Fatih Ekrem Genç'in blogu » Uncategorized

Buzz’un tehlikeleri

Fatih Ekrem Genc — Tue, 23 Feb 2010 22:03:14 +0000

Gmail’de yan tarafta tab ile gelen google’nin yeni ürünü buzz, mail arayüzüne gömülü geldigi için insana bir mahremiyet hissi veriyor. Ancak tüm yazismalar herkese açık . Bir nevi google’in friendfeed ürünü. Harici olarak dikkatle tüketelim

http://www.google.com/profiles/118021987253383450294#buzz

Bilgi Üniversitesi Yük. Lisans Programı Adli Bileşim Dersi Sunumum

Fatih Ekrem Genc — Mon, 21 Dec 2009 22:16:17 +0000

Huzeyfe ve Halil bey eşliginde farkli konulari adli bilesim gozu ile analiz edip sundugumuz derste. Bendeniz Adli bilisim bakis acisi ile GSM teknolojileri hakkinda bilgi aktariminda bulundum.

Sunum pps dosyalari icin link.

Sunumun resimleri icin link.

ISTSEC 2009 Bilgi Üniversitesi Silahdar Kampusu

Fatih Ekrem Genc — Mon, 14 Dec 2009 07:05:21 +0000

Bâkır Emre ve benim resimlerimle istsec 2009′dan kesitler.

http://picasaweb.google.com/b4k1r3mr3/IstSec2009#

http://picasaweb.google.com/fatihgenc/Istsec2009BilgiUniversitesiSilahtar#

Kurumsal Şirkerlerde Kişisel Bilgilerin Korunması

Fatih Ekrem Genc — Mon, 09 Nov 2009 16:21:45 +0000

Bilgi Üniversitesi’de yüksek lisans öğrencileri programı kapsaminda olan “Kişisel verilerin korunmasi” dersinde sunmuş oldugum içerigi link‘den indirebilirsiniz.

Bâkır Emre tarafından sunum anında çekilmiş resimler için link.

ubuntu proxy kurulumu

Fatih Ekrem Genc — Sun, 31 May 2009 11:07:59 +0000

Vtunnel ktunnel v.s. sitelerin kullanımı canınızı sıkıyor ise ve uzaklarda bir yerlerde Türkiye sınırları dışında bir sunucunuz varsa.
Sunucunuz üzerine kuracağınız parolo sorgulamalı proxy ile youtube gibi
yasaklanmış sitelere erişebilirsiniz.

nasıl mı?

ilk once gerekli paketleri kuralım:

sudo aptitude install squid squid-common

kurulan squid ayar dosyasına su satırlari girelim

sudo vi /etc/squid/squid.conf

http_port 8080 # squid proxy'nin dinliyecegi port


acl localhost src 127.0.0.1/255.255.255.255 # localhost erisimi icin access list olusturalım

acl all src 0.0.0.0/0.0.0.0                           #tüm internet uzayının erişimi icin acl tanımlıyalım

acl to_localhost dst 127.0.0.0/8

acl purge method PURGE

acl CONNECT method CONNECT
# Asagida ki satırlar parola sorgusu için gerekli. parola  ve kullanıcı adı /etc/squid/passwd içinde tutuluyor olacak
auth_param basic program /usr/lib/squid/ncsa_auth /etc/squid/passwd

auth_param basic children 5

auth_param basic realm NFYE Squid proxy-caching web server

auth_param basic credentialsttl 5 hours

auth_param basic casesensitive off

acl users proxy_auth REQUIRED
http_access allow  localhost   # olusturdugumuz localhost acl'ine direk izin verelim

http_access allow purge localhost

acl Safe_ports port 80  8080

  # safe portlar oluşturup sadece bu portların dinlenmesine izin verelim. Ben proxy 8080 çalıştırdım bu porta ve 80. yani http portuna izin verdim
http_access deny !Safe_ports   #safe portlar disindaki portlara izin verme

http_access allow users # users diye olusturdugumuz parola sorgusu acl için izin ver.

