Giriş
Brute Force (Kaba Kuvvet) saldırısı, bir kullanıcının veya sistemin giriş bilgilerini tahmin ederek ele geçirme amacıyla yapılan bir saldırı türüdür. Bu yöntem, saldırganın birçok farklı kombinasyonu denemesi ve doğru olanı bulana kadar devam etmesi esasına dayanır. DVWA (Damn Vulnerable Web Application) bu tür saldırıları anlamak ve pratik yapmak için zayıflıkları barındıran ideal bir ortamdır.
DVWA’nın “Low” güvenlik seviyesinde brute force zafiyetini kullanarak nasıl saldırı yapılabileceğini ve bu seviyede hangi güvenlik önlemlerinin eksik olduğunu inceleyeceğiz.
1. Brute Force Nedir?
Brute Force saldırıları, kullanıcı adı ve şifre kombinasyonlarını deneme yanılma yöntemiyle bulmayı hedefler. Bu tür saldırılar için genellikle bir parola listesi kullanılır ve saldırgan sürekli olarak çeşitli şifreleri deneyerek sistemi aşmayı dener. Eğer bir giriş ekranı şifre doğrulama veya saldırıyı algılama mekanizmasına sahip değilse, Brute Force saldırısına açık hale gelir.
2. DVWA’da Low Level Brute Force Zafiyeti
Low Level seviyesinde DVWA, brute force saldırılarına karşı neredeyse hiç güvenlik önlemi barındırmaz. Bu, saldırganların giriş bilgilerini deneme yanılma yöntemiyle kolayca bulmalarına olanak tanır.
DVWA Ortamını Hazırlama
- Güvenlik Seviyesini Low Olarak Ayarlama
- DVWA arayüzüne giriş yapın.
- Sol menüde yer alan DVWA Security seçeneğine tıklayın.
- Güvenlik seviyesini Low olarak seçin ve kaydedin.
- Brute Force Zafiyeti Sayfasına Erişim
- Sol menüden Brute Force seçeneğine tıklayın.
- Bu sayfada, basit bir kullanıcı adı ve şifre giriş ekranı ile karşılaşacaksınız.
3. Low Level Brute Force Zafiyetinin Özellikleri
- Kullanıcı adı ve şifre doğrulama: Giriş sayfasında “admin” kullanıcı adı ve şifre doğrulaması yapılır. Ancak düşük güvenlik seviyesinde, kullanıcı adı ve şifre kombinasyonlarını defalarca denemek mümkündür.
- Hiçbir koruma mekanizması yoktur: Düşük seviyede güvenlik önlemleri olmadığı için, saldırgan aynı kullanıcı adı ve şifre kombinasyonlarını sınırsızca deneyebilir.
- CAPTCHA yoktur.
- Giriş denemesi sayısı kısıtlaması yoktur.
- Hesap kilitleme veya gecikme mekanizması yoktur.
4. Brute Force Saldırısının Gerçekleştirilmesi
a) Manuel Saldırı
Düşük güvenlik seviyesinde, manuel olarak kullanıcı adı ve şifre kombinasyonlarını deneyerek brute force saldırısı gerçekleştirebilirsiniz. Örneğin:
- Kullanıcı adı:
admin
- Şifre kombinasyonları:
1234
,password
,admin123
, vb.
Giriş ekranına birçok farklı şifre girerek manuel brute force saldırısı yapabilirsiniz. Ancak bu yöntem pratik olmadığından, otomatik araçlar kullanmak daha yaygındır.
b) Araç Kullanarak Brute Force Saldırısı
Burp Suite ve Hydra gibi araçlar brute force saldırıları için idealdir. Burada, Hydra kullanarak bir brute force saldırısının nasıl yapılacağını adım adım açıklayacağız.
Hydra ile Brute Force Saldırısı
Hydra, popüler bir brute force aracı olup HTTP formlarında brute force saldırıları gerçekleştirmek için kullanılabilir.
- Hydra’yı başlatın:
Terminalde Hydra aracını kullanarak brute force saldırısını başlatabilirsiniz. DVWA’daki login formuna saldırmak için şu komutu kullanabilirsiniz:
hydra -l admin -P /path/to/wordlist.txt 127.0.0.1 http-post-form "/dvwa/vulnerabilities/brute/:username=^USER^&password=^PASS^&Login=Login:Login failed" -V
- -l admin: Saldırıda kullanılacak kullanıcı adı
admin
dir. - -P /path/to/wordlist.txt: Şifre denemeleri için bir kelime listesi kullanılır. Bu dosya, birçok yaygın şifreyi içerir.
- 127.0.0.1: DVWA’nın çalıştığı yerel sunucudur (localhost).
- http-post-form: Form tabanlı giriş saldırısında kullanılan Hydra modudur.
- “/dvwa/vulnerabilities/brute/”: Brute force sayfasının URL’si.
- username=^USER^&password=^PASS^&Login=Login: Giriş formundaki kullanıcı adı ve şifre alanları ile giriş düğmesinin isimleri.
- Login failed: Yanlış giriş yapıldığında dönen hata mesajı.
- -V: Hydra’nın denediği her kullanıcı adı ve şifre kombinasyonunu gösterecek şekilde ayrıntılı çıktı sağlar.
- Hydra’nın Saldırıyı Gerçekleştirmesi:
Hydra, kelime listesindeki her şifreyi “admin” kullanıcısı için dener ve başarılı olan giriş kombinasyonunu bulur. Bu aşamada Hydra’nın belirlediği doğru şifre ile giriş yapabilirsiniz.
c) Başarılı Saldırı Sonucu
Eğer doğru kullanıcı adı ve şifre kombinasyonu bulunursa, Hydra aşağıdaki gibi bir çıktı verir:
[80][http-post-form] host: 127.0.0.1 login: admin password: admin123
Bu çıktıdan, “admin” kullanıcısının şifresinin admin123
olduğunu öğrenmiş olursunuz. Daha sonra bu bilgilerle DVWA’ya giriş yapabilirsiniz.
5. Low Level Zafiyetinin Sonuçları
Düşük güvenlik seviyesinde brute force saldırısı, saldırganların sınırsız giriş denemesi yapmasına olanak tanıdığı için oldukça tehlikelidir. Şifrelerin güçlü olmaması durumunda, saldırgan kolayca bir hesap ele geçirebilir. Low Level brute force saldırılarının sonuçları şunlar olabilir:
- Kullanıcı hesaplarının ele geçirilmesi: Saldırgan, özellikle “admin” gibi önemli hesapları hedefleyerek sistemde tam kontrol elde edebilir.
- Hassas bilgilerin sızdırılması: Kullanıcı hesabına erişim sağlandığında, kişisel ve gizli bilgilerin çalınması mümkündür.
- Sistemde daha büyük saldırıların gerçekleştirilmesi: Başarıyla ele geçirilen hesaplar, sisteme yetkisiz erişim sağlamak ve daha büyük güvenlik açıklarından yararlanmak için kullanılabilir.
6. Brute Force Saldırılarını Önlemek İçin Güvenlik Önlemleri
Brute force saldırılarını önlemek için çeşitli güvenlik önlemleri alınmalıdır:
- CAPTCHA Ekleme: Formlara CAPTCHA ekleyerek otomatik giriş denemeleri engellenebilir.
- Giriş Deneme Sınırlamaları: Kullanıcının belirli sayıda yanlış giriş denemesinden sonra hesabını kilitleme veya geçici olarak bloke etme gibi önlemler alınmalıdır.
- Güçlü Şifre Politikası: Kullanıcıların karmaşık ve güçlü şifreler kullanmasını sağlamak brute force saldırılarını zorlaştırır.
- Zaman Gecikmesi: Her yanlış giriş denemesi sonrasında bekleme süresi uygulayarak saldırganın deneme hızını yavaşlatmak mümkündür.
- Kullanıcı Hesaplarının İzlenmesi: Şüpheli giriş denemeleri için loglama ve izleme yapılmalıdır.
Sonuç
DVWA’da Low Level brute force zafiyeti, saldırganlara giriş ekranını brute force yöntemiyle deneme fırsatı tanır. Sınırsız giriş denemesi ve herhangi bir koruma mekanizmasının olmaması, bu seviyede brute force saldırılarının başarılı olma şansını oldukça artırır. Brute force saldırılarına karşı güçlü şifre politikaları, CAPTCHA gibi önlemler ve giriş deneme sınırlamaları gibi güvenlik önlemleri alınmalıdır.
İçerikler ChatGPT ile oluşturulmuş ve teyide muhtaç bilgilerdir.Sorun veya önerinizi iletişim sayfasından yazabilirsiniz.
Yorum Yap