Nikto Nedir? Nikto Kullanımı

Eski klasörlerimde gezinirken değeri bilinmeyen bir açık tarayıcı gördüm ve paylaşmak istedim. Nikto hakkında neler yazıyım, nasıl yazıyım diye araştırma yaparken de çok güldüm aslında. Google’da arattığımda çıkan sonuçların büyük bir kısmı benim yıllar önce yaptığım anlatımdı çünkü, ayrıca Nikto’nun ikinci sürümünün çıktığını da yeni öğrendim.

Nikto web serverlerı üzerindeki CGI açıklarını tespit eden bir güvenlik yazılımıdır. Nikto veritabanında şu anda güncel olarak 900 sunucu sürümü, bu sunuculara ait 250 server açığı ve 3500 CGI açığı bulunmaktadır. Devamını Oku »

Fake Serverlara Dikkat

Fake Server Nedir ?

Bilgisayarımızdan herhangi bir siteye girmek istediğimizde, bilgisayarımız öncelikle o site için bir server atayıp atamadığımızı kontrol eder. Eğer site için bir server atamadıysak sitenin keni serverına yönelir.

Bilgisayarımızda bu server atamaları %WINDOWS%system32driversetc klasörünün içerisinde bulunan host dosyasından gerçekleşir.

Özellikle banka dolandırıcılığında en çok kullanılan yöntemlerden birisi fake server yöntemidir. Saldırgan bankanın sitesinden tek farkı form alanları olan bir sayfa hazırlar ve kendi sunucusuna atar. Sonrasın yapması gereken tek şey kurbanının bilgisayarından bankanın sitesi için bir server tanımlamaktır.

Bu işlemi de gerçekleştirdikten sonra çaldığı kullanıcı bilgilerini dilediği gibi kullanabilir. Bu yöntemin birçok ismi bulunmaktadır ancak ben bu yönteme fake server adını veriyorum. Devamını Oku »

XSS Nedir?

Açılımı Cross Site Scripting olan XSS/CSS ve çok uzun süredir kullanılan bir açıktır. 2000-20001 yılında bulunan bu güvenlik açığı günümüzde hâlâ popülerdir. Web Hacking’de bilinen açıklara amaç gözüyle bakarsak, XSS her zaman bir araç olur.

Cross Site Scripting açığı ile bir sitemde her şey yapılabilir. Temel olarak oturum bilgilerini çalmaya yarayan XSS açığında saldırganın düşünce sistemi ne kadar genişse açık da o kadar tehlikeli olur.

XSS ile en çok yapılan saldırı türü Cookie çalmaya yönelik olan saldırılardır. Saldırgan XSS açığı bulduğu siteye yönelik bir Sniffer düzenler ve sosyal mühendislik yeteneğini kullanarak dilediği oturum sahibinin cookielerini çalabilir. Sosyal mühendislikte sınır olmadığını göz önüne getirdiğimizde açığın önemini bir kez daha görebiliriz. Devamını Oku »

Web Site Güvenliği

Uzun uğraşlar sonucunda bir internet sitesi oluşturdunuz ve tabiki zarar görmesini istemiyorsunuz. Bu makalemde ise sizler için bir saldırgan gözüyle bakarak site güvenliğine değinmeye çalışacağım.

1. Hesap, Mail ve Bilgisayar Güvenliği

1.1 Hesap Güvenliği

Burada hesap güvenliğinden kastım elbette hostunuzu yada domaininizi aldığınız firmanın panelinde bulunan hesabınız. Hesap güvenliğiniz için ayrıntılı dökümanı şurada bulabilirsiniz.

1.2 Mail Güvenliği

Web siteniz için mail güvenliği söz konusu olduğunda yapmanız gereken aslında basittir. Host ve domaininizi aldığınız mail adresinin kimse tarafından bilinmemesi ve whois bilgilerinde bulunmaması yeterlidir. Saldırgan sitenize whois çektiğinde domain bilgilerinizde mail adresi göremez ise domain hack’den umudu kesecektir. Devamını Oku »

Hesap Güvenliği

Öncelikle şunu belirtmeliyim ki, hesap güvenliği derken tek bir düşünceye, hesaba, bağlı kalmıyorum. Benim için hesap güvenliği içerisinde e-mail hesapları, ftp hesapları, site üyelikleri vb. tüm hesaplar bulunuyor. Bu makalemde genel düşünerek hesap güvenliğine değineceğim.

Bütün sistemler kullanıcılarının hesaplarını en yüksek düzeyde korumaya çalışır. Bu sebeple hesap güvenliği sistemden ziyade büyük oranda kullanıcı tarafından sağlanmalıdır;  hesap güvenliğinde kullanıcının etkisi daha fazladır. Şimdi sırasıyla bilinen hesap çalma yöntemlerine değineceğim ve sonrasında yöntemlerden korunma yollarını belirteceğim. Devamını Oku »