http_access allow all   # tüm kullanicilara erisim hakki taniyalim ama endişe etmeyin parola soracaktir  
hierarchy_stoplist cgi-bin ?

access_log /var/log/squid/access.log squid
acl QUERY urlpath_regex cgi-bin \?

cache deny QUERY

refresh_pattern .               0       20%     4320

hosts_file /etc/hosts

coredump_dir /var/spool/squid

eger kurulu degilse apache2-utils kuralim

sudo aptitude install apache2-utils

/etc/squid/passwd dosyasi icinde kullanici bilgilerini tutacagimizi soylemistik.

touch /etc/squid.passwd
chown proxy:root /etc/squid.passwd
chmod 644 /etc/squid.passwd
sudo htpasswd -c /etc/squid.passwd proxy_kullanici_adi
size parola sorulacaktir uygun bir parola girin.

proxy serverinizi yeniden çaliştırın:

/etc/init.d/squid restart

internet gezgininize proxy ip ya da domain adiniz örnekte oldugu gibi erişim portunu 8080 girdiginizde her hangi bir siteye girdiginizde size kurmuş oldugunuz proxy’nin kullanici parola bilgilerini soracaktir.

hepsi bu kadar.

eraser sisteminizdeki dosyalari geri dönüsümsüz siler

Fatih Ekrem Genc — Sat, 20 Dec 2008 13:52:09 +0000

internet üzerinde bu hususta bir cok program bulabilirsiniz ve eraser kesinlikle bu hususta en iyi olani degil
ama buna karsilik opensource kurdugunuz gibi kullanabilirsiniz

http://sourceforge.net/projects/eraser/

programin gozlemledigim tek eksigi sag klick ile dosyayi secip direk geri dönüsümsüz silme özeligi yok.

vmware hizmetlerini yönetmek

Fatih Ekrem Genc — Thu, 24 Apr 2008 06:41:25 +0000

Sistemimize kurdugumuz andan itibaren bircok hizmet programi ile hafiza canavarligi yapan vmware programimiza ihtiyac duymadigimiz zaman diliminde bilgisayarimizi yormamasi icin ufak bir DOS script yazdim.
Çalışma mantigi net komutu ile gereksiz vmware hizmetlerini kapatıp bunlara yeniden ihtiyac duydugumuzda yeniden acmaktan ibarek.

net stop “VMware Authorization Service”
net stop “VMware DHCP Service”
net stop “VMware NAT Service”
net stop “VMware Virtual Mount Manager Extended”

ekletide hizmetleri hem durdurmak hemde çalistirmak için 2 bat dosyası var. Bunları c:/WINDOWS dizinine atin (belki windowsta istifade eder ) windows başlat kısmına vmware_stop veya vmware_start hizmetler durdurulacak ya da yeniden calistirilacaktir.

Tümünü indirmek icin tiklayin:vmware hizmetler.zip

umsteigen von web.de auf gmail.com

Fatih Ekrem Genc — Mon, 28 Jan 2008 21:31:38 +0000

Viele haben es Nase voll über web.de, da sie nur 12MB Speicheplatz haben.
Sie können ihre web.de E-Mail auf gmail.com weiterleiten so haben Sie bei gmail.com über 2GB speicheplatzt.

Es geht ganz einfach. Erst sollt ihr ein gmail Konto errichen. das macht ihr unter http://gmail.com (Genau zur Konto Erstellung link ist: http://gmail.com… ) Nachdem Sie ein gmail Konto haben. So können wir mit dem weiterleitung bei web.de loslegen.
ich nehme an Sie sind bei web.de eingelogt und ihr habt ein Oberfläche so wie auf dem Bild.

Mit 4 schritt können sie ihre ganzen Mails zur ihre neu gmail Konta weiterleiten.

