP pencere boyutu

---

-c 10000000

Gönderilecek paket sayısını belirtir.

Bu örnekte:

10 milyon paket

gönderilmeye çalışılır.

Ancak:

--flood

kullanıldığı için pratikte bu sınır çok hızlı şekilde tüketilebilir.

---

-d 120

Paket veri boyutunu belirtir.

120 byte payload

oluşturur.

Bu:

• Ağ yükünü artırır,

• Bant genişliği kullanımını yükseltir,

• IDS/IPS sistemlerinin davranışını test etmeye yardımcı olabilir.

---

-S

TCP SYN flag’ini aktif eder.

TCP bağlantılarının başlangıcında kullanılan pakettir.

TCP 3-way handshake süreci:

SYN → SYN-ACK → ACK

Bu komutta yalnızca SYN gönderilir.

Bu yüzden buna:

SYN Flood davranışı

denir.

---

TCP SYN Mantığı

İstemci:

"Sana bağlanmak istiyorum"

mesajı gönderir.

Sunucu:

"Tamam, cevap veriyorum"

der ve bağlantıyı beklemeye alır.

Çok fazla SYN gönderilirse:

• Sunucu yarım açık bağlantılarla dolabilir,

• Kaynak tüketimi oluşabilir,

• Hizmet yavaşlayabilir.

---

-w 64

TCP Window Size değerini belirler.

Burada:

64 byte pencere boyutu

kullanılır.

TCP pencere boyutu:

• Aynı anda ne kadar veri alınabileceğini belirtir.

• Ağ performansı davranışını etkiler.

---

-p 445

Hedef port.

Port 445 genellikle:

Servis	Açıklama
SMB	Windows dosya paylaşımı
Microsoft-DS	Ağ dosya erişimi

için kullanılır.

Siber güvenlikte önemlidir çünkü:

• Fidye yazılımları,

• SMB açıkları,

• Ağ solucanları

tarihsel olarak bu portu hedef almıştır.

Örneğin:

WannaCry ransomware attack saldırısında SMB açıkları kullanılmıştır.

---

-s 445

Kaynak portunu belirler.

Burada:

Kaynak port = 445

olarak ayarlanmıştır.

Bu:

• Trafiğin SMB servisi gibi görünmesine,

• Bazı güvenlik cihazlarını kandırma testlerine,

• Trafik analiz laboratuvarlarına

yardımcı olabilir.

---

--flood

En kritik parametrelerden biridir.

Bu modda:

• Paketler mümkün olan en hızlı şekilde gönderilir.

• Bekleme süresi kaldırılır.

• CPU ve ağ kartı maksimum hızda çalışır.

Pratikte:

"Sürekli paket yağmuru"

oluşturur.

Bu yüzden:

• Ağ tıkanıklığı,

• Switch yükü,

• Firewall stres testi,

• IDS alarm analizi

için laboratuvar ortamlarında incelenir.

---

--rand-source

Kaynak IP adreslerini rastgele üretir.

Örnek:

5.1.1.2
88.21.7.5
201.33.1.9

gibi sürekli değişen sahte IP’ler oluşur.

Bu davranış:

• Gerçek saldırılarda iz gizlemek,

• SYN-ACK cevaplarını boşa düşürmek,

• Log analizini zorlaştırmak

amacıyla kötüye kullanılabilir.

Savunma açısından ise:

• Anti-spoofing sistemleri,

• IDS/IPS kuralları,

• Firewall davranışları

test edilir.

---

192.168.1.10

Hedef IP adresidir.

Bu örnek:

Yerel ağdaki bir cihaz

gibi görünmektedir.

Özel IP bloğudur:

192.168.0.0/16

Bu yüzden genellikle:

• Laboratuvar ağı,

• Sanal makine,

• Test sistemi

olabilir.

---

Komutun Teknik Özeti

Bu komut:

Özellik	Değer
Paket Türü	TCP SYN
Paket Boyutu	120 byte
Hedef Port	445
Kaynak Port	445
Paket Sayısı	10 milyon
Kaynak IP	Rastgele
Gönderim Hızı	Maksimum

---

Ağ Üzerindeki Etkileri

Bu tarz trafik:

• Ağ cihazlarını yorabilir,

• Switch CPU kullanımını artırabilir,

• Firewall loglarını doldurabilir,

• IDS sistemlerinde alarm oluşturabilir,

• Hedef sistemde yarım açık bağlantı oluşturabilir.

---

Güvenlik Sistemlerinin Tepkisi

Modern sistemler genellikle şunları uygular:

Koruma	Açıklama
SYN Cookies	Yarım açık bağlantı koruması
Rate Limiting	Trafik sınırlandırma
Anti-Spoofing	Sahte IP engelleme
IDS/IPS	Anormal trafik tespiti
Firewall Filtering	Flood filtreleme

---

Eğitim Amaçlı Kullanım Senaryoları

1. IDS Testi

Snort veya Suricata alarm üretimini incelemek.

---

2. Firewall Dayanıklılığı

Firewall’un flood trafiğine verdiği tepkiyi ölçmek.

---

3. TCP/IP Öğrenimi

SYN paket mantığını anlamak.

---

4. Wireshark Analizi

Wireshark ile:

• SYN paketleri,

• Rastgele kaynak IP’ler,

• TCP header alanları

incelenebilir.

---

Dikkat Edilmesi Gerekenler

Bu komut:

• Ağ performansını ciddi şekilde etkileyebilir,

• Gerçek cihazlarda hizmet kesintisine neden olabilir,

• İzinsiz kullanıldığında suç teşkil edebilir.

Bu nedenle yalnızca:

• İzole laboratuvarlarda,

• Sanal makinelerde,

• Eğitim ağlarında

kullanılmalıdır.