Chisel ile ağ pivotu: yetkili test rehberi

Bir ağa ilk giriş noktası neredeyse hiçbir zaman hedef değildir. Elde edilen erişim genellikle dışarıya bakan bir uygulama sunucusudur; asıl veri ise birkaç segment ötede, o sunucunun konuşabildiği ama sizin doğrudan ulaşamadığınız makinelerde durur. Aradaki köprüye pivot deniyor ve sızma testlerinde en çok bilgi üreten aşama çoğu zaman burasıdır.

Bu yazı Chisel aracını merkeze alıyor; ancak önce şunu net söyleyelim: pivot çalışması yalnızca yazılı izinle ve tanımlı kapsam içinde yapılır. Aşağıdaki her şey, kendi laboratuvarınız veya imzalı bir sözleşmeyle sınırları çizilmiş yetkili bir test için geçerlidir.

Pivot nedir ve neyi sınar

Pivot, ele geçirilmiş bir sistemin bağlantı yeteneğini kullanarak ağın başka bir bölümüne ulaşma işidir. Teknik olarak bir tünel kurulur: trafik, üzerinde çalışma yaptığınız makineden geçerek erişemediğiniz segmente yönlenir.

Bir sızma testinde pivotun değeri, tek bir zafiyetin gerçek etkisini göstermesidir. Dışarıdan bakıldığında önemsiz görünen bir dosya yükleme hatası, iç ağdaki veritabanına ulaşan bir yol açtığında bulgu "orta" değil "kritik" olur. Pivot aynı zamanda segmentasyonun gerçekten çalışıp çalışmadığını sınar: ağ teoride bölünmüş olabilir, pratikte ise yönetim sunucusu her segmentten erişilebilir durumdadır.

Yetki olmadan pivot çalışması olmaz

Bir tünelin kurulması, sizin adınıza kimin hangi sistemlere eriştiği sorusunu doğurur. Bu yüzden kapsam, sözlü anlaşmayla değil belgeyle belirlenir:

İmzalı sözleşme ve ek kapsam listesi: Hangi IP aralıkları, hangi alan adları, hangi segmentler dahil; hangileri kesinlikle hariç.
Başlangıç noktaları: Testin hangi sistemlerden yürütüleceği ve kaynak adreslerinizin önceden bildirilmesi.
İzin verilen yöntemler: Tünel ve yönlendirme araçlarının adıyla yazılması, sosyal mühendislik gibi ayrı izin gerektiren yöntemlerin ayrıca onaylanması.
Zaman penceresi: Çalışmanın yapılacağı saatler ve üretim sistemlerinde kabul edilebilir kesinti sınırı.
Durdurma protokolü: Hizmeti riske atan bir durumda testi kimin, hangi numaradan durduracağı.
Kayıt ve raporlama: Hangi günlüklerin tutulacağı, hassas verilerin nasıl maskeleneceği ve raporun kime teslim edileceği.

Kendi laboratuvarınız dışında, kapsamda yazmayan tek bir adrese bile bağlantı denemesi yapmayın. "Zaten içerideydik" savunması hukuki bir gerekçe değildir; Türk Ceza Kanunu'nun bilişim suçlarına ilişkin hükümleri ve muadili mevzuat, niyetten bağımsız olarak izinsiz erişimi suç sayar. Kapsam dışı bir sisteme dokunduğunuzda hem müşteri ilişkisi hem de kişisel sorumluluğunuz aynı anda riske girer.

Chisel neyi çözer

Chisel, HTTP üzerinden çalışan bir tünelleme aracıdır. Tek bir çalıştırılabilir dosya, bir sunucu ve bir istemci modu sunar; TCP trafiğini HTTP istekleri içinde taşır.

Bu neden önemli? Çünkü kurumsal ağlarda dışa giden 443 numaralı bağlantı neredeyse her zaman açıktır; buna karşılık rastgele yüksek portlar ve ham TCP genellikle kapatılmıştır. Yetkili bir testte iç ağa yerleşen bir istemcinin dışarıya yalnızca HTTPS ile çıkabildiği senaryo çok yaygın. Chisel tam bu boşlukta çalışır ve testin neden bir noktada tıkandığını görünür kılar.

Aracın savunma açısından anlamı da aynı: dışa doğru kurulan uzun ömürlü HTTPS bağlantısı, tek başına masum değildir. Bunu bilmek, ileride tespit kurallarını yazarken işinize yarayacak.

Sunucu ve istemci mimarisi

İki mod vardır. Normal modda istemci sunucuya bağlanır ve yerel portları dışarı açar. Ters modda ise sunucu tarafındaki bağlantı, istemcinin bulunduğu ağa doğru genişler; iç ağdaki makineden dışarıya doğru kurulan bağlantı üzerinden iç segmentlere ulaşılır.

