ntlmrelayx.py - NTLM relay testleri

Giriş

Siber güvenlik alanında, saldırı teknikleri ve araçları sürekli olarak evrim geçirmekle birlikte, bazı klasik yöntemler hâlâ büyük bir önem taşımaktadır. Bu yöntemlerden biri de NTLM relay saldırılarıdır. Bu saldırılar, özellikle Microsoft ortamlarında yaygın olarak kullanılan NTLM (NT LAN Manager) kimlik doğrulama protokollerini hedef alır. Söz konusu saldırılara karşı savunma yapabilmek için bu tekniklerin detaylarını anlamak kritik bir öneme sahiptir.

NTLM Nedir?

NTLM, Microsoft’un eski kimlik doğrulama protokolüdür ve daha güvenli olan Kerberos protokolü ile değiştirilmeye başlansa da, hala birçok işletme ve sistemde kullanılmaktadır. NTLM, istemci ve sunucu arasında kimlik doğrulaması gerçekleştirmek için hash algoritmaları kullanır. Ancak, bu protokol zayıf şifreleme yöntemleri ve kimlik bilgileri sızdırma riskleri taşıdığı için birçok siber güvenlik uzmanı tarafından eleştirilmektedir.

NTLM Relay Saldırıları

NTLM relay saldırıları, bir saldırganın, hedef bilgisayarlarla iletişim kurarken kullanıcıların kimlik bilgilerini çalmak için bu protokolu kullanmasıdır. Saldırgan, kullanıcıların oturum açma işlemlerini dinleyebilir ve bu bilgilerle, hedef sistemlere yetkisiz erişim sağlayabilir. Burada devreye giren etkenler, NTLM’in tasarımındaki zayıflıklar ve güvenlik açığı olarak ortaya çıkmaktadır.

Neden Önemli?

NTLM relay saldırılarının öneminin birkaç nedeni vardır:

Yaygın Kullanım: NTLM, hala birçok sistemde etkin bir şekilde kullanılmaktadır. Kurumsal ortamlarda, özellikle Windows tabanlı ağlarda, NTLM’e dayalı kimlik doğrulama süreçleri yaygındır.
Erişim Sağlama: NTLM relay saldırıları ile saldırganlar, yetkisiz bir şekilde hassas verilere erişim sağlayabilir. Bu, veri sızıntıları ve güvenlik ihlallerine yol açabilir.
Test Araçları: ntlmrelayx.py gibi araçlar, sistem yöneticileri ve siber güvenlik uzmanları tarafından, ağ güvenliğini artırmak için kullanılır. Bu tür araçlar sayesinde, organizasyonlar var olan zayıflıklara karşı test yaparak önlemler alabilir.

Kullanım Alanları

ntlmrelayx.py, "Impacket" kütüphanesinin bir parçasıdır ve NTLM relay saldırılarını simüle etmek için kullanılan güçlü bir araçtır. Bu tür testler, siber güvenlik uzmanlarının ağlarının güvenliğini değerlendirmelerine yardımcı olur. Örneğin, aşağıdaki komutla diğer sistemlere relay saldırısı açılabilir:

python3 ntlmrelayx.py -t http://hedef-sunucu -smb2support

Bu komut, belirtilen hedef sunucuya NTLM relay saldırısı gerçekleştirmek için kullanılabilecek bir aracı başlatır.

Sonuç

NTLM relay testleri, siber güvenlik uzmanları için önemli bir test yöntemidir. Bu testler sayesinde, organizasyonlar sistemlerinin güvenlik açıklarını belirleyebilir ve ciddi veri ihlallerinin önüne geçmek için gerekli adımları atabilirler. Bu nedenle, ntlmrelayx.py gibi araçların nasıl kullanılacağını öğrenmek, günümüz siber ortamında vazgeçilmez bir beceri haline gelmiştir.

Bilgi güvenliği açısından, NTLM relay saldırılarının anlaşılması ve bu alanda test yapmanın zorlukları, siber tehditlerin önlenmesi adına kritik öneme sahiptir.

Teknik Detay

NTLM Relay Saldırıları Nedir?

NTLM (NT LAN Manager), Microsoft'un eski bir kimlik doğrulama protokolüdür ve genellikle Windows ağlarında kullanılmaktadır. NTLM relay saldırıları, aktarıcı bir saldırganın bir kullanıcıdan gelen kimlik bilgilerini ele geçirerek başka bir hedef üzerinde yetki kazanmasını sağlar. ntlmrelayx.py, bu tür saldırıları gerçekleştirmek için kullanılan popüler bir araçtır.

Çalışma Mantığı

ntlmrelayx.py, NTLM isteklerini yakalayarak, bu istekleri başka bir hedefe iletir. Saldırı, kullanıcının sisteminde veya ağa bağlı bir makinede, NTLM kimlik doğrulaması gerçekleştirildiğinde başlar. Saldırganın, geçerli kimlik bilgilerini kullanarak başka bir sunucuya ulaşması hedeflenir. İşte süreç:

İstek Yakalama: Saldırgan, NTLM kimlik doğrulama isteğini yakalar. Bu, genellikle bir SMB (Server Message Block) bağlantısı üzerinden gerçekleşir.
İstek Hedefleme: Yakalanan bu istek, saldırganın belirlediği başka bir hedefe iletilir. Bu hedef, saldırganın kontrolündeki bir makine olabilir.
Yetki Kazanma: Eğer iletilen istek, hedef sunucu tarafından kabul edilirse, saldırgan bu sunucuda yetki kazanarak saldırıyı başarıyla tamamlamış olur.

Kullanılan Yöntemler

ntlmrelayx.py aracı, aşağıdaki yöntemleri kullanarak NTLM relay saldırılarını gerçekleştirmektedir:

CTC (Credential Theft Control): Kullanıcının kimlik bilgilerini toplayarak, bunları hedef sunucuya iletme işlemi.
SMB Relay: SMB protokolü üzerinden kötü niyetli bir aktarımın gerçekleştirilmesi, bu sayede kimlik bilgilerini doğrudan başka bir sunucuya geçirme.
Kerberos Relay: NTLM yerine Kerberos protokolünü kullanarak yapılan benzer saldırılar.

Dikkat Edilmesi Gereken Noktalar

İzinler ve Yetkiler: Hedef sunucudaki izinlerin ne kadar geniş olduğunu anlamak, saldırının başarı şansını belirlemede kritik öneme sahiptir.
Ağ Yapısı: Saldırganın, ağda hangi cihazlara erişimi olduğu ve bunların hangi protokolleri kullandığı analize tabi tutulmalıdır.
Güvenlik Duvarları ve IDS/IPS: Bu sistemler, potansiyel saldırıları tespit etmede etkili olabilir. Aktarıcı saldırıların başarılı olabilmesi için bu savunma mekanizmalarının göz ardı edilmesi gereken zaafiyetleri bulunabilir.

Teknik Bileşenler

ntlmrelayx.py aracı, genellikle bir Python tabanlı ortamda çalışır ve kullanıcılara geniş bir yapılandırma seçeneği sunar. Aşağıda basit bir kullanım örneği verilmiştir:

# ntlmrelayx.py aracını başlatma
python ntlmrelayx.py -t http://hedef_sunucu.com --ignore-ssl-errors

Bu komut, belirtilen hedef sunucuya bir NTLM relay saldırısı başlatır. Kullanıcı kimlik bilgileri aktarıldığında, hedef sunucu tarafından yanıt alınır ve saldırgan bu yanıtı analiz edebilir.

Örnek İstek ve Yanıt

ntlmrelayx.py kullanarak bir NTLM isteği gönderdiğinizde karşılaşabileceğiniz örnek bir yanıt aşağıdaki gibi olabilir:

{
  "status": "success",
  "message": "Kimlik doğrulama başarılı.",
  "user": "kullanici_adi",
  "destination": "hedef_sunucu"
}

Bu gibi yanıtlar, saldırganın isteklerinin başarıyla iletildiğini onaylar. Başarılı bir saldırı, ağ üzerindeki birçok güvenlik açığını keşfetmeye ve bunları kullanarak yetki kazanmaya olanak sağlar.

Analiz Bakış Açısı

NTLM relay saldırılarını analiz ederken, hem ağ trafiği hem de kullanıcı aktiviteleri göz önünde bulundurulmalıdır. Saldırıdan önce ve sonra kaydedilen trafik, saldırganın hangi yöntemleri kullandığını ve hangi kaynakları hedef aldığını gösterir. Güvenlik ekipleri, bu tür saldırıları tespit etmek için detaylı log incelemesi yapmalıdır. Bu süreç, ağın güvenliğini artırmak ve benzer saldırıların önüne geçmek için kritik bir adımdır.

