``

Paket dinleme nasıl çalışır?

Bilgisayarlar iletişim kurarken veriyi küçük paketlere böler. Her pakette kaynak ve hedef adresleri, kullanılan protokol ve taşınan veri gibi alanlar bulunur. Ağ kartı normalde yalnızca kendisine gönderilen çerçeveleri işler. Promiscuous mode etkinleştirildiğinde ise erişebildiği diğer çerçeveleri de yakalama yazılımına iletebilir.

Yakalanan veri miktarı yaklaşık olarak

şeklinde düşünülebilir. Burada $R$ saniyedeki ortalama trafik miktarını, $t$ dinleme süresini, $D$ ise incelenecek toplam veriyi temsil eder. Yoğun bir ağda kısa süreli kayıtların bile hızla büyümesinin nedeni budur.

Wireshark ile güvenli trafik analizi

Kendi bilgisayarınızda veya izole bir sanal laboratuvarda doğru ağ arayüzü seçilerek kayıt başlatılabilir. Wireshark yüzlerce protokolü tanıdığı için filtre kullanmak önemlidir. Aşağıdaki görüntüleme filtreleri mevcut kayıt içerisindeki paketleri daraltır; yeni bir saldırı gerçekleştirmez:

http

dns

tcp.port == 80

ip.addr == 192.0.2.10

http, şifrelenmemiş HTTP paketlerini; dns, alan adı sorgularını gösterir. tcp.port == 80 belirli bir TCP portuna, ip.addr ise dokümantasyon amacıyla ayrılmış örnek bir IP adresine odaklanır. Bir paket seçildiğinde Ethernet, IP, TCP ve uygulama katmanları ayrı ayrı açılarak başlık bilgileri incelenebilir.

Komut satırında yalnızca kendi arayüzünüzde temel bir protokol özeti görmek için TShark da kullanılabilir:

tshark -i <izinli-arayuz> -f "tcp port 80"

Bu komut HTTP içeriğini değiştirmez; belirtilen arayüzdeki 80 numaralı TCP portuna ait trafiği görüntüler. Yakalama dosyaları hassas bilgi içerebileceğinden paylaşılmadan önce anonimleştirilmelidir.

Ettercap ve ortadaki adam mantığı

MitM saldırısında saldırgan, iki uç arasındaki iletişimin ortasına yerleşmeye çalışır. Yerel ağlarda bunun tarihsel örneklerinden biri, sahte ARP yanıtlarıyla cihazların IP–MAC eşleştirmelerini yanıltmaktır. Trafik saldırgan üzerinden geçerse şifrelenmemiş içerik okunabilir veya değiştirilebilir.

Ettercap bu davranışı eğitim laboratuvarlarında canlandırabilir; ancak aktif ARP manipülasyonu gerçek ağlarda kesintiye, veri ihlaline ve hukuki sonuçlara yol açabilir. Bu nedenle saldırı komutları üretim ağında denenmemeli; yalnızca sahibi olduğunuz, internetten ayrılmış sanal makinelerde ve açık izinle çalışılmalıdır.

Şifreleme neden oyunu değiştirir?

HTTP kullanıldığında istek yolu, başlıklar ve form alanları açık biçimde görülebilir. HTTPS ise uygulama verisini TLS ile şifreler. Dinleyici IP adresleri, portlar ve paket boyutları gibi metaverileri görebilse de içerik uygun anahtar olmadan anlamlı değildir.

Savunma için HTTPS zorunluluğu, güvenli DNS seçenekleri, VPN, dinamik ARP denetimi, istemci izolasyonu ve sertifika uyarılarının ciddiye alınması önemlidir. Wireshark ile olağan dışı ARP yanıtları veya tekrarlanan adres değişimleri araştırılabilir. Kısacası bu araçların en değerli kullanımı başkalarının verisini yakalamak değil, kendi ağımızın hangi koşullarda savunmasız kaldığını görüp şifrelemeyi doğru uygulamaktır.

Bilgi toplama iki ana aileye ayrılır: pasif ve aktif. Pasif toplamada hedef sisteme doğrudan dokunmadan açık kaynaklardan veri çekilir; arama motorları, WHOIS kayıtları, sertifika şeffaflığı kayıtları ve sosyal ağlar buna örnektir. Aktif toplamada ise hedefe paket gönderilir; port taraması, servis sürüm tespiti ve ağ haritalama bu gruba girer. Basit bir zihinsel model kurarsak, görünür risk yaklaşık şöyle düşünülebilir: $R = A \times E \times V$. Burada $A$ saldırı yüzeyi, $E$ erişilebilirlik, $V$ ise zafiyet olasılığıdır. Bilgi toplama, bu üç değişkeni daha net ölçmeye yarar.