Erst auf Einstellungen
Dann Eingang und unter Eingang weiterleiung nach dem Sie weiterleitung mit 4er Schritt angeschatet haben. Könne Sie ihre neue Gmail so wie auf dem Bild gezeigt ist, bei web.de eintragen und auf Änderungen übernehmen klicken.

Wenn Sie Outlook ähnlisches Mailclients benutzen. so müsst ihr bei gmail pop3 einschallten.

http://mail.google.com/support/bin/answer.py?answer=13273

Wie sie Outlook einstellen können,lässt sich hier lesen..

http://mail.google.com/support/bin/answer.py?answer=13276

ihr könnt auch ihre Kontakt einstellungen von web.de nach gmail übertragen. Gmail wird alle kontakt Daten, die Sie als im CVS format geben übernehmen. Unter web.de ist es mögliche Kontakten als CVS zu speichen wie es geht schreibe ich irgendwann mail

Linux sunuculari güvenlik püf noktalari

Fatih Ekrem Genc — Wed, 23 Jan 2008 01:56:40 +0000

Yeni bir güvenlik acigi duyruldugu an merakli crakerlerin ilgili programin güvenlik acigi olan versiyonunu bir yerlerde bulabilmek icin bas vurduklari ilk arac arama motorlaridir. Ayni sekilde degisik admin panelerine arama motorlari üzerinden ulasip Bruce-force atak denemeleri ile admin sifresini kirmayi denemek bilinen saldiri sekilerindendir.

Arada sirada /var/log/apache2/error.log
Dosyalarina göz atip durumun ne kadar ciddi oldugu konusunda ikna olabilirsiniz..
Asagida tipik bir deneme yanilma yönetimi ile phpmyadmin ara yüzü bulunmaya calisilmis..

[Sun May 06 14:24:35 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin
[Sun May 06 14:24:35 2007] [error] [client 82.61.230.210] File does not exist: /var/www/PHPMYADMIN
[Sun May 06 14:24:35 2007] [error] [client 82.61.230.210] File does not exist: /var/www/pma
[Sun May 06 14:24:35 2007] [error] [client 82.61.230.210] File does not exist: /var/www/PMA
[Sun May 06 14:24:36 2007] [error] [client 82.61.230.210] File does not exist: /var/www/PMA
[Sun May 06 14:24:37 2007] [error] [client 82.61.230.210] File does not exist: /var/www/mysql
[Sun May 06 14:24:37 2007] [error] [client 82.61.230.210] File does not exist: /var/www/admin
[Sun May 06 14:24:37 2007] [error] [client 82.61.230.210] File does not exist: /var/www/db
[Sun May 06 14:24:38 2007] [error] [client 82.61.230.210] File does not exist: /var/www/dbadmin
[Sun May 06 14:24:38 2007] [error] [client 82.61.230.210] File does not exist: /var/www/web
[Sun May 06 14:24:38 2007] [error] [client 82.61.230.210] File does not exist: /var/www/admin
[Sun May 06 14:24:39 2007] [error] [client 82.61.230.210] File does not exist: /var/www/admin
[Sun May 06 14:24:39 2007] [error] [client 82.61.230.210] File does not exist: /var/www/admin
[Sun May 06 14:24:39 2007] [error] [client 82.61.230.210] File does not exist: /var/www/mysql-admin
[Sun May 06 14:24:40 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpmyadmin2
[Sun May 06 14:24:40 2007] [error] [client 82.61.230.210] script ‘/var/www/mysqladmin/main.php’ not found or unable to stat
[Sun May 06 14:24:40 2007] [error] [client 82.61.230.210] File does not exist: /var/www/mysql-admin
[Sun May 06 14:24:41 2007] [error] [client 82.61.230.210] script ‘/var/www/main.php’ not found or unable to stat
[Sun May 06 14:24:41 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin-2.5.6
[Sun May 06 14:24:41 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin-2.5.4
[Sun May 06 14:24:42 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin-2.5.1
[Sun May 06 14:24:42 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin-2.2.3
[Sun May 06 14:24:42 2007] [error] [client 82.61.230.210] File does not exist: /var/www/phpMyAdmin-2.2.6
[Sun May 06 14:24:43 2007] [error] [client 82.61.230.210] File does not exist: /var/www/myadmin

DoS atagi engeliyebilecegimiz iptable yada pf gibi güvenlik duvarlari üzerinden yapabileceginiz gibi. Su sekilde de ssh servisini kismen güvence altina alabiliriz.
Bilindigi üzer ssh standart olarak 22 nolu portu dinler. Eger bu portu 1022 yaparsak
22 nolu porta baglanmaya calisan kullanici sonuc alamayinca vaz gecicektir.
Ilk önce 1022 portunuzun kullanilip kullanilmadigina göz atalim.

vs2052020:~# netstat -alnp | grep :22
tcp 0 0 0.0.0.0:22 0.0.0.0:* LISTEN 29974/sshd
tcp 0 52 85.XX.XX.XX:22 89.56.XX.X:4392 ESTABLISHED18071/0

yukarida oldugu gibi 22 trafigi dinliyor. Hatta 4392’den ssh portuna uzaktan baglanmisim bilene.
Simdide 1022’ye bakalim. Evet orasi bos..

vs2052020:~# netstat -alnp | grep :1022
vs2052020:~#

vi /etc/ssh/sshd_config dosyasini acip
Port 22 yazili satirda gerekli degisikligi yaptikdan sonra ssh servisini yenden calistirmak kafi olucaktir.
/etc/init.d/sshd restart
bu arada ssh clientinizde standart 22 portunu 1022 yapmayi unutmayin.
Alernatif bir ssh güvenligi ise root kullanicisina ssh üzerinden baglanmayi engelemek süreci ile yapilabilir. Söyleki bir sisteme DoS atak ile ssh üzerinden baglanmaya calissaniz. Hangi kullanicin sifresini kirmayi denerdiniz tabiyki her sistemde olan ve en güclü kullanicinin yani root’un. Uzaktan erisimi sagliyabilmek icin ilk önce sisteminize 2. bir kullanici acin. ssh’ya daima bu kullanici ile baglanip sonra su – komutu ile root haklarini alin.
ssh’ya root olarak baglanmayi engelemek icin
vi /etc/ssh/sshd_config dosyasini acip
PermitRootLogin yes anahtarini no olarak degistirip
/etc/init.d/sshd restart
ssh hizmetini yeniden calistirmaniz kafi gelicektir.
Gelgelelim ftp hizmetimize. Proftp gibi ftp serverleri virtual ftp kullanicisi kullanma sansi taniyor. Mümkünse ftp serverinizi virtual ftp kullanicilari ile kullanin. Sistem kullanicilari ile ftp kullanicilarini ayni ise birde root ftp üzerinden sisteme baglaniyorsa. Hic hos olmayan durumlarla karsilasabilirsiniz.
Bunun ne kadar tehlikeli olabilecegini ngrep ile yapacagimiz ufak bir testle göstereyim. ngrep ile port 21 yani ftp komut portunu dinliyelim..

ngrep port 21
interface: venet0 (127.0.0.1/255.255.255.255)
filter: ip and ( port 21 )
#######
T 85.XX.XX.XX:21 -> 89.YY.YY.YY:3480 [AP]
220 ProFTPD 1.2.10 Server (ProFTPD) [85.25.52.20]..
#
T 89.YY.YY.YY:3480 -> 85.XX.XX.XX:21 [AP]
USER kara..
##
T 85.XX.XX.XX:21 -> 89.YY.YY.YY:3480 [AP]
331 Password required for kara…
#
T 89.56.135.77:3480 -> 85.XX.XX.XX:21 [AP]
PASS lahana..
#
T 85.XX.XX.XX:21 -> 89.YY.YY.YY:3480 [AP]
230 User kara logged in…

Peki yukarida ne oldu. Sirasi ile

1. client servere baglandi
2. client kullanici ismini yani kara’yi servere bildirdi
3. server parola talep etti
4. client parolayi yani lahana kelimesini bildirdi..
5. ve kara adli kullanici sisteme baglandi

Görüldügü gibi tüm sifre ve kullanici transferi acik olarak isliyor.
Client ile server arasindaki trafigi dinliyebilen herhangi birisi sisteminizin kullanici bilgileri ulasabilir. Dolayisi ile ftp ulasimi olan sistem kullanicilarini sisteme baglanmalarini engelememiz fayda var. Böylelikle ftp sifremiz bir sekilde ele gecirilmis olsa dahi budurum sistemimizin güvenligi icin sorun ihtiva etmez.
Simdi sistemimizin kullanici bilgilerini barindirildigi /etc/passwd dosyasini aciyoruz
Her kullanici icin bir satir oldugunu ve bagzi kullanicilarn /bin/false yada /bin/nologin gibi kabuklari kullandigini göreceksiniz. Bu kullanicilar sisteme baglanma haklari olmayan kullanicilardir. Örnek ftp kullanicimiz olan kara’nin da kabuk bilgisini asagida ki gibi /bin/false degistirince sisteme ssh üzerinden baglanmasini engelemis oluruz.
kara:x:65007:65007:,,,:/home/kara:/bin/false
Tabiyki sisteminize icin gerekli güvenlik önlemleri bunlarla sinirli degil. Bu yazida sadece kesinlikle bilinmesi gereken bir kac noktaya deyindim.
Fatih Ekrem Genc
Kaynakca:
http://www.fatihgenc.com/debian-uzerinde-apache2-icin-modsecurity-kurulumu/
http://www.sspace.de/archives/52-Mod-Security-Apache2-Debian-Sarge.html
http://www.google.com/support/webmasters/bin/topic.py?topic=8475
http://www.birumut.net/switch.php?modul=Parser

debian snort kurulumu..

Fatih Ekrem Genc — Mon, 24 Sep 2007 19:09:15 +0000

Kurulu olmadigini varsayarak sistemimize mysql kuruyoruz

apt-get install mysql

root kullanicisina sifre verelim

mysqladmin -u root password “benimsifrem”

mysql root ile baglanip snort log dosyalari icin kullanacagimiz mysql veritabanini olusturalim.
mysql -u root -p

mysql root sifresi ile mysql baglanin.

ilk önce snort veritabanmizi olusturalim

create database snort;

mysql> grant CREATE, INSERT, SELECT, DELETE, UPDATE \
on snort.* to snort@localhost;

olusturdugumuz veritabani icin snort adinda birde user ekliyelim ve gerekli haklari verelim.
hali hazirda olan root kullanicisini bu veritabani icin kullanabilirdik ancak gereksiz haklarla php üzerinde veritabanina ulasmak güvenlik acisindan daima bir riskdir.
mysql> grant CREATE, INSERT, SELECT, DELETE, UPDATE \
on snort.* to snort@localhost;

veritabanimiz ve ona ait bir kullanicimiz var. veritabanimizin gerekli olan yapisini olusturmak icin. snort ile birlikte gelen snort sql betigini kullanin.

cd /usr/share/doc/snort-mysql/

zcat create_mysql.gz | mysql -u root -p snort

mysql root sifresi sorulacaktir. sifreyi girin.

snort ciktilarini web arabiriminden incleyebilmek icin base paketini kurun.

apt-get install acidbase
acidbase kurulum esnasinda yardimci program size mysql root sifresini sorcaktir. sifreyi girdigiinzde snort user ve snort veritabani olsuturulmus oldugu icin islemi pass gecicektir.

php.ini icinde gerekli kisimlari aktif hale getirelim

vim /etc/php4/apache/php.ini

extension=mysql.so
extension=gd.so

acidbase dosyalari /usr/share/acidbase/ icine atilacaktir gerekli virtual host ayarlarini yapmayi unutmayin

http://localhost/acidbase sisteminize dogru olan saldirilari inceliyebilirsiniz.