Teknolojinin yayılması ile hayatımız oldukca kolaylastı. Fakat teknolojinin gelmesiyle güvenlik riskleri de olustu. Güvenlik riskleri olusmasından dolayı siber güvenlik kavramı ortaya çıktı. Her ne kadar güvenlik gelisse de sürekli olarak yeni güvenlik açıkları da gelismekte. 

Sürekli rekabet halinde ilerleyecek gibi duruyorlar. Bilgisayar korsanları sürekli yeni kesifler üzerinde çalısmakta. Teknoloji dünyasında güvenlik tam olarak asla saglanılmıyor. Bugün sizler için en etkili ve yaygın olarak kullanılan açık kaynak kodlu 10 tane güvenlik açıgı tarama araçları sunacagım. