Bu uygulama örneğinde, DVWA adlı web uygulamasının içerisinde bulunan bir sayfanın güvenlik zafiyetinden faydalanarak CommandInjection saldırısı gerçekleştirilmiştir. İlgili uygulamanın senaryosu, hedef sistemin zafiyet bulunan sayfasına “HackedByScriptKiddies” yazısını yazdırma işlemidir.
Uygulamaya Hazırlık
Uygulamanın gerçekleştirilmesinden önce bahsi geçen programın kurulum işlemleri yapıldı. DVWA programını kullanabilmek adına öncelikle Virtual Box sanal makineme Ubuntu 14.04.5 LTS işletim sistemini kurdum. İlgili işletim sistemine DVWA yazılımını kurmak için üç bölümden oluşan işlemler gerçekleştirdim. İlk olarak Apache, MySQL ve PHP kurulumlarını yaptım. İkinci bölümde ise yüklediğim Apache kök dizinini değiştirdim. Bu işlemin yapılmasının amacı sonrasında DVWA dosyasının ilgili dizin altına kaydedilecek olmasıdır. Sırasıyla tüm yapılandırma işlemlerini tamamladıktan sonra ise son bölüm olan ilgili programın kurulması işlemini gerçekleştirdim. Bu işlem için tarayıcıma http://localhost/dvwa yazdım ve çıkan ekrana kullanıcı adı olarak ‘admin’ şifre olarak ‘password’ girerek sisteme erişim sağladım. Create/Reset Database butonuna tıkladığımda ise işlemlerim tamamlanmış ve ilgili program uygulamamı gerçekleştirmem için hazır hale gelmiş oldu.
Uygulama Yapımı
Uygulamayı gerçekleştirmek için ilk olarak sisteme giriş yapıldı.
Uygulamalar listesinden üzerinde çalışılacak olan zafiyet seçildi. Çalışılacak olan saldırı “CommandInjection” zafiyetidir.
Üzerinde saldırı yapılacak ekran aşağıdaki gibidir.
Uygulamanın Gerçeklenmesi
İlk olarak metin kutusuna www.google.com domain adresi girildi. Alınan çıktı aşağıdaki gibidir.
Sonrasında www.includekarabuk.com adresi girildi. Girilen bu ifadeler ile sistemin komut enjeksiyon zafiyeti olup olmadığı tespit edilmeye çalışıldı. Alınan çıktı aşağıdaki gibidir.
Alınan sonuçlar doğrultusunda php kodunda metin kutusunda yazılan ifadelerin doğrudan parametre olarak gönderildiği görüldü. Bu düşüncenin oluşmasının sebebi ise ping komutu çıktılarında metin kutusuna girilen ifadelerin görülmesidir. Bu bilgiler ışığında söylenebilir ki, metin kutusuna girilen ifade kullanılarak gerçekleştirilen ping işlemine ek olarak terminal üzerinde çeşitli komutlar çalıştırılabilmektedir.
Bu doğrultuda www.includekarabuk.com domain adresine ping atarken aynı zamanda cat komutu ile etc/passwd dosyası içeriği de görüntülenebilir. Bu işlem için metin kutusuna ping www.includekarabuk.com &&cat /etc/passwd komutu girildi. Sonucu ise aşağıda görülmektedir.
Uygulamanın amacı olan sayfa hackleme işlemi için ise metin kutusuna www.includekarabuk.com &&echo"<font color=red><center><h1>HackedByScriptKiddies</h1></center></font><br>">index.php komutu girildi. Başlangıçtaki ekran görüntüsü aşağıdadır.
Sonrasında sisteme tekrar giriş yapıldı ve uygulamanın hedefi olan sonuç gerçekleştirildi ve ilgili sonuç aşağıda mevcuttur
Uygulamanın Ekstra Bölümünün Gerçeklenmesi
Uygulamanın ekstra bölümünde ise komut enjeksiyonu zafiyeti kullanılarak sistem üzerinde bulunan dizinler arası gezinme ve bir dizin üzerinde işlem yapma konuları üzerine çalışmalar gerçekleştirilmiştir. İlk olarak zafiyet bulunan sistemde metin kutusuna 1;ls ifadesi girilerek ls komutu çalıştırılmıştır. 1 ifadesi yanlış bir IP ya da domain ifadesi olduğundan dolayı ; sembolünün öncesi için herhangi bir çıktı alınmayacak, ekranda sadece ls komutunun çıktısı görüntülenecektir. Beklenen şekilde gerçekleşen çıktı aşağıdaki gibidir.
Şu anda bulunulan dizinin bir üst veya iki üst dizinlerine erişim işlemini gerçekleştirebilmek için sırasıyla metin kutusuna 1; cd..&&ls ve 1; cd.. ; cd..&&ls ifadeleri girildi. İlgili dizinlerde bulunan dosyaların listelendiği çıktılar aşağıdaki gibidir.
Son olarak bulunulan dizine bir metin dosyası oluşturarak içerisine birşeyler yazma işlemi için metin kutusuna 1; cd.. ; cd.. ; echo”Hack yedin. Açığını kapatmak için şunları şunları yap vs…”>HACKED.txt; catHACKED.txt ifadesi girilir. Sonuç olarak ise ekranda alınan mesaj aşağıdaki gibidir.
Aynı zamanda ilgili işlem sonucunda ilgili dizin üzerinde aşağıda gösterildiği gibi metin dosyası oluşturulmuş ve içeriği ekranda belirtilen şekildedir.