Nmap, aktif keşif tarafının İsviçre çakısı gibidir. Bir ağı haritalamak, açık portları görmek ve servislerin sürümlerini tahmin etmek için kullanılır. Örneğin kendi test makinenizde şu komut, yaygın portları ve servis bilgilerini listeler:

nmap -sV -O 192.168.56.10

Burada -sV servis sürüm tespiti yapar, -O işletim sistemi tahminini dener. Sonuçta 22/tcp üzerinde OpenSSH, 80/tcp üzerinde Nginx gibi bilgiler görebilirsiniz. Ancak çıktıyı büyülü kehanet gibi değil, olasılık tablosu gibi okumak gerekir. Nmap paket davranışlarından tahmin yapar; güvenlik duvarları, ters proxyler veya honeypotlar sonuçları yanıltabilir.

Maltego ise ilişkileri görselleştirme konusunda parlıyor. Bir alan adından başlayıp DNS kayıtlarına, alt alan adlarına, e-posta desenlerine, sosyal medya izlerine ve şirket bağlantılarına uzanan bir grafik çıkarabilir. Maltego’nun gücü tek bir veriden çok, düğümler arasındaki ilişkiyi göstermesidir. Örneğin bir e-posta adresinin aynı zamanda sızmış veri kümelerinde, GitHub commitlerinde ve kurum sayfalarında görünmesi, savunma ekibine farkındalık eğitimi veya erişim politikası açısından sinyal verebilir.

Recon-ng, terminal sevenler için modüler bir OSINT çatısıdır. Metasploit benzeri bir çalışma akışı vardır: workspace oluştur, modül seç, kaynak ekle, sonucu tabloya yaz. Kendi alan adınız üzerinde pasif keşif yaparken şöyle bir akış kullanılabilir:

recon-ng
workspaces create lab
marketplace search domains
modules load recon/domains-hosts/hackertarget
options set SOURCE example.com
run
show hosts

Bu komutlar, seçilen modül destekliyorsa example.com için host kayıtlarını toplar ve veritabanında saklar. Recon-ng’nin güzel tarafı, çıktıları düzenli tutmasıdır; böylece bulunan alt alan adlarını daha sonra Nmap ile doğrulayabilir veya Maltego grafiğine aktarabilirsiniz.

Pratikte iyi bir bilgi toplama süreci sırayla ilerler: kapsamı belirle, pasif kaynaklardan veri topla, veriyi temizle, aktif taramayı yalnızca izinli aralıkta çalıştır, sonuçları ilişkilendir ve raporla. En sık yapılan hata, araç çıktısını doğrudan gerçek kabul etmektir. Oysa aynı IP üzerinde CDN, paylaşımlı hosting veya bulut yük dengeleyici olabilir. Bu yüzden her bulguya güven puanı vermek faydalıdır: $G = \frac{D}{T}$ gibi basit bir oran düşünebiliriz; burada $D$ doğrulanan kaynak sayısı, $T$ toplam iddia sayısıdır.

Sonuç olarak Nmap sana teknik kapıları, Maltego ilişkisel haritayı, Recon-ng ise tekrarlanabilir OSINT akışını sunar. Üçünü birlikte kullandığında hedefin dijital siluetini daha net görürsün. Ama unutma: iyi bir güvenlik uzmanını araç listesi değil, etik sınırları, metodolojisi ve bulguları doğru yorumlama becerisi güçlü yapar.

Kali’nin Vizyonu: Araç Değil, Metodoloji

Kali Linux’u güçlü yapan şey yalnızca içinde yüzlerce aracın gelmesi değildir. Asıl değer, bu araçların keşif, analiz, doğrulama ve raporlama gibi aşamalı bir güvenlik metodolojisine hizmet etmesidir. Etik hacking, teknik beceri kadar sınır bilinci de ister. Çünkü aynı komut, izinli bir laboratuvarda savunma; izinsiz bir sistemde suç anlamına gelebilir.

Siber güvenlikte temel risk modeli genellikle şöyle düşünülür: $Risk = Olasılık \times Etki$. Bir güvenlik uzmanı, bir zafiyetin gerçekleşme olasılığını ve gerçekleşirse doğuracağı etkiyi analiz eder. Kali bu süreçte büyüteç gibidir: Sistemdeki zayıf noktaları görünür kılar; fakat ne yapılacağına etik ilkeler karar verir.

Ofansif Güvenlik Neden Gereklidir?

Savunma yalnızca duvar örmek değildir; o duvarın nereden yıkılabileceğini de anlamaktır. Ofansif güvenlik, saldırgan bakış açısını taklit eder ama zarar verme niyeti taşımaz. Bu yaklaşım, “düşman gibi düşün, koruyucu gibi davran” prensibine dayanır.

Bir kurumun güvenliği, sadece antivirüs veya güvenlik duvarı kullanmasıyla ölçülmez. Yanlış yapılandırılmış servisler, zayıf parolalar, güncellenmemiş yazılımlar ve bilinçsiz kullanıcı davranışları saldırı yüzeyini büyütür. Bu yüzeyi teorik olarak $A$ ile temsil edersek, hedef $A$ değerini küçültmektir. Daha az açık servis, daha az gereksiz yetki ve daha iyi izleme; daha düşük risk demektir.

Etik Hacking’in Altın Kuralları

Etik hacking’in kalbinde izin vardır. Yazılı kapsam olmadan yapılan test, teknik olarak başarılı olsa bile profesyonel değildir. Bu nedenle bir güvenlik çalışması başlamadan önce kapsam, süre, hedef sistemler, veri hassasiyeti ve raporlama biçimi netleştirilmelidir.

Kali ile Güvenli Laboratuvar Mantığı

Kali öğrenmenin en sağlıklı yolu, izole bir laboratuvar kurmaktır. Sanal makineler, bilerek zayıf bırakılmış eğitim sistemleri ve yerel ağ simülasyonları bu iş için idealdir. Böylece gerçek dünyadaki kavramları hukuki risk almadan deneyimlersin.

Aşağıdaki örnek, bir test çalışmasına başlamadan önce basit bir günlük dosyası oluşturarak disiplinli kayıt tutma alışkanlığını gösterir. Buradaki amaç saldırı yapmak değil, profesyonel süreç yönetimini anlamaktır.

#!/bin/bash
# Etik test oturumu için basit kayıt başlangıcı
# Yalnızca izinli laboratuvar ortamlarında kullanılmalıdır

LOG='test-oturumu.log'
echo 'Etik güvenlik testi başlatıldı' >> $LOG
date >> $LOG
echo 'Kapsam: yerel laboratuvar ağı' >> $LOG
echo 'Amaç: yapılandırma hatalarını belgelemek' >> $LOG

Bu küçük betik bile önemli bir fikri anlatır: Profesyonel güvenlik çalışması iz bırakır, kayıt tutar ve hesap verebilir olur. Etik hacker’ın farkı, yalnızca bulmak değil; bulduğunu sorumlu biçimde yönetmektir.

“Araç Çalıştırmak” ile “Uzmanlık” Arasındaki Fark

Kali’de bir aracın çıktısını görmek kolaydır; zor olan çıktıyı yorumlamaktır. Bir portun açık olması tek başına zafiyet değildir. Bir yazılım sürümü eski görünebilir ama arka port yamalarıyla güvenli hale getirilmiş olabilir. Bu yüzden uzman, her bulguyu bağlam içinde değerlendirir.

Burada analitik düşünme devreye girer. Bir bulgunun değeri; doğrulanabilirlik, sömürülebilirlik ve iş etkisiyle birlikte ele alınır. Yani güvenlik uzmanı sadece “ne buldum?” diye sormaz; “bu bulgu gerçekten ne kadar önemli ve nasıl güvenli biçimde düzeltilir?” diye sorar.

Sonuç: Kali Bir Pusula, Etik ise Haritadır

Kali Linux, siber güvenlik uzmanına saldırganın gözlüğünü ödünç verir; fakat yönü etik belirler. Amaç sistemleri kırmak değil, kırılmadan önce güçlendirmektir. Bu nedenle Kali öğrenmek, komut ezberlemekten çok daha fazlasıdır: risk modellemeyi, kapsam yönetimini, raporlamayı, sorumluluğu ve hukuki sınırları kavramaktır.

Doğru felsefeyle kullanıldığında Kali, dijital dünyanın yangın tatbikatı gibidir. Bir kriz çıkmadan önce zayıf noktaları gösterir, ekipleri hazırlar ve güvenliği ölçülebilir hale getirir. Kısacası etik hacking, teknolojinin karanlık tarafı değil; bilinçli savunmanın en parlak araçlarından biridir.

Kurulum Mantığı: İşletim Sistemi Nereye Yaşar?

Bir işletim sistemi çalışırken çekirdek, dosya sistemi, kullanıcı alanı programları ve donanım sürücülerini birlikte yönetir. Kalıcı kurulumda bu bileşenler diskteki bölümlere yazılır. Live kullanımda ise sistem çoğunlukla USB’den okunur ve RAM üzerinde çalışır.

Basitçe düşünürsek performans ve kalıcılık ilişkisi şöyle modellenebilir: $Deneyim = f(Hız, Kalıcılık, Taşınabilirlik)$. Kalıcı kurulumda $Hız$ ve $Kalıcılık$ artarken, live sistemde $Taşınabilirlik$ ve iz bırakmama avantajı öne çıkar.

ISO Dosyasını Doğrulamak

Kuruluma başlamadan önce Kali ISO dosyasının bozulmadığını doğrulamak önemlidir. Hash kontrolü, dosyanın parmak izi gibidir. Eğer indirilen dosyanın özeti beklenen değerle aynıysa, $H_{indirilen} = H_{resmi}$ koşulu sağlanır.

sha256sum kali-linux.iso

Bu komut ISO dosyasının SHA-256 özetini üretir. Kali’nin resmi sitesindeki değerle karşılaştırarak indirme sırasında hata veya oynama olup olmadığını anlayabilirsin.

