2014 Haziran ARŞİVİ

BGA Blog yazıları

BGA BANK – Güven(siz) Internet Bankacılığı Uygulaması
2014

BGA BANK – Güven(siz) Internet Bankacılığı Uygulaması

“BGA BANK (Vulnerable Online Bank Application)” uygulaması PHP tabanlı çeşitli zafiyetler içeren sızma testi eğitim platformudur. Türkiye'deki bankacılık altyapısı incelenerek bu altyapılarda çıkabilecek tüm teknik ve mantıksal hatalar uygulamanın içine eklenmiş ve web uygulama güvenliği konusunda çalışanlar için gerçekci bir sızma testi platformu oluşturulmuştur. Webgoat, DVWA vs gibi benzeri amaçla yazılmış programlardan en temel farkı açıklıkların doğrudan kullanıcıya nerede olduğu ve nasıl istismar edileceği ile ilgili ipucu vermemesidir.  BGA BANK altyapısı 3…
Devamı
WebLogic Sisteminizi Daha Güvenli Hale Getirmek
2014

WebLogic Sisteminizi Daha Güvenli Hale Getirmek

Üç katmanlı web mimarisinde internete açık ve/veya lokal ağda çalışan kritik uygulamaların güvenliğini sağlarken, her katmanda ayrı ayrı güvenlik önlemleri alınır. Bu önlemlerin büyük bölümü firewall katmanına bırakılır ve firewall’dan sonrası büyük çoğunlukça önemsenmez.  Oysa saldırıların ve güvenlik zaafların büyük çoğunluğu eski çalışanlar, sistemi detaylı bilenler veya ağ içerisindeki kullanıcılar tarafından yapılır. O bakımdan kiritik uygulamaların güvenlik önlemleri uygulama sunucuları seviyesinde de dikkate alınmalıdır. Oracle WebLogic uygulama sunucusu kurumsal java dünyasında yaygın…
Devamı
ASN Kayıtlarından ISP IP Bloklarını Öğrenme
2014

ASN Kayıtlarından ISP IP Bloklarını Öğrenme

ASN (Autonomous System Number) bilgisi kullanılarak bir IP’nin bulunduğu ISP ve ISP’lerin IP blokları tespit edilebilir. Terminalden whois -h asn.shadowserver.org 'origin ipadresi’    komutu ile bir IP’nin bulunduğu ISP’nin detayları listelenir. Komutun çıktısında en baştaki numara ASN’dir. Devamında whois -h asn.shadowserver.org 'prefix ASN’    komutu ile ISP’nin IP blokları listelenir.

 Aynı yöntemi kullanarak IP bloklarını veya IP adreslerini liste olarak elde etmek için Gökhan Alkan'ın yazdığı get_ip_via_asn.sh betiği (https://github.com/galkan/tools/blob/master/others/programming/bash/get_ip_via_asn.sh) kullanılabilir. Betiğin kullanımı: CIDR formatında…
Devamı
DNS İsteklerini Analiz Ederek Zararlı Yazılım Tespiti
2014

DNS İsteklerini Analiz Ederek Zararlı Yazılım Tespiti

Zararlı yazılımlar komuta merkezleriyle haberleşmede alanadlarını sıklıkla kullanırlar. Alanladlarının kullanımı, internetin kalınına olduğu gibi zararlı yazılımlara da doğrudan IP adreslerinin kullanımıyla elde edemeyecekleri bir esneklik kazandırır. Bu esneklikten yararlanıp komuta merkezlerinin kapatılmasıyla zararlı yazılım ağının etkisizleştirilmesini zorlaştıracak yöntemler uygulayabilirler. 1. Alanadındaki Anormalliklerin İncelenmesi: Alanadı gözden kaçması amacıyla bilindik bir alanadına çok benzer şekilde seçilmiş olabilir. Örneğin: rnicrosoft.com, 1inkedin.com gibi adreslere şüpheyle yaklaşılması gerekir. Algoritmik olarak üretilmiş (bkz: DGA) f3122.com, a112331b.com gibi rasgele…
Devamı
Kali Linux İşletim Sisteminde Root Şifresinin Sıfırlanması
2014

Kali Linux İşletim Sisteminde Root Şifresinin Sıfırlanması

Kali Linux İşletim Sisteminin Root şifresinin Sıfırlanması Linux işletim sistemlerinde root şifresi unutulduğu zaman, işletim sistemi “single mod” da açılıp şifre yeniden yapılandırılabilir. Farklı Linux işletim sistemleri için single mod a erişim elde edebilmek için farklı adımlar izlemek gerekebilir. Bu makalede Kali Linux işletim sistemi için root şifresinin nasıl sıfırlanacağı anlatılacaktır. İzlenilecek adımlar; Kali Linux işletim sistemi başlatılır   Boot seçenekleri penceresi, ekrana geldiğinde klavyenin yön tuşları ile 2. satırda bulunan recovery…
Devamı
Kablosuz Ağ Testlerinde Üzerinde Çalışılan Kanalın -1 de Takılı Kalması
2014

