İçindekiler

• kabuk nedir
• ters kabuk nedir
• Saldırganlar/bilgisayar korsanları neden ters kabuğa ihtiyaç duyar?
• WAN ve LAN üzerinden saldırı arasındaki fark
• ters kabuğu önleme

İlk olarak, ters kabuğa geçmeden önce kabuğun ne olduğunu bilmeliyiz. Kaplumbağanın sırtındaki gibi bir kabuk mu? durum böyle değil, ancak işletim sisteminin etrafındaki en dış katman olduğu için kabuk olarak adlandırılır. Bir kabuk ne yapar? Kabuk, komutlarımızı işletim sistemine çeviren bir programdır. Bu, işletim sistemi ile bir kullanıcı arasındaki bir arayüzdür. Klavyeden komutlar veya anahtar sözcükler olan girdileri alır ve bunu işletim sistemine verir ve terminal/CLI (komut satırı arabirimi), komutları yazmanıza ve kabukla etkileşim kurmanıza olanak tanır. Kabuk hakkında daha derin düşünceler var, ancak bu blog ağırlıklı olarak ters kabuğa odaklanacağı için onları belirtmeyeceğim.

Ters kabuk nedir?

Bahse girerim bu terimi öğretici videolarda ve CTF'lerde oldukça fazla duymuşsunuzdur, ancak anlamlarını henüz bilmiyorsunuzdur. Burası senin için doğru yer. Ters kabuğun anlamı adındadır. Normal bir uzak bağlantının yaptığının tam tersini yapar - çoğunlukla saldırganlar için bir hedef olan sunucuya bağlanan bir istemci olan kullanıcı. Sunucu, belirli bağlantı noktalarındaki kullanıcılardan gelen bağlantıları dinler. Örneğin, bir web sunucusu, kullanıcının bir web sitesi olan istediği hizmeti sağlayabilmesi için gelen bağlantı için 443 numaralı bağlantı noktasını dinleyecektir. Ters kabuk tersini nasıl yapar? ters kabuk durumlarında, sunucu bir uzak bağlantı başlatır ve saldırgan olan kullanıcı, sunucunun bağlanmaya çalışacağı bağlantı noktasını dinler. Örneğin, web sunucusuna bir ters kabuk yükü enjekte edilir. Bu yükte, sunucunun bağlanmasını istediğiniz dizüstü veya kişisel bilgisayarınızın IP adresini ve bağlantı noktası numarasını görebilirsiniz. 192.168.1.1 diyelim ve payload'da port 4444. Yükü enjekte etmeden önce, Netcat gibi araçları kullanarak o bağlantı noktasını dinlemeniz gerekecek. Enjekte ettikten sonra, sunucudan cihazınıza bağlantıyı alacaksınız.

Saldırganlar neden ters bir kabuğa ihtiyaç duyar?

Saldırganlar neden bunlara ihtiyaç duyar? Genel olarak konuşursak, bunun nedeni güvenlik duvarıdır. Güvenlik duvarı, saldırgan tarafından sunucuya gönderilen trafiği sınırlar, ancak sunucunun kullanıcılara/saldırganlara gönderdiği giden trafiği sınırlamaz. Saldırıya uğrayan sunucular genellikle yalnızca belirli bağlantı noktalarında bağlantılara izin verir. Örneğin, ayrılmış bir web sunucusu yalnızca 80 ve 443 numaralı bağlantı noktalarındaki bağlantıları kabul edecektir. Bu, saldırıya uğrayan sunucuda bir kabuk dinleyicisi oluşturmanın mümkün olmadığı anlamına gelir.

Öte yandan, güvenlik duvarları genellikle giden bağlantıları hiç sınırlamaz. Bu nedenle, bir saldırgan dinleyiciyi ayarlayarak ters bağlantı oluşturabilir ve sunucu bu durumda bir kullanıcı gibi davranacak ve ardından trafiği saldırgana gönderecektir. Saldırganın ihtiyacı olan tek şey, dinleyici oluşturmak ve ona kabuk erişimini bağlamak için IP adresine ve Netcat gibi bir araca sahip bir makinedir.

WAN ve LAN üzerinden saldırı arasındaki fark

LAN üzerinden ters kabuğun oluşturulması oldukça basittir. Sadece kendi özel IP adresinizi ve kurbanın özel IP adresini bilmeniz gerekiyor. Diyelim ki 192.168.1.0 ağındasınız ve IP adresiniz 192.168.1.10; kurbanın IP adresi 192.168.1.20'dir. Şimdi, IP adresinizi ve kurbanın bağlanmasını istediğiniz bağlantı noktasını içeren bir yük enjekte ederek bağlantıyı elde edeceksiniz.

WAN'a ne dersiniz? Burası biraz karmaşıklaştığı yer. Yapmamız gereken, özel IP adresimizi google'da şu şekilde aratarak bulabileceğiniz genel IP ile değiştirmek: “genel IP adresim nedir”. Burada işimiz bitti mi? Pek değil ama bir adım daha yaklaştık. Diyelim ki, sunucuya bir ters kabuk yükü enjekte etmek için zaten bir yol buldunuz veya bir güvenlik açığı buldunuz. Kurban/saldırıya uğrayan sunucu, genel IP adresinizi payload'ınıza yerleştirdiğiniz için genel IP adresinize bağlanmaya çalışacaktır. Kurbanın gönderdiği istek, makinenizdeki dinleyicinizden önce yönlendiricinize gelecektir. Yönlendiriciniz, bu isteği yönlendiriciye bağlı cihazlara nereye ileteceğini bilmelidir. Yönlendiricinizde Port Yönlendirmeyi etkinleştirerek yapılabilir,

Genel IP adresiniz statik ise, bu gerekli ve yaygın değilse, bu saldırı daha az iş yüküne sahiptir. ISP'niz tarafından sağlanan yönlendiriciniz için genel IP statik olabilir veya olmayabilir. Dinamik IP adresi, genellikle genel IP ile ortak noktamızdır. Dinamik IP, internet bağlantınızı her yeniden kurduğunuzda (yönlendiriciyi yeniden başlatma vb.) genel IP'nizin değişeceği anlamına gelir. Bu durumda, yükte yazılı olan önceki IP'niz hiçbir işe yaramaz. Ancak yine de bunu bu yöntemden farklı yapmanın daha yaratıcı yolları ve başka yolları var.

işte hepiniz için bir ters kabuk hile sayfası .

Nasıl önlenir?

Ters mermilerden kaçınmanın en iyi yolu, sahtekarların en başta kabuğa erişim kazanmasına izin veren saldırılara karşı koruma sağlamaktır. Ters kabuk oluşturmayı mümkün kılan çoğu aracı devre dışı bırakabilirsiniz. Yukarıdaki hile sayfasından da görebileceğiniz gibi, farklı araçlar ve diller kullanılarak ters kabuklar oluşturulabilir. Bu nedenle saldırganın işini zorlaştırabilirsiniz ama imkansız hale getiremezsiniz.

Referans

Wikipedia'ya katkıda bulunanlar. (2022, 18 Ekim). kabuk kodu Vikipedi.https://en.wikipedia.org/wiki/Shellcode

Nidecki. (2019, 26 Ağustos). Ters Kabuk Nedir ? Acunetix.https://www.acunetix.com/blog/web-security-zone/what-is-reverse-shell/

Geeks için Geeks. (2022, 27 Eylül). Bağlama Kabuğu ve Ters Kabuk Arasındaki Fark .https://www.geeksforgeeks.org/difference-between-bind-shell-and-reverse-shell/