Live USB Hazırlama

Live USB için en pratik araçlar Rufus, Balena Etcher veya Linux tarafında dd komutudur. dd güçlüdür ama dikkatsiz kullanılırsa yanlış diski silebilir; yani Linux dünyasının motorlu testeresi diyebiliriz.

sudo dd if=kali-linux.iso of=/dev/sdX bs=4M status=progress oflag=sync

Burada if kaynak ISO dosyasını, of hedef USB aygıtını belirtir. /dev/sdX yerine doğru USB aygıtı yazılmalıdır. Bu komut ISO içeriğini USB’ye ham biçimde yazar ve USB’yi önyüklenebilir hale getirir.

Live Sistem Kullanımı

Bilgisayarı USB’den başlatmak için BIOS veya UEFI menüsünden boot sırası değiştirilir. Kali açılış menüsünde Live seçeneği seçildiğinde sistem RAM üzerinde çalışır. Bu modda yaptığın çoğu değişiklik yeniden başlatınca kaybolur. Bu, gizemli bir ninja gibi gelip gitmek isteyenler için idealdir.

Ancak bazı durumlarda notları, araç ayarlarını veya raporları saklamak isteyebilirsin. Bunun için persistence bölümü oluşturulur. Mantık şudur: sistem live çalışır ama belirli bir USB bölümü kalıcı depo gibi bağlanır.

Kalıcı Kurulum Süreci

Kalıcı kurulumda Kali disk üzerine yazılır. Bu yöntem sanal makinede ya da ayrı bir test bilgisayarında daha güvenlidir. Kurulum adımları genel olarak dil, klavye, ağ, kullanıcı, disk bölümlendirme ve önyükleyici seçiminden oluşur.

Disk bölümlendirme en kritik aşamadır. Tüm diski kullan seçeneği basittir ama mevcut verileri silebilir. Çift işletim sistemi kurulacaksa boş alan ayırmak gerekir. Linux tarafında temel bölümler genelde kök dizin /, isteğe bağlı /home ve takas alanıdır. Takas için eski pratik kural $Swap \approx RAM$ olsa da modern sistemlerde kullanım senaryosu daha belirleyicidir.

lsblk

Bu komut diskleri ve bölümleri listeler. Kurulumdan önce hangi diskin hangisi olduğunu görmek için çok faydalıdır. Yanlış diske kurulum yapmak, kahveyi klavyeye dökmek kadar üzücü olabilir.

Hangisini Seçmeli?

Eğer Kali’yi öğreniyor, araçları düzenli kullanıyor ve laboratuvar ortamı kuruyorsan kalıcı kurulum veya sanal makine daha konforludur. Eğer amacın taşınabilir analiz, geçici oturum veya ana sisteme dokunmadan deneme yapmaksa Live USB daha akıllıca olabilir.

Özetle: kalıcı kurulum ev kurmak, Live USB ise kamp çadırı taşımak gibidir. Ev rahattır ama yer ister; çadır hafiftir ama her sabah yeniden toparlanırsın. En güvenli başlangıç ise çoğu kullanıcı için sanal makine ya da Live USB ile deneme yapmak, ardından ihtiyaç netleşince kalıcı kuruluma geçmektir.

``

Hash şifreleme değildir

Şifreleme, doğru anahtarla geri çevrilebilir. Güvenli bir parola özeti ise tek yönlüdür: Araçlar özeti matematiksel olarak “çözmez”; olası parolaları deneyerek eşleşme arar. Basitleştirilmiş süreç şöyledir:

Burada $p$ parola, $s$ salt ve $H$ özetleme veya parola türetme fonksiyonudur. Bir aday $p’$ için $H(p’,s)=h$ olduğunda parola bulunmuş sayılır. Salt, aynı parolaların farklı özetler üretmesini sağlar ve önceden hazırlanmış gökkuşağı tablolarının etkisini azaltır.

Bir saldırının yaklaşık süresi şu şekilde düşünülebilir:

$N$ aday sayısını, $R$ ise saniyede denenebilen aday sayısını gösterir. Sekiz karakterli ve 62 sembollü bir uzayda $N=62^8$ olur. Hızlı algoritmalar saldırganın işini kolaylaştırırken Argon2id gibi bilinçli olarak yavaş ve bellek maliyetli fonksiyonlar deneme hızını düşürür.

Güvenli bir laboratuvar

Aşağıdaki örnekler yalnızca kendi ürettiğiniz deneme verileri için kullanılmalıdır. Önce zararsız bir laboratuvar parolasının SHA-256 özetini oluşturalım:

printf 'Laboratuvar42!' | sha256sum

Çıktıdaki özet değerini hash.txt dosyasına, içinde Laboratuvar42! satırı bulunan küçük eğitim listesini ise adaylar.txt dosyasına kaydedebilirsiniz. Hashcat ile sözlük denetimi:

hashcat -m 1400 -a 0 hash.txt adaylar.txt

Burada -m 1400 SHA-256 türünü, -a 0 sözlük modunu belirtir. John the Ripper için dosya biçimini açıkça seçmek yanlış algılama riskini azaltır:

john --format=raw-sha256 --wordlist=adaylar.txt hash.txt
john --show --format=raw-sha256 hash.txt

İlk komut adayları karşılaştırır, ikincisi laboratuvarda bulunan eşleşmeyi gösterir. Gerçek parola verilerini çevrim içi hizmetlere yüklememek, deneme dosyalarını iş bitince silmek ve sonuçları yetkilendirilmiş raporlarda tutmak önemlidir.

