İstemci Güvenliğini Sağlamak, Güncelleştirmeler, Windows Server Update Services (WSUS)

Wsus, sistem yöneticilerinin ağlarında bulunan, Windows işletim sistemine sahip bilgisayarlardaki güncellemeleri (Office, Exchange, SQL, Windows) takip etmelerini sağlayan bir servis yazılımıdır.

• Windows Server 2008 R2 ile uyumludur.
• Windows Server 2008 R2′deki BranchCache özelliğini destekler.
• Windows 7 ve Windows Server 2008 R2 istemcisini destekler.
• Rapor özelliği sunar.
• WSUS 3.0 SP2 yalnız başına yüklenebilir veya WSUS 3.0 SP1′e güncelleme olarak kullanılabilir.

WSUS’u kurmak için minimum sistem gereksinimleri :

1. 6 GB boş disk alanı.

2. System partition NTFS ile formatlanmış olması.

3. IIS 5.0 (Windows 2000) ya da IIS 6 (Windows 2003/R2) kurulu olması gerekir.

4. Net Framework 1.1 SP1.

Mod Security Kullanım Kılavuzu

Not: Bu döküman “Mod Security Reference Manual” dökümanından yararlanılarak yazılmıstır.

Zaman zaman içinde kendi yorumlarım ve örneklerim bulunmaktadır.

Giris

Mod Security Nedir?

Mod Security, Web uygulamaları için gelistirilmis açık kaynak kodlu güvenlik duvarıdır “Web Application Firewall (WAF)”. Mod Security web sunucusuna gömülü sekilde çalısır.

Kullandıgınız ve ya yazdıgınız web uygulamaları için saldırı tespit ve engelleme görevini üstlenir.

Neden Kullanırız?  Yararları Nelerdir?

1. Mod Seucirty HTTP trafigini son derece detaylı dinler (Bunu ileride auditlog kavramında görecegiz). Apachenin loglarını göz önünde tutarsak istek içerigi ve cevap içerigi gibi ibarelerin loglanmadıgını görürüz. Oysa Mod Security HTTP trafigi üzerinde her türlü veriyi kayıt altına alma yetenegine sahiptir. Hatta bu logları gruplamanıza ve ya daha okunur sekilde yazdırmanıza yardımcı olur. Bir çok log analiz standartını desteklemektir. Özellikle kendi içinde guarding log sitilinide bulundurmaktadır.

2. Mod Security`nin bir avantajıda gerçek zamanlı veri analizi yapmasıdır. Bu ne demektir?

Kullanıcıların uygulamalarınız üzerinde ve ya web sunucunuza baglandıgı andan itibaren gelen giden veriler üzerinde istediginiz kontrolleri yapmanız demektir.

3. Saldırı tespit ve önleme için anında müdahaleler yapmanıza yarayan kurallar yazabilirsiniz.

Mod Security web uygulamalarınıza erismek isteyen saldırılara karsı anında tepki verir.

Bunu çogunlukla üç yolla yapar :

Sandcat – PHP, php.ini, httpd.conf Güvenliği

Tanım :

Syhunt firmasının en iyi ürünlerinden olan Sandcat’in, tamamen php scriptler için yazılmış hali “SandCat for PHP”.

Özellikler :

** Sandcat’in paranoyak yapısını unutmamak lazım. Bütün $Post $Get $Sesion $Cookie karakterleri, echo komutu ve daha bir çoğu muhtemel tehlike onun için.

* Program sadece local olarak çalışmakta.

* Ücretsiz sürümünde tek seferde sadece 2 dosya için tarama yapabilirsiniz. Fakat tarama yapacağınız toplam dosya sayısı sınırsızdır.

Dranzer – ActiveX Nesnelerinin Güvenlik Testi Nasıl Yapılır?

Uzun zamandır activeX ile ilgili doğru düzgün bir güvenlik yazılımı görmemiştim. O yüzden bu yazılım gözümde bi kat daha değerli. Bugün security-database’de gezinirken rastladığım bu güzel programı paylaşmak istedim.

Download :

http://sourceforge.net/projects/dranzer/

Usage (Kullanım) :

“dranzer.exe <secenekler>”

Seçenekler :

-o <outputfile> – Output Filename
-i <inputfile> – Use input file CLSID list
-d <notestfile> – Use don’t test CLSID List
-g – Generate base COM list
-k – Generate Kill Bit COM list
-l – Generate Interface Listings
-b – Load In Browser (IE)
-t – Test Interfaces Properties and Methods
-p – Test PARAMS (PropertyBag) in Internet Explorer
-s – Test PARAMS (Binary Scan) in Internet Explorer
-n – Print COM object information
-v – Print out version information
-r – Generate Kill Bit registry files

Örnek:

dranzer.exe -g

User Guide :

http://docs.google.com/Doc?docid=0ATn5yqW-bnJPZGhtZGNoZjVfMTAwYzU0NW04OXE&hl=tr

Döküman :

dranzer

Bakılması Tavsiye Kaynaklar :

http://www.cert.org/vuls/discovery/dranzer.html

M.Serhat Dündar

Gamja Vulnerability Scanner

Tanım :

Web application simple validation checking script for webpage
Simple Validation check Scanner – with all perimeter [ XSS , Validation Error , SQL Injection ...]
gamja v.1.6 – from screammingCSS+ Paros+ Private skill

Gereklilikler : wget , Perl

* Sisteminizde active perl kurulu olmalı.

* Programa ait dosyaları içeren .rar dosyasını unzip ettikten sonra C:\Perl\bin dizinine atınız.

* Komut satırı ile dizine inerek gamja.pl dosyasını çalıştırın.

Resim 1 : Komut satırı ve kullanım

Kullanımı usage kısmında belirtildiği şekildedir.

Yeni komut satırı gelene kadar sayfayı kapatmayınız.

Kullanım

“gamja.pl http://hedefsite[:port][/baslama/dizini]“

Detaylı Kullanım

“gamja.pl -v http://hedefsite[:port][/baslama/dizini]“

Tarama sonuçlarını C:\Perl\bin dizini içinde oluşacak 2 adet html dosyasından inceleyebilirsiniz.

Download

http://sourceforge.net/projects/gamja/

M.Serhat DÜNDAR

Güvenli ASP.NET Prodüksiyon Ortamı

Web Uygulaması Güvenliği

Web uygulaması güvenliği sağlanırken genellikle akıllara ilk gelenler çeşitli kod enjeksiyonu zafiyetleri ve girdi doğrulama temelli yaklaşımlardır. SQL Injection’ı kesmek için parametrik sorgular, XSS’i kesmek için output encoding, LFI & RFI için doğru şekilde girdi doğrulama ve CSRF için de kritik fonksiyonaliteler için token uygulaması.

Oysa dünyanın en güvenli uygulamasını yazmış olsanız dahi, sunucu üzerinde tutulan bir klasörün izinlerini doğru şekilde düzenlemediyseniz , hack’lenmeniz işten bile değil ! Bundan dolayı işin kod kalitesi ile ilgili kısmını düşünürken, konfigürasyonel boyutunu da es geçmemek gerekmektedir.

ASP.NET

Günümüzde web uygulamaları bir çok programlama dili vasıtasıyla yazılabilmekte ve bir çok üretim ortamında çalışabilmektedir. Bu dillerden ve platformlardan önemli bir tanesi ise ASP.NET ‘dir.

ASP.NET ortamında geliştirilmiş uygulamaların konfigürasyon bilgileri web.config isimli dosyada tutulur.

Web Açıklık Tarayıcıları – Bölüm 1

Web uygulamalarında bulunan güvenlik zafiyetlerinin taşıdığı riskler, bu açıklıkları, günümüz siber güvenlik anlayışının en önemli konularından biri (belki de en önemlisi) haline getirmiştir. İstatistiklere göre her 10 web sitesinden 9’unda ciddi seviyede bir açıklığın olmasının yanında siber saldırıların %60’ından fazlasının web teknolojilerine yönelik gerçekleştirilmesi bu önemin açık bir nedenidir [1].

İki bölümden oluşacak bu yazının ilk bölümü, otomatik web zafiyet tarayıcılarının genellikle ilk fazı olan girdi noktası bulma algoritmaları ve etkinlikleri üzerine olacaktır.

Web uygulamalarında bulunan açıklıklar; SQL enjeksiyonu, XSS, yetersiz hata yönetimi, CSRF gibi sadece yazılımsal veya standartlarda bulunan dizayn tabanlı hatalar olmayıp, yönetimsel ve mantıksal hataları da içermektedir.

Bu yazılımlardaki güvenlik problemlerinin bulunması, düzeltilmelerindeki en önemli adımdır. Bu adımı gerçeklemek adına üç önemli yöntem; elle yapılan testler, web uygulama açıklık tarayıcıları, statik/dinamik kod analiz araçlarıdır. Ancak bilinmelidir ki, yazılımlarda bulunan risk seviyesi yüksek zafiyetlerin açığa çıkarılması sadece tek bir yöntemle mümkün veya uygulanabilir değildir. Bu nedenle kapsamlı bir risk haritası için her üç yönetimin de elden geldiğince uygulanması gerekir.

Otomatik web açıklık tarayıcılarının (WAT) kapsayıcı ve zaman açısından etkin olmaları, web güvenlik risk haritasının çıkarılmasında çok önemlidir. WAT çalışma süreçlerinin birçok safhası vardır ama işleyişleri genel olarak ikiye ayrılır; girdi keşfi ve zafiyet analizi.

Fuzz Testing

Bu yazımızda uygulama test tekniklerinden birisi olan fuzz testing (fuzzing) tekniğini ve web uygulamalarına nasıl uygulanabileceğini göreceğiz.

---

Fuzz Testing (Fuzzing)

Bir uygulamada zafiyet tespit edebilmek için uygulamaya rastgele veriler göndererek, uygulamanın farklı isteklere verdiği cevapları analiz etmek isteyebiliriz. Bu rastgele veri gönderme işlemine fuzzing (fuzz testing), bu işlemi yapmaya yarayan araçlara ise fuzzer denilmektedir.

Fuzz testing; test yapılacak uygulamanın arka planında ki işlevsel ve yazılımsal özellikler bilinmediğinden ve gönderilen verilerin uygulamada oluşturduğu etki ve sonuçların analizine dayandığından, uygulama test tekniklerinden black-box kategorisine girmektedir [1,2].

Fuzz testing; yazılım geliştirme ve test süreçlerinde ve ters mühendislik işlemlerinde kullanıldığı gibi, web uygulamalarında zayıflık tespiti veya bilgi toplama amaçlı da kullanılmaktadır. Web uygulamaları için geliştirilmiş olan fuzzing araçlarını (fuzzer) iki kategoride inceleyebiliriz [3];

Web Açıklık Tarayıcıları – Bölüm 2

İlk bakışta ve özellikle demolarda özellikleri ile baş döndüren bu araçlar, yakından tecrübe edildikçe ve üzerinde çalıştıkları teknolojiler/zafiyet detayları öğrenildikçe, başarmaya çalıştıkları görevin çok karmaşık ve zor olmasından, bazı durumlarda beklenildiği gibi çalışmadıkları görülmektedir.

Tekrarlamak gerekirse, bu yazıda otomatik tarayıcıların iddia ettikleri özelliklerin üzerine yoğunlaşılmıştır. İddia etmedikleri özellikler ise başka bir makale konusu olabilir (mesela, kullanıcı profili çapraz testleri, integer overflow, v.b.).

Tarayıcıyı Doğru Yolda Tutmak

Hassas verilerini son kullanıcılardan koruma güvenlik gereksinimi ile yazılan web uygulamaları, kimlik doğrulama ve yetkilendirme adımlarını gerçeklemektedirler. Bu uygulamaları uzaktan denetleyecek tarayıcıların, bu kontrollerden geçip uygulamanın dahili arayüzlerine ulaşması ve uygulamadan çıkmadan ulaşabildiği bütün arayüzleri denetlemesi gerekmektedir.

Tarayıcılar doğru yolda tutunabilmek için bir çok mantıklı seçenek getirmişlerdir; giriş makro kaydedicileri, logout link belirlenmesi, v.b. Bu seçenekler denetlenen uygulamaların çoğunluğunda (ağırlıklı olarak ASP.NET/PHP/ASP) işe yaramakla birlikte, bazı durumlarda yetersiz kalmakta ve taramaların eksik kalmasına neden olmaktadırlar.

Microsoft Security Essentials

Microsoft Security Essentials, Microsoft’tan ücretsiz Anti-virüs Programı

MSE (Microsoft Security Essentials ), Microsoft’un yakın geçmişte (23 haziran 2009) betasını yayınladığı ücretsiz anti-virus programıdır. Windows Live OneCare’in devamı olarak görülen bu program, OneCare’dan farklı olarak en son anti-malware teknolojilerini içerir. Aynı zamanda bilgisayarınızın performansını, malware taraması süresince en üst seviyede tutmayı sağlayan bir uygulamadır.

Kod adı: Morro (MSE)

MSE (Microsoft Security Essentials ), Microsoft’un yakın geçmişte (23 haziran 2009) betasını yayınladığı ücretsiz anti-virus programıdır. Windows Live OneCare’in devamı olarak görülen bu program, OneCare’dan farklı olarak en son anti-malware teknolojilerini içerir. Aynı zamanda bilgisayarınızın performansını, malware taraması süresince en üst seviyede tutmayı sağlayan bir uygulamadır.