# yalnızca kendi laboratuvarınızda veya yetkili kapsamda
chisel server --reverse --port 9443
chisel client https://lab-sunucu:9443 R:socks

İkinci satırdaki R:socks ifadesi, istemci tarafında bir SOCKS vekili açar ve trafiği tünelden geçirir. Tek bir porta yönlendirme yapmak da mümkündür; ancak segmenti keşfetmek istiyorsanız vekil yaklaşımı daha az komut, daha çok görünürlük sağlar. Tüneli kurduktan sonra hedef segmentte hangi sistemlerin konuştuğunu anlamak için yaptığınız taramaların da kapsamda olduğunu doğrulayın.

Laboratuvarda güvenli kurulum

Öğrenmenin doğru yeri üretim ağı değil, kendi kurduğunuz izole ortamdır. Aşağıdaki sıra, hem aracı hem de tünelin nasıl göründüğünü anlamanız için yeterli.

Ağı izole etmek

Sanal makinelerle üç ayrı ağ kurun: dış ağ, saldırı makinesinin bulunduğu ağ ve iç segment. İç segmentin dışarıya doğrudan çıkışı olmasın. Böylece tünel kurulmadığında hedefe ulaşamadığınızı, kurulduğunda ulaştığınızı net biçimde görürsünüz. Bu ayrım, testin gerçekten segmentasyonu sınadığını kanıtlayan tek yoldur.

Hazır laboratuvar platformları

Kendi kurulumunuzu yapmak istemiyorsanız, ayrılmış ağlarla çalışan çevrimiçi laboratuvarlar aynı deneyimi daha hızlı verir. Bu platformlarda herkes kendi ortamında çalıştığı için kapsam sorunu doğmaz. Yine de öğrendiğiniz komutları kendi makinelerinizde tekrar etmek, tünel davranışını kavramanın en hızlı yoludur.

İlk doğrulama

Tüneli kurduktan sonra sırayla şunları kontrol edin: vekil gerçekten dinliyor mu, tünelden hedefe ulaşabiliyor musunuz, tünel olmadan aynı hedef erişilemez mi, ve tünel kapandığında erişim gerçekten kesiliyor mu. Son madde en sık atlanan adımdır; kapanmayan bir tünel, test bittikten sonra da açık bir kapı bırakır.

Yöntemlerin karşılaştırması

Her pivot yöntemi aynı işi farklı kısıtlarla yapar. Kapsam ve ortam hangi aracın uygun olduğunu belirler.

Yöntem	Gerekli koşul	Güçlü yanı	Sınırı
SSH yerel yönlendirme	Hedefte SSH erişimi ve kimlik bilgisi	Kurulumu en basit, günlükleri anlaşılır	Yalnızca tek port veya tek hedef
SSH dinamik vekil	Aynı koşullar	Birden fazla hedefe tek noktadan erişim	SSH çıkışı kapalıysa çalışmaz
Ters tünel aracı	Dışa doğru HTTPS çıkışı	Kısıtlı ağlarda en yüksek başarı	Kurulum ve temizlik disiplini gerektirir

Bu tabloyu kapsam belgesiyle birlikte okuyun. Müşteri ortamında SSH'e izin verilmiyorsa en zarif yöntem bile listeden çıkar; buna karşılık laboratuvarda her yöntemi denemek, gerçek bir testte hangi yolun neden tıkandığını hızla anlamanızı sağlar.

Bulgular nasıl yazılır

Pivotun kendisi bir bulgu değildir; bulgu, pivotun ortaya çıkardığı erişimdir. Raporda üç soruyu net yanıtlayın: hangi sistemden başladınız, hangi yolla hangi sisteme ulaştınız, ve bu erişim hangi veriye ya da işlevselliğe dokundu.

İyi yazılmış bir pivot bulgusu şu üç başlıkta toplanır:

Zayıf segmentasyon: İç ağdan erişilmemesi gereken yönetim arayüzlerine ulaşılabiliyor. Etki, tek bir uç noktanın ele geçirilmesinin tüm üretim hattına yayılmasıdır.
Gevşek dışa çıkış filtresi: İç sistemler dışarıya serbestçe HTTPS kurabiliyor. Etki, veri çıkışının ve uzaktan kontrolün engellenmemesi.
Tünel hareketinin görülmemesi: Olay kayıtlarında uzun ömürlü, tekdüze HTTPS oturumları dikkat çekmiyor. Etki, gerçek bir saldırganın aynı yolu fark edilmeden kullanabilmesi.

Kanıtı kaydetmek ve kapsamı korumak

Her başlık için kanıt ekleyin: zaman damgası, kaynak ve hedef adres, kullanılan yöntem ve varsa ekran görüntüsü. Bu kayıtlar hem müşterinin düzeltmeyi doğrulamasını hem de sizin kapsam içinde kaldığınızı göstermenizi sağlar.

Kapsam dışına taşan hiçbir teknik ayrıntıyı rapora koymayın; rapor da bir belgedir ve gereksiz ayrıntı, müşteriye fayda yerine risk taşır. Test sonunda tüneli kapattığınızı, oluşturduğunuz hesapları kaldırdığınızı ve bıraktığınız dosyaları temizlediğinizi yazılı olarak bildirin. Bu kapanış notu, çalışmanın en çok atlanan ama en çok güven üreten parçasıdır.