Araçların rolleri

Başarıyla bulunan parola, aracın “sihirli” olduğunu değil, parolanın tahmin edilebilir veya saklama yönteminin yetersiz olduğunu gösterir. Savunmada Argon2id, scrypt ya da bcrypt gibi uygun maliyet parametrelerine sahip fonksiyonlar; benzersiz salt, parola yöneticisi, uzun ve benzersiz parolalar, hız sınırlaması ve çok faktörlü kimlik doğrulama birlikte kullanılmalıdır. Ayrıca eski MD5 ve SHA-1 özetleri yalnızca yeniden hashlenmemeli; kullanıcı doğrulandıktan sonra modern algoritmaya güvenli biçimde taşınmalıdır. En iyi parola kırma deneyi, sonunda daha sağlam bir sistemi doğuran deneydir.

``

İstismar sürecinin teorik temeli

Bir istismar, hedef yazılımdaki hatayı sistem davranışını değiştirmek için kullanır. Basitleştirilmiş risk modeli şöyle düşünülebilir:

Burada $O$ zafiyetin oluşma olasılığını, $E$ istismar edilebilirliği, $I$ ise muhtemel etkiyi temsil eder. Metasploit çoğunlukla $E$ değerinin pratik olarak doğrulanmasına yardımcı olur. Başarılı bir sonuç, riskin otomatik olarak kritik olduğu anlamına gelmez; erişilen yetki, ağ konumu ve veri etkisi ayrıca değerlendirilmelidir.

Metasploit ekosisteminin temel parçaları şunlardır:

Exploit kapıyı açan mekanizma, payload ise kapı açıldıktan sonra yapılacak iştir. Bu ayrım, yanlış payload seçildiğinde exploit doğru olsa bile neden oturum alınamadığını açıklar.

Güvenli laboratuvarın hazırlanması

Testler yalnızca açık izin bulunan sistemlerde gerçekleştirilmelidir. Örnek senaryoda saldırı makinesi olarak Kali Linux, hedef olarak özellikle savunmasız bırakılmış Metasploitable 2 kullanılabilir. İki sanal makineyi host-only ağa bağlamak, internet erişimini kapatmak ve işlem öncesinde anlık görüntü almak önemlidir.

Aşağıdaki komut Metasploit konsolunu başlatır:

msfconsole

Hedef laboratuvarda eski vsftpd 2.3.4 servisi bulunduğu önceden doğrulanmışsa ilgili eğitim modülü incelenebilir:

search vsftpd 2.3.4
use exploit/unix/ftp/vsftpd_234_backdoor
info
show options

search uygun modülleri listeler, use modülü seçer, info açıklama ve referansları gösterir. Modülü hemen çalıştırmak yerine dokümantasyonu okumak; desteklenen sürümü, yan etkileri ve gerekli seçenekleri anlamayı sağlar.

Kontrollü doğrulama

Yalnızca izole hedefin IP adresi tanımlanır. Aşağıdaki adres örnektir ve özel laboratuvar aralığındadır:

set RHOSTS 192.168.56.20
set RPORT 21
check
run

check, modül destekliyorsa hedefin istismara uygunluğunu oturum açmadan değerlendirmeye çalışır. run ise istismarı başlatır. Başarılı bir kabuk oluştuğunda kapsamı büyütmeden yalnızca kimlik doğrulaması yapılabilir:

id
uname -a
exit

Bu komutlar erişilen kullanıcıyı ve işletim sistemi bilgisini gösterir; veri değiştirmez. Kanıt için zaman damgası, modül adı, hedef sürümü ve elde edilen yetki seviyesi kaydedilmelidir. Parola dosyalarını okumak, kalıcılık kurmak veya başka sistemlere sıçramak doğrulama için gerekli değildir.

Sonuçların yorumlanması

Başarısızlık da değerlidir: servis yamalı olabilir, sürüm tespiti hatalı çıkabilir veya ağ filtresi bağlantıyı engelleyebilir. Bulguda kullanılan modül, ön koşullar, gözlenen çıktı, etki ve düzeltme önerisi açıkça yazılmalıdır. Son aşamada oturumlar kapatılmalı, sanal makine anlık görüntüye döndürülmeli ve kayıtlar güvenli biçimde saklanmalıdır. Metasploit’in gerçek gücü “tek tuşla saldırı” değil; tekrarlanabilir, ölçülebilir ve etik sınırlar içindeki güvenlik doğrulamasıdır.

Proxy mantığı basittir: Tarayıcınız isteği doğrudan sunucuya göndermek yerine Burp veya ZAP’a yollar. Araç, isteği yakalar, başlıkları, çerezleri, gövdeyi ve parametreleri gösterir. İsterseniz isteği değiştirmeden geçirir, isterseniz test ortamında varyasyonlar deneyerek uygulamanın davranışını gözlemlersiniz. Bu, yazılımcı için adeta “HTTP mikroskobu”dur.