Projenin kod adı olan Morro (ingilizcede; tepedeki kale) bu programın dışarıdan gelen saldırılara karşı güçlü bir kale olacağını belirtmiş. Şu anki Beta testleri de bu durumu doğruluyor. Yalnızca Amerika, Çin ve Brezilya’ya açılan beta versiyonunu internet üzerinden edinmek mümkün. Performans, malware bulma ve malware’i etkisiz hale getirmek konularında oldukça iddialı.

Web Güvenliğinde Otomasyon

Bu yazımızda web güvenliği testlerinde otomasyon gereksinimi ve rakamlar ile web uygulaması testleri konularını ele alıyoruz.

Yeni gelen teknolojilerin bir çoğu ilk başlarda çok güvensiz olur. Kimsenin firewall kullanmadığı, kimsenin kablosuz ağına şifre koymadığı, bir exploit’ in internetin 1/4’ ünü etkilediği zamanları görüp geçirdik. Aynı bunun gibi her üç sitenin ikisinde SQL Injection, Cross-site Scripting olduğu günleri de geride bıraktık diyebiliriz.

Tüm ağlar, işletim sistemleri bir gecede güvenli olmadı ama git gide insanların bilinçlenmesi , “firewall”, “otomatik güncelleme” gibi şeylerin standart hale gelmesi ile genel olarak çok daha güvenli sistemler ile karşılaşmaya başladık. Tabii ki bu sistemlerin basit saldırılara karşı güvenli olması tüm güvenlik açıklarının yok olduğu anlamına da gelmiyor, hala güvenlik açıkları var ama daha zor yerlerdeler.

Web de benzer bir geçiş sürecinden nasibini aldı. Daha güvenli web dilleri ortaya çıktı, üç sene önce web geliştiricileri XSS (Cross-site Scripting)’in [1] ne olduğunu bilmiyorken bugün web geliştiricisi olmayan kişiler bile en azından bu konuda bir fikir sahibiler. Tabii ki bu bilinçlenmeye katkıda bulunan tüm XSS ve SQL Injection solucanlarının da hakkını vermemiz lazım, onlar sayesinde bu tip sorunlar medayada kendilerine yer buldular [2].

Güvenlik hakkındaki bu genel bilinçlenme bir çok güvenlik açığının oluşmasına engel olmaya başladı. Artık hiç bir sitenin login formunda SQL Injection bulunmuyor ama hala bir çok web uygulamasında “Nümerik” değerler bekleyen SQL cümleciklerinde data tip kontrolü yerine sadece tek tırnaklardan kaçıldığını görebilirsiniz, mesela şu iki SQL cümleciğine bakalım:

Nessus ve Nikto

Bu yazımızda web uygulama güvenliği denetiminin parlayan iki yıldızı Nessus ve Nikto uygulamalarına değineceğiz.

Giriş

Hemen hemen bütün güvenlik denetimlerinin olmaz ise olmaz adımı hedef sistemler üzerinde keşif gerçekleştirmektir. Hem keşif gerçekleştirmek hem de zafiyet taraması için açık kaynak kod dünyasında bu işlem için kullanılan en popüler araçlardan bir tanesi şüphesiz Nessus’dur.

Hem ticari hem de ücretsiz sürümleri ile bir çok kişi tarafından yaygın bir şekilde kullanılmaktadır.

Nikto Sullo tarafından geliştirilmiş açık kaynak kodlu, ufak ancak hızlı çalışan bir web keşif uygulamasıdır. Kurulum gerektirmeden kolay bir şekilde kullanılabiliyor olması özellikle web güvenlik denetimlerinde tercih edilmesine sebep olmuştur.

Bu yazıda öncelikle Nikto uygulamasının nasıl kullanılabileceğini ardından, Nessus ile entegre biçimde web güvenlik denetimlerinde nasıl kullanılacağı anlatılmaktadır.

Burada anlatılanlar tamamen Unix/Linux sistemlere özeldir. Nessus’un Nikto uygulamasını kullanmak için kullandığı “nikto.nasl” plugini Windows sistemler üzerinde çalışan Nessus, Nikto ile kullanılamaz. Bu makalede RedHat 5.3, Nessus 4.0.1 ve Nikto 2.03 sürümü kullanılmıştır.

Blind SQL Injection

Bir çoğumuz SQL cümlecikleri kullanarak veritabanlarımızda listeleme, güncelleme ve ekleme işlemleri yaparız. Fakat bu kullandığımız SQL cümleciklerinin ne tür sıkıntılar doğurabileceğinin üzerinde pek durmayız. Bir yazılımcı için önemli olan tüm kullanıcı listesini çekmek ise “SELECT * FROM users” yazmaktır. Belli bir numaraya sahip bir kullanıcı çekmek için ise “SELECT * FROM users WHERE UserID=101” yazmak yetecektir. Fakat kullandığımız programlama teknikleri bir kullanıcının bilgilerini çekmek için yazılan SQL cümleciğini çok tehlikeli durumlara sokabilir. Bu aslında bazen kullanılan dilin, bazen de yazılımcının tekniğinin sonucudur. Yine de ucu açık bir tartışma konusu diyebiliriz.

SQL Injection için söylenecekler çok fazla olsa da temel de problemin ortaya çıkış nedeni; cümleciğin herhangi bir yerine eklenen kod parçacıklarıyla farkedilir. Örneğin; “ ` ” gönderip, sonucunun hata dönmesi gibi. Tabi bazen bu hata çıktılarıda işimizi görmeyebilir veya hata dönmeyebilir. Blind hem SQL Injection açığını barındırmasıyla birlikte sonucun her zaman true/false dönmesiyle ilgilenir. Aslında bu açıklığın ciddi bir problem oluşturması temel bir matematik probleminin varlığıyla meydana gelmektedir.

MySQL: Secure Web Apps – SQL Injection techniques

Bu adresten okuyabilirsiniz :

http://docs.google.com/Doc?docid=0ATn5yqW-bnJPZGhtZGNoZjVfNzloamRjeG1mdA&hl=tr

-[ Bilgiler ]———————————————————————–

Title: “MySQL: Secure Web Apps – SQL Injection techniques”

Author: Omni

Website: http://omni.playhack.net

Date: 2009-02-26 (ISO 8601)

Translate : Serhat DÜNDAR ( CWKaradeniz / clbrTR / clbr.fentanyl / FenTanyL etc.. )

———————————————————————————

-[ Özet ]———————————————————————

0×01: Açıklama

0×02: SQL Injection

0×03: Giriş formlarını exploit etmek

0×04: Farklı SQL ifade tiplerini exploit etmek

0×05: Temel Fingerprinting

0×06: Standard Blind SQL Injection

0×07: Çift Sorgu

0×08: Filterelerin Kaçırdıkları

0×09: SQL Injection’dan Korunma

———————————————————————————

—[ 0x01: Açıklama ]

Merhaba, Yine birkaç satır daha yazmak için burada-sizinleyim. Web Uygulama Güvenliği ile ilgili ilgi çekici bir yazı olacağını düşünüyorum. Bu satırların amacı, size SQL İnj. Zaafları hakkında yardımcı olmaktır.

Burada kısa zaman önce bir çok şeyin açıklandığını biliyorum fakat bir çok kişi’den aldığım e-mailler’de kendi kodlarındaki sql inj. açıklarını nasıl bulup-düzelteceklerini soranları gördüm.

Bu yazıyı çok temel bilgilerini anlattığım; “PHP Underground Security” isimli makalenin ikinci bölümü olarak değerlendirebiliriz.

——————————————————————————-[/]

—[ 0x02: SQL Injection]

Bildiğiniz üzere; Web uygulamaları (LAMP mimarisi üzerine kurulmuş web uygulama dilleri) çeşitli verileri barındırmak için (resimler, yazılar, kullanıcı hesapları, kişisel bilgiler vb.) veritabanı kullanmaya ihtiyac duyar.

Web uygulamasıbu bilgilere SQL (Structured Query Language) kullanarak ulaşır.

Bu tipteki uygulamalar; veritabanını sorgulamak için (örnek olarak veritabanından veri çekmek gibi), bir veya birden çok Sql ifadesi inşa eder. Fakat bu sorgu bazen kullanıcı tarafından talep edilecek veri ile ilişkisiz olabilir. (Bunun hakkında biraz düşünün)

Peki ya SQL?

SQL; veritabanı içine kayıt eklemek, değiştirmek, kayıt okumak, düzenlemek için kullanılan bir DML’dir. (Data Manipulation Language)

Belirttiğimiz üzere web uygulamaları kullanıcı-tabanlı (kullanıcının bilgisi dahilinde) sorgu kullanır. Fakat; eğer kullanıcı-tabanlı veri; kullanımdan önce sağlıklı bir şekilde korunmamış ise saldırgana kendi kodunu enjecte etme imkanı sunar.

Güvenlik Riskleri ve Saldırı Yöntemleri

Harun ŞEKER ve Ozan UÇAR tarafından hazırlanan, “Güvenlik Riskleri ve Saldırı Yöntemleri”(Afyon Kocatepe Üniveristesi Bilgi Güvenliği Semineri Sunumu)

DOWNLOAD