Savunma tarafı: tüneli görünür kılmak

Aynı bilgi, savunma ekibinin işine yarar. Tünel trafiği çoğu zaman şifreli olduğu için içeriği okunamaz; ancak davranışı okunabilir.

Dışa çıkışı varsayılan olarak kapatın. Sunucuların yalnızca belirli hedeflere, belirli portlardan çıkmasına izin verin. Tünel bir çıkış yolu bulamazsa çalışmaz.
Segmentasyonu düzenli test edin. "Kapalı olması gereken" yolları varsayımla değil, kendi ekibinizle yaptığınız yetkili testlerle doğrulayın.
Uzun ömürlü bağlantıları izleyin. Saatlerce açık kalan, düşük hacimli ve tekdüze HTTPS oturumları ağ akış kayıtlarında ayrı bir alarm başlığı olmalı.
Uç noktada süreç görünürlüğü kurun. Çıkış yapan süreçlerin hangi ikili dosyadan geldiğini görmek, tüneli kuran aracı erken yakalamanın en doğrudan yoludur.
DNS ve sertifika hareketini birlikte okuyun. Nadir görülen alan adlarına yapılan isteklerle yeni gözlenen sertifikalar bir arada anlam kazanır.

Bu kontrollerin hiçbiri tek başına yeterli değil; ancak dördü birlikte çalıştığında tünel kurmak için gereken sessizliği ortadan kaldırır.

Sık yapılan hatalar

Laboratuvarı üretim ağıyla karıştırmak. Öğrenirken yapılan bir yanlış yapılandırma, gerçek sistemlerde kesinti üretir.
Kapsamı sözlü bırakmak. Hangi adresin dahil olduğuna dair yazılı kayıt yoksa, tartışma kaçınılmazdır.
Tüneli kapatmayı unutmak. Test bittikten sonra açık kalan bağlantı, sonraki ekipler için de risktir.
Yalnızca komut ezberlemek. Aracı çalıştırabilmek, tünelin neyi neden görünmez kıldığını bilmek anlamına gelmez.
Kanıt toplamayı sonraya bırakmak. Oturum kapandığında fotoğrafların ve günlüklerin yeniden üretilmesi mümkün olmaz.
Kimlik bilgilerini düz metin saklamak. Test sırasında toplanan her kimlik bilgisi, şifreli bir kasada tutulmalı.

Öğrenme yolu ve sertifikalar

Pivot konusunu öğrenmenin en verimli sırası şu: önce ağ temelleri ve TCP yönlendirmesi, sonra izole bir laboratuvarda tek portlu yönlendirme, ardından vekil üzerinden segment keşfi, en sonunda raporlama. Araç bilgisi bu sıranın en sonunda oturur; çünkü tünelin nasıl çalıştığını bilmeyen bir kullanıcı, tünel çalışmadığında neyi kontrol edeceğini de bilemez.

Sertifika tarafında giriş seviyesi programlar temel kavramları, orta seviye programlar ise gerçek senaryo ve raporlama disiplinini ölçer. Sertifika bir başlangıç noktasıdır; asıl fark, kapsam içinde çalışma alışkanlığından gelir.

Sık sorulan sorular

Pivot yapmak yasal mı? Yalnızca yetkili olduğunuz sistemlerde. Kendi laboratuvarınız veya yazılı izin verilmiş bir test kapsamı içinde yasaldır; kapsam dışına taşan her erişim, niyet ne olursa olsun izinsiz erişim sayılır.

Chisel ile SSH tünelleri arasındaki fark ne? SSH tünelleri genellikle dışa doğru SSH çıkışı gerektirir. Chisel, HTTPS üzerinden çalıştığı için yalnızca 443 çıkışına izin verilen ağlarda da iş görür. Bu yüzden kısıtlı ortamlarda tercih edilir.

Chisel tespit edilebilir mi? Evet. Şifreli olsa da bağlantının süresi, tekdüzeliği ve hedefi davranışsal iz bırakır. Dışa çıkış kısıtı, süreç görünürlüğü ve uzun ömürlü oturum alarmları birlikte kullanıldığında tünel fark edilir.

Pivotu öğrenmek için hangi ortam yeterli? Birbirinden izole iki sanal ağ ve üç sanal makine çoğu senaryo için yeterli. Daha karmaşık Active Directory düzenekleri ileri seviye alıştırmalar için tercih edilir.

Tünel kurulduktan sonra ilk ne yapılmalı? Kapsamı yeniden kontrol edin, erişimin gerçekten yeni bir segmente açıldığını doğrulayın ve kanıtı hemen kaydedin. Test sonunda tüneli kapatmak da bu adımın parçasıdır.

Ağınızın segmentasyonunu yetkili bir testle sınamak ya da ekibiniz için güvenli bir laboratuvar düzeni kurmak istiyorsanız ekibimizle görüşün.

Ağ içinde pivot: Chisel ile başlangıç rehberi