Web güvenliğinde risk çoğu zaman şu sezgisel modelle düşünülür: $Risk = Olasılık \times Etki$. Bir açık çok kolay tetikleniyor ama etkisi düşükse orta risk olabilir; nadir tetiklenen fakat veritabanı sızıntısına yol açan bir hata ise kritik sayılabilir. Proxy araçları bu iki değişkeni ölçmemize yardım eder: Hata tekrar üretilebiliyor mu, hangi veri etkileniyor, kimlik doğrulama atlanıyor mu?

SQL enjeksiyonunun kökü, kullanıcı girdisinin SQL komutunun parçası gibi ele alınmasıdır. Yani veri ile komut ayrımı kaybolur. Güvensiz bir yaklaşım şu şekilde görünür:

// Eğitim amaçlı kötü örnek: kullanıcı girdisi sorguya doğrudan ekleniyor
const userId = req.query.id;
const sql = 'SELECT * FROM users WHERE id = ' + userId;
db.query(sql);

Burada uygulama, id değerinin gerçekten sayı olduğunu varsayar. Oysa güvenli tasarımda sorgu şablonu ile veri ayrı taşınmalıdır:

// Daha güvenli yaklaşım: parametreli sorgu
const userId = req.query.id;
const sql = 'SELECT * FROM users WHERE id = ?';
db.query(sql, [userId]);

Parametreli sorgular, veriyi komut olarak yorumlamaz. Ek olarak giriş doğrulama, en az yetkili veritabanı kullanıcısı, ayrıntılı hata mesajlarını kapatma ve log analizi savunmayı güçlendirir.

XSS tarafında problem, kullanıcının sağladığı verinin HTML, JavaScript veya URL bağlamında güvenli biçimde kodlanmadan sayfaya basılmasıdır. Saklanan XSS yorum alanında kalıcı olabilir; yansıyan XSS URL parametresinden dönebilir; DOM tabanlı XSS ise tarayıcıdaki JavaScript’in veriyi yanlış işlemesiyle doğar.

Burp veya ZAP ile iyi bir analiz akışı şöyle kurulabilir: Önce uygulamada normal kullanıcı gibi gezinip trafik haritası çıkarılır. Sonra pasif bulgular incelenir: eksik güvenlik başlıkları, güvensiz çerez bayrakları, fazla konuşkan hata mesajları. Ardından yalnızca test ortamında, belirli parametrelerin sunucu davranışını nasıl değiştirdiği gözlenir. Bulgular “kanıt, etki, çözüm” formatında raporlanır.

Mimari açıdan en önemli ders şudur: Güvenlik, sonradan eklenen bir eklenti değil, veri akışının tasarım ilkesidir. Her giriş şüphelidir, her çıktı bağlama göre kodlanmalıdır, her erişim sunucuda doğrulanmalıdır. Proxy araçları ise bu prensiplerin gerçekten uygulanıp uygulanmadığını görmemizi sağlayan eğlenceli ama ciddi laboratuvar arkadaşlarıdır.

Zafiyet Analizi Tam Olarak Neyi Ölçer?

Zafiyet, bir varlığın tehdit tarafından istismar edilebilecek zayıf noktasıdır. Bu bir eski OpenSSL sürümü, yanlış yapılandırılmış SSH servisi, varsayılan parola, açık bir yönetim paneli veya eksik güvenlik yaması olabilir. Tarayıcılar genellikle şu mantıkla çalışır: önce hedefi keşfeder, portları ve servisleri belirler, servis sürümlerini parmak iziyle tanır, sonra bunları CVE veritabanları ve test eklentileriyle eşleştirir.

Basit risk düşüncesi şu formülle özetlenebilir: $Risk = Olasılık \times Etki$. CVSS puanı da bu fikri standardize eder. Örneğin CVSS 9.8 olan uzaktan kod çalıştırma açığı, CVSS 4.3 olan bilgi sızıntısından genellikle daha acildir. Ancak bağlam kritiktir: internete açık bir düşük puanlı açıklık, iç ağdaki yüksek puanlı ama erişilemeyen açıklıktan daha riskli olabilir.

Nessus ve OpenVAS: İki Popüler Tarayıcı

Nessus, ticari dünyada güçlü eklenti ekosistemi ve kullanıcı dostu raporlarıyla bilinir. OpenVAS, Greenbone Community Edition altında açık kaynak yaklaşımıyla öne çıkar. İkisi de tarama profilleri, kimlik bilgili tarama, raporlama ve zafiyet doğrulama özellikleri sunar.

Tarama Süreci Nasıl İlerler?

Tipik akış dört adımdır: kapsam belirleme, tarama, doğrulama ve iyileştirme. Kapsamda hangi IP aralıklarının, alan adlarının veya uygulamaların taranacağı netleştirilir. İzinsiz tarama hukuki ve etik sorun doğurur; bu yüzden her zaman yazılı izin ve zaman penceresi belirlenmelidir.