Kablosuz Ağ Testlerinde Üzerinde Çalışılan Kanalın -1 de Takılı Kalması

Kali Linux işletim sisteminde kurulu olarak gelen, açık kaynak kodlu araçlar sayesinde Kablosuz Ağ testleri çok hızlı ve kararlı bir şekilde yapabilir. Fakat Kablosuz ağ testlerini yapmak için alınacak olan kablosuz adaptörün içerisinde bulunan chipsetlerinin işletim sistemi ile uyumuna dikkat edilmesi gerekiyor. Chipseti ile İşletim sistemi uyumsuzluğu var ise test esnasında çeşitli hatalar alınabilir. Bu hatalardan birisi “fixed channel monX: -1”(X bir tamsayı), hatasıdır. Bahsedilen hata, belirli bir kanal üzerinde çalışma yapılmak…
Devamı
Bilgi Güvenliği AKADEMİSİ Haziran-Aralık 2014 Eğitim Takvimi
2014

Bilgi Güvenliği AKADEMİSİ Haziran-Aralık 2014 Eğitim Takvimi

Yılın ikinci yarısı açmayı planladığımız eğitimlerin listesi ve takvimi belli oldu. Güncel eğitim takvimine http://www.bga.com.tr/egitim-takvimi.html adresinden erişim sağlanabilir. HAZİRAN TarihEğitim AdıBilgiDurumSüresiLokasyon/İl 2-6 Haziran 2014CISSP Sertifikasyon EğitimiTıklayınızDOLU5 GünİstanbulBaşvur  2-6 Haziran 2014Sertifikalı/Lisanslı Pentest Uzmanı EğitimiTıklayınız5 GünAnkaraBaşvur  3-5 Haziran 2014Web Uygulama Güvenlik Testleri EğitimiTıklayınızDOLU3 GünAnkaraBaşvur  9-11 Haziran 2014Kurumsal Ağlarda Malware Analizi EğitimiTıklayınız3 GünAnkaraBaşvur  9-13 Haziran 2014Beyaz Şapkalı Hacker EğitimiTıklayınız5 GünİstanbulBaşvur  16-20 Haziran 2014CISSP Sertifikası EğitimiTıklayınız5 GünAnkaraBaşvur  17-19 Haziran 2014BDDK Kapsamlı Sızma Testi Eğitimi (Banka özel)TıklayınızDOLU3 GünİstanbulBaşvur …
Devamı
2014

Asp.Net Gelişmiş Hata Ayıklama Yazılımları ve Güvenlik Zafiyetleri

ASP.NET platformu üzerinde yazılan web uygulamalarında elmah, trace gibi hata ayıklama,loglama araçları vardır. Bu araçlar uygulama geliştiricinin veya site yöneticisinin, kullanıcıların karşılaştığı hata sayfaları ile ilgili detaylı bilgiler almasını sağlar. Bu uygulamalar doğru yapılandırılmadığında tuttukları bilgiler( IP, cookie, kullanıcı adı, yerel dizin hatta bazen parola,vb.) herkes tarafından görülebilir. Doğru yapılandırılmayan siteler ayrıca Google tarafındanda önbelleğe alınmış olabilir. Böyle siteler ELMAH için, inurl:elmah.axd SqlException inurl:elmah.axd select where from inurl:elmah.axd ASPXAUTH Trace.axd için; inurl:”trace.axd”…
Devamı
Web Uygulama Güvenlik Testleri Eğitimi / 20-22 Haziran 2014
2014

Web Uygulama Güvenlik Testleri Eğitimi / 20-22 Haziran 2014

Eğitim Açıklaması Web Application Pentest(Web Uygulamaları Güvenlik Denetimi Eğitimi) günümüz bilişim güvenliğinin en zayıf halkalarından olan web uygulamalarının güvenliğinin hacker bakış açısıyla test edilmesini amaçlayan uygulamalı eğitimdir. Eğitim boyunca katılımcılar farklı platform ve programlama dilleri kullanılarak geliştirilmiş çeşitli yazılımlardaki güvenlik zafiyetlerinin nasıl bulunacağını ve istismar edileceği konusunda pratik yapma fırsatı bulacaktır. Eğitim tamamen uygulamalı bir şekilde işlenmektedir ve eğitim süresince katılımcılara açık kaynak kodlu ve ticari çeşitli web güvenlik test araçlarını kullanma…
Devamı
Uygulamalı Ağ Güvenliği ve TCP/IP Eğitimi Lab Kitabı [yeni]
2014

Uygulamalı Ağ Güvenliği ve TCP/IP Eğitimi Lab Kitabı [yeni]

Bilgi Güvenliği AKADEMİSİ olarak verdiğimiz eğitimlerde uygulamaya özel önem veriyoruz. Güvenlik gibi karmaşık bir konu detaylı uygulamalar gerçekleştirmeden anlatıldığında konuya yabancı olan katılımcılar tarafından tam olarak anlaşılamamaktadır. Eğitim notlarına destek olmak amacıyla başlattığımız lab çalışmalarını içeren kitapçık çalışmalarını uzun süre önce başlamıştık. Bu konuda ilk kitap çalışmamız olan  Beyaz Şapkalı Hacker eğitimi Lab kitapçığını 2013 yılı başlarında öğrencilerimizin kullanımına sunmuştuk (Detaylarına adresinden erişilebilir)Yeni dönem eğitimlerinde Uygulamalı Ağ Güvenliği Lab Kitabı Çalışması, İleri…
Devamı