İleri Seviye

NTLM Relay Testleri ile İleri Seviye Kullanım

NTLM (Windows NT LAN Manager) kimlik doğrulama protokolü, iç ağlarda sıklıkla kullanılan bir sistemdir. Ancak, NTLM relay saldırıları sızma testlerinde sıklıkla istismar edilen bir zayıflık türüdür. ntlmrelayx.py aracı, NTLM relay saldırılarını test etmek ve analiz etmek için güçlü bir araçtır. Bu bölümde, ntlmrelayx.py'yi ileri seviye bir sızma testi bağlamında nasıl kullanabileceğinizi inceleyeceğiz.

NTLM Relay Saldırılarını Anlama

NTLM relay saldırısı, bir saldırganın bir kullanıcının kimlik bilgilerini alarak bu bilgileri başka bir kaynağa yönlendirmesi ile gerçekleştirilir. Bu tür saldırılar, özellikle kullanıcının yetkilerinin yüksek olduğu durumlarda ciddi zararlar verebilir. ntlmrelayx.py, bu tür saldırıları hızlı bir şekilde simüle etmenizi sağlar.

`ntlmrelayx.py` ile Saldırı Senaryosu

Öncelikle, ntlmrelayx.py aracını yüklememiz ve konfigüre etmemiz gerekir. Aşağıda temel bir saldırı senaryosu yer alacaktır:

Aracın Kurulumu: ntlmrelayx.py aracı, Impacket paketi içinde bulunmaktadır. Aşağıdaki komut ile bu paketi kurabilirsiniz:
```
pip install impacket
```
Aracın Başlatılması: Aracı başlatmak için terminalde aşağıdaki komutu kullanabilirsiniz. Bu örnekte, kullanıcının kimlik bilgilerini kırmak için TCP 8080 portunu dinleyeceğiz.
```
python3 ntlmrelayx.py -t http://hedef-ip --no-winrm
```
Burada -t parametresi, hedef IP adresinizi belirtir. --no-winrm seçeneği, WinRM (Windows Remote Management) kullanmadan bu işlemleri yürütmenizi sağlar.

Payload ve Test

Saldırının gerçekleşmesi için belirli bir payload kullanarak hedefe yönlendirilmesi gerekir. Örneğin, basit bir baz şifrelemesi ile yanıt alamadığınızda şu şekilde bir test gerçekleştirebilirsiniz:

import requests

url = "http://hedef-ip/callback"
data = {"username": "test_user", "password": "test_password"}

response = requests.post(url, json=data)
print(response.text)

Bu script temel bir istek gönderimi gerçekleştirirken, ntlmrelayx.py aracı size bu isteği dinleme ve gerekli yanıtı verme yeteneği sunar.

İleri Düzey İpuçları

Loglama ve İzleme: Test sırasında loglama yaparak, hangi kullanıcıların kimlik bilgilerini yönlendirdiğini gözlemleyin. Bu, ileride yapılacak analizlerde büyük fayda sağlayacaktır.
Çeşitli Protokoller: NTLM relay saldırılarını sadece HTTP ile sınırlı tutmayın. SMB ve MSSQL gibi diğer protokolleri de deneyimleyin, bu sayede daha geniş bir yelpazede potansiyel zayıflıklar tespit edebilirsiniz.
Güvenlik Yapılandırmaları: Sunucularınızda NTLM kimlik doğrulamasını devre dışı bırakmak, bu tür saldırıların önüne geçmek için etkili bir yöntem olacaktır. Saldırılarınızı test ettikten sonra, güvenlik açıklarını gidermek için gerekli yapılandırmaları yapmayı unutmayın.

Sonuç

ntlmrelayx.py, NTLM relay testleri konusunda son derece etkili bir araçtır. Kullanıcıların yetkilerini kötüye kullanmak ve ağ güvenliğini aşmak için sızma testlerinde sergilenen gelişmiş tekniklerle, bu alanda daha fazla deneyim kazanabilirsiniz. Yukarıda sergilenen örnekler, pratikte uygulama yapmanızı sağlarken, sızma testi stratejilerinizde de önemli bir yer tutacaktır.