Kimlik bilgili tarama özellikle değerlidir. Tarayıcı sisteme SSH, WinRM veya agent benzeri yöntemlerle giriş yapabildiğinde yalnızca dışarıdan görünen servisleri değil, kurulu paketleri, eksik yamaları ve yerel yapılandırmaları da denetler. Bu, röntgen ile fotoğraf arasındaki fark gibidir.

Raporları Makineyle Okumak

Tarayıcıların CSV veya XML raporları otomasyon için harika malzemedir. Aşağıdaki Python örneği, CSV raporundaki bulguları CVSS puanına göre sıralar ve kritik olanları öne çıkarır. Amaç saldırı yapmak değil, iyileştirme kuyruğunu yönetmektir.

import csv

with open('vulnerability_report.csv', newline='', encoding='utf-8') as f:
    rows = list(csv.DictReader(f))

findings = []
for row in rows:
    cvss = float(row.get('CVSS', 0) or 0)
    findings.append({
        'host': row.get('Host'),
        'name': row.get('Name'),
        'cvss': cvss,
        'solution': row.get('Solution')
    })

for item in sorted(findings, key=lambda x: x['cvss'], reverse=True):
    if item['cvss'] >= 7.0:
        print(f"[{item['cvss']}] {item['host']} - {item['name']}")

Bu kod, güvenlik ekibinin önce yüksek riskli bulgulara odaklanmasına yardım eder. Gerçek ortamda buna varlık kritiklik değeri de eklenebilir: $Öncelik = CVSS \times VarlıkKritikliği$. Böylece ödeme sistemi ile test sunucusu aynı kefeye konmaz.

İyi Analizin Sırrı: Tarayıcıya Körü Körüne Güvenmemek

Zafiyet tarayıcıları çok güçlüdür ama sihirli değnek değildir. Yanlış pozitifler, eksik envanter, kapalı portlar, WAF etkisi veya hatalı kimlik bilgileri sonuçları bozabilir. Bu yüzden raporlar mutlaka doğrulanmalı, iş etkisiyle yorumlanmalı ve düzeltmeler yeniden taramayla teyit edilmelidir.

Sonuç olarak Nessus ve OpenVAS, güvenlik açıklarını görünür kılan radar sistemleridir. Radar düşmanı durdurmaz; ama nereden geldiğini gösterir. Düzenli tarama, doğru önceliklendirme ve disiplinli iyileştirme döngüsüyle zafiyet analizi, kurum güvenliğinin en pratik ve ölçülebilir alışkanlıklarından biri haline gelir.

Bir fonksiyonu $f(x)$ gibi düşünelim. Test yazarken aslında belirli girdiler için şu önermeyi kontrol ederiz: $f(girdi) = beklenen_çıktı$. Örneğin indirim hesaplayan bir fonksiyonda $f(100, 0.2) = 80$ olmalıdır. Eğer bu önerme bozulursa test kırmızıya döner ve bize şunu söyler: Kodun davranışı ile beklentin aynı evrende yaşamıyor.

Birim testlerinde yaygın desen Arrange-Act-Assert üçlüsüdür. Önce ortamı hazırlarız, sonra fonksiyonu çalıştırırız, en sonunda sonucu doğrularız. Python ve pytest ile küçük ama anlamlı bir örnek görelim:

def calculate_discount(price, rate):
    if price < 0:
        raise ValueError('price cannot be negative')
    if not 0 <= rate <= 1:
        raise ValueError('rate must be between 0 and 1')
    return price * (1 - rate)


def test_calculate_discount_normal_case():
    # Arrange
    price = 100
    rate = 0.25

    # Act
    result = calculate_discount(price, rate)

    # Assert
    assert result == 75


def test_calculate_discount_rejects_negative_price():
    import pytest
    with pytest.raises(ValueError):
        calculate_discount(-10, 0.2)

Bu testler sadece normal senaryoyu değil, hata senaryosunu da kontrol eder. İyi test yazmanın püf noktası, mutlu yol kadar mutsuz yolları da düşünmektir. Çünkü kullanıcılar her zaman bizim hayal ettiğimiz gibi davranmaz; bazen eksi fiyat girerler, bazen yüzde 400 indirim isterler, bazen de sistemin sabrını sınarlar.

Test kapsamı konuşulurken sıkça coverage oranı gündeme gelir. Diyelim ki projenizde 100 satır çalıştırılabilir kod var ve testler 85 satırı çalıştırıyor. Kapsam yaklaşık $Coverage = \frac{85}{100} \times 100 = 85\%$ olur. Ancak dikkat: Yüksek coverage, kaliteli test anlamına her zaman gelmez. Bir satırı çalıştırmak başka, onun doğru davrandığını doğrulamak başkadır.

Gelelim profil analizine. Kod doğru olabilir ama yavaşsa kullanıcı yine mutsuz olur. Python’da cProfile, hangi fonksiyonun kaç kez çağrıldığını ve toplamda ne kadar süre harcadığını gösterir:

import cProfile

def slow_sum(numbers):
    total = 0
    for number in numbers:
        total += number
    return total

if __name__ == '__main__':
    data = range(10_000_000)
    cProfile.run('slow_sum(data)')

Bu çıktı bize darboğazları gösterir. Performans analizinde önemli olan tahminle değil ölçümle hareket etmektir. Çünkü geliştiricinin iç sesi çoğu zaman dramatiktir: “Kesin şu döngü yavaş!” Profil aracı ise sakin bir şekilde “Hayır dostum, asıl sorun veritabanı çağrısında” diyebilir.

Birim testleri ve profil araçları birlikte kullanıldığında güvenli refactoring mümkün olur. Önce testlerle davranışı sabitlersin, sonra profille yavaş noktaları bulursun, ardından kodu iyileştirirsin. Son adımda testleri tekrar çalıştırırsın. Eğer testler yeşilse ve profil daha iyiyse, kodun hem doğru hem de daha fit hale gelmiştir.

Özetle, test yazmak zaman kaybı değil, gelecekteki panik anlarına yapılan yatırımdır. Profil analizi de optimizasyonu falcılıktan çıkarıp mühendisliğe dönüştürür. Koduna küçük bir laboratuvar kur: testlerle doğrula, profille ölç, sonra gönül rahatlığıyla geliştir.

Temel kavram akıştır. Akış, verinin bir kaynaktan hedefe sıralı şekilde aktığı soyut kanaldır. Dosya, terminal, ağ soketi veya bellek tamponu birer akış gibi düşünülebilir. Matematiksel olarak okuma maliyetini basitçe şöyle düşünebiliriz: $T = \frac{B}{R} + L$. Burada $B$ taşınan bayt sayısı, $R$ aktarım hızı, $L$ ise gecikmedir. Küçük küçük binlerce okuma yapmak $L$ değerini tekrar tekrar ödetir; parçalı ama dengeli okumak genelde daha verimlidir.

Metin dosyalarında kodlama konusu da kritik. UTF-8 bugün varsayılan kahramanımızdır; Türkçe karakterlerin bozulmaması için dosya açarken kodlamayı açıkça belirtmek iyi alışkanlıktır. İkili dosyalarda ise karakter değil bayt okuruz; resim, ses veya sıkıştırılmış dosyalar bu kategoriye girer.

Aşağıdaki örnek, bir JSON ayar dosyasını okumayı; dosya yoksa varsayılan içerikle oluşturmayı gösterir:

from pathlib import Path
import json

path = Path('ayarlar.json')

try:
    with path.open('r', encoding='utf-8') as f:
        config = json.load(f)
except FileNotFoundError:
    config = {'tema': 'dark', 'sayfa_boyutu': 20}
    with path.open('w', encoding='utf-8') as f:
        json.dump(config, f, ensure_ascii=False, indent=2)

print(config['tema'])

Burada with bloğu çok önemlidir. Dosyayı açar, iş bitince otomatik kapatır. Eğer istisna oluşursa bile kaynak sızıntısı yaşanmaz. Bu fikir genelde RAII veya context management mantığıyla açıklanır: Kaynağı kim aldıysa, düzenli biçimde geri bırakmalıdır.

Yazma işlemlerinde bir başka hassas konu atomikliktir. Program dosyayı yazarken çökerse yarım kalmış, bozuk bir dosya bırakabilir. Daha güvenli yaklaşım önce geçici dosyaya yazmak, sonra hedef dosyayla atomik olarak değiştirmektir.

from pathlib import Path
import os, tempfile

def guvenli_yaz(hedef: Path, veri: str):
    klasor = hedef.parent
    with tempfile.NamedTemporaryFile('w', encoding='utf-8', dir=klasor, delete=False) as tmp:
        tmp.write(veri)
        tmp.flush()
        os.fsync(tmp.fileno())
        gecici_ad = tmp.name
    os.replace(gecici_ad, hedef)

guvenli_yaz(Path('rapor.txt'), 'Merhaba dosya sistemi!')

flush() veriyi kullanıcı alanı tamponundan işletim sistemine iter; fsync() ise diske yazılmasını daha güçlü biçimde talep eder. Her zaman gerekli değildir, çünkü pahalıdır; ama para transferi, kritik ayar veya işlem günlüğü gibi durumlarda değerlidir.

Son olarak, dosya yolu güvenliğini unutmayın. Kullanıcıdan gelen dosya adını doğrudan birleştirmek path traversal gibi sorunlara yol açabilir. Ayrıca eşzamanlı çalışan programlarda kilitleme, izinler ve yarış koşulları düşünülmelidir. Kısacası dosya I/O, basit bir kapı kolu gibi görünür; ama arkasında bellek yönetimi, işletim sistemi çağrıları ve veri bütünlüğüyle dolu koca bir makine odası vardır. Doğru akış modelini seçerseniz, veriniz de programınız da huzurla yaşar.