BTP241 ÖDEV TESLİM FORMU

1. ÖN HAZIRLIK VE EĞİTİM SÜRECİ

İnceleme süresinde öncelikle IBM Siber Güvenlik Analisti Profesyonel Sertifika eğitimine başladım. Eğitime başlamadan önce bu eğitimden beklentim bana direkt teknik eğitim vereceğini düşünmüştüm sonrasında eğitimde siber güvenlik sektörünün meslek tanımları ve iş tanımlarıyla başladığını gördüm.

Sonrasında bir yandan sertifika eğitimime devam ederken bir taraftan ödev için teknik eğitim olması amacıyla Türkçe kaynaklar araştırdım. Youtube’da "Sixpon" isimli bir kanalla karşılaştım. Buradan Nmap eğitim videolarını izledim. Bir yandan da Nmap dökümantasyonlarını inceleyip Nmap komutlarını ve parametreleri öğrenmeye başladım.

2. REFERANS TARAMASI VE AĞ HARİTALANDIRMA

Hedef sistemi laboratuvar ağına bağlamadan önce, ağın mevcut durumunu anlamak için bir Referans Taraması gerçekleştirdim. Bu aşamada netdiscover ve arp-scan araçlarını kullanarak ağdaki sabit cihazları, öğrenci bilgisayarlarını ve genel ağ trafiğini haritalandırdım. Bu sayede, ağın kalabalığı içinde hangilerinin "bizden", hangilerinin ise sonradan eklendiğini ayırt edebilecektim.

Arp-scan, Masscan, Rustscan ile tanışma hikayem Referans Taraması sürecinde başladı.
Çünkü okul ağında anlık olarak değişmeyle birlikte çok fazla cihaz vardı. Nmap kullanarak detaylı tarama yapamıyordum. Raporun geri kalanında da bahsedeceğim alt ağ maskesi problemimin bu sıralar farkında değildim. Taramalarımı genel olarak 10.10.216.0/24 şeklinde yapıp 216.xx kısmına yoğunlaşıyordum, hiçbir şekilde 217 ve 218 kısımlarına bakmıyordum (eth0 localnet taramalarını henüz öğrenmemiştim).

Her seferinde Kali Linux sanal sunucumun IP'si 10.10.216.xx bandına düşmediği zaman MAC adresimi sıfırlayıp yeniden IP alıyordum. Bir aylık süreçte her gün 4-5 defa MAC adresi değiştirdiğim oluyordu.

3. KARŞILAŞILAN ZAFİYETLER

Bu süreçte bazı zafiyet açıklarına şahit oldum:

• Yazıcılar: Okuldaki bütün yazıcılar korunmasızca duruyordu, istediğim yazıcıdan istediğim çıktıyı alabiliyor, loglarına erişim sağlayabiliyordum.
• MSSQL Sunucusu: Karşılaştığım bir diğer zafiyet açığı ise veri tabanı yönetim sistemleri dersinde kullandığımız MSSQL sunucusundaydı. 1433 Portu Open gördüğüm Windows cihazlarına Hydra aracı ile tek tek MSSQL bağlantısı denedim.
  • Kullanıcı adı: sa
  • Şifre: 123
  Şeklinde sunucuya erişim sağladım. Hocamıza durumu bildirdim, "içerde şu anda kendi kullanıcım var" dedim.

4. KULLANILAN ARAÇLAR VE YÖNTEMLER

Hazırlık süresince kullandığım cihazlardan öncelik hiyerarşisi şu şekildeydi:
Nmap > Arpscan > Rustscan > Masscan > Netdiscover > fping > Legion > Wireshark

Araç Notları: Araçlar arasında Wireshark'ı proje amaçlı çok fazla kullanamadım. Çünkü hedef cihaz kurulduktan sonra ne Legion ile anlık monitörle takip etmeme ne de Wireshark ile ağı dinlememe gerek kalmadı. Netdiscover'ı traceroute hop sayılarıyla kullanırdım demiştim ama sonrasında araştırdığımda okuldaki bütün cihazların hop sayısının aynı olduğunu gördüm.

İnceleme sürecinde aktif kullandığım araçlar:

• Nmap
• Netdiscover
• Wireshark
• Arpscan
• Rustscan
• Masscan
• Legion
• fping
• Subfinder & Sublist3r (Hedef tespiti aşamasında eklendi)

5. HEDEF CİHAZ ÖNCESİ TARAMA LİSTELERİ (REFERANS LİSTESİ)

Yaklaşık 1 aylık taramalarım sonucu hedef cihaz kurulumundan önceki elimdeki referans listesini 11.12.2025 14:40 tarihinde kesinleştirdim.

6. HEDEF CİHAZ TESPİTİ VE İNCELEME SÜRECİ

Hedef cihaz kurulumunun ardından elimde zaten bir referans listesi vardı, buradan eleme yapmaya başladım. Elimde 5 Adet unknown, 5 adet cihaz bilgisi bilinen toplam 10 adet şüpheli cihaz vardı.

Şüpheli Listesi:

• 10.10.217.165 - ASRock Incorporation
• 10.10.216.75 - Elitegroup Computer Systems
• 10.10.216.66 - Quanta Computer Inc. (Sunucu ve özel donanım üreticisi)
• 10.10.216.100 - REALTEK SEMICONDUCTOR
• 10.10.218.222 - REALTEK SEMICONDUCTOR
• Unknown Cihazlar: 10.10.216.104, 10.10.216.175, 10.10.217.122, 10.10.217.157, 10.10.217.193

İnceleme: 10.10.217.165 (Yanlış Alarm)

Öncelikle bu cihazla başladım, beni çok yordu. Başta "host seems down" hatası aldım. Sonra benim 216.xx cihazınsa 217.xx ağında olduğunu fark ettim. Bunu nasıl geçebilirim diye düşünürken Nmap eth0 localnet taramalarını araştırıp buldum.

Sonuç:

• Port 7070/tcp open ssl/realserver?
• OS: Microsoft Windows 10|11|2019

Cihazın Windows işletim sistemine ait olduğunu gördüm. Fakat benim şüpheli cihazımın en başından beri yaygın olmayan bir işletim sistemi ya da görür görmez anlayacağım farklı bir servisi olacağını düşünüyordum. 7070 portu kafamı karıştırdı, araştırdığımda Anydesk portu olduğunu gördüm. Bunun gibi 2 veya 3 cihazı daha saatlerce araştırdım.

İnceleme: 10.10.218.222 (HEDEF BULUNDU)

10.10.216.75 IP'sini de TTL değerinden Windows olduğunu anlayıp atladım ve 218.222 IP'sine odaklandım.

OpenBSD görür görmez bulduğumu anladım.
Service Info kısmında bir subdomain gördüm: foobar.eskisehir.edu.tr. Hedef cihaz taramasının önceki dersinde "eskisehir.edu.tr'nin subdomainlerini bir araştırın öğrenin" demiştiniz. Ben de o derste subfinder ve sublist3r araçlarıyla subdomainleri araştırmıştım. Service info kısmında da bir subdomain görünce iyice ikna oldum.

"Foobar" Detayı:
İzlediğim yazılım eğitim videolarında yazılımcılar hep fonksiyon isimlerine "foo" ismini veriyordu. Bunun yazılımcılar arasında kullanılan farazi bir kelime olduğunu biliyordum. "Foobar" şeklinde de araştırdığımda mizahi bir yönü olduğunu gördüm.

Cihaza erişim için Port 21 FTP portundan her yolu denedim. İnternetten rocks.txt indirdim (açınca bilgisayar patlıyor sandım) bir türlü üzerinde kaba kuvvet şifre deneyeceğim username bulamadım. Hostname'den yola çıkıp Foo, foo, foobar, admin, root, goksin, goksinakdeniz her şeyi denedim ama saatlerce uğraşsam da FTP kaba kuvvet saldırısı denemek için bir username elde edemedim.

7. SONUÇ RAPORU

Aşağıdaki tablo, tespit ettiğim hedef cihazın teknik özetidir:

Detaylı Değerlendirme

1. Hedef Cihaz Kimlik Bilgileri:

• IP Adresi: 10.10.218.222
• MAC Adresi: 00:E0:4C:08:8E:9A
• Donanım Üreticisi: Realtek Semiconductor (Muhtemelen bir geliştirme kartı veya Mini PC).
• Hostname: foobar.eskisehir.edu.tr
  Not: "Foobar" ismi yazılım dünyasında test değişkeni olarak kullanıldığından, cihazın özel bir test sunucusu olduğu anlaşılmıştır.

2. İşletim Sistemi Bilgisi:

• Tespit Edilen OS: OpenBSD (Sürüm 6.0 - 6.4 arası)
• Kanıt: Nmap TCP/IP parmak izi analizi (-O) ve çalışan FTP servisinin yapısı, cihazın Windows değil, Unix tabanlı OpenBSD sistemi olduğunu doğrulamıştır.

3. Çalışan Servisler ve Portlar:
Cihaz üzerinde yapılan tam port taramasında (-p-) sadece FTP servisinin açık olduğu, diğer portların kapalı olduğu görülmüştür.

• Port: 21 / TCP
• Servis: FTP (File Transfer Protocol)
• Servis Yazılımı: OpenBSD ftpd
• Banner Bilgisi: 220 foobar.eskisehir.edu.tr FTP server ready.

4. Sonuç Değerlendirmesi:
10.10.218.222 IP'li cihazın "foobar" ismine sahip olması ve OpenBSD işletim sistemi çalıştırması, bu cihazın ağda gizlenmiş hedef sistem olduğuna beni inandırdı.

Kullanılan Cihaz Bilgileri
Referans Taramalarında 10.10.216.0/24 kullandığım için sürekli 216 alt ağ maskesine düşmek için MAC Adresi değiştirmem gerekiyordu bu yüzden Referans Taramalarında sürekli farklı MAC Adresleri kullandım.
Hedef Cihaz tespitinde kullandığım Kali Sanal Makina MAC Adresi: 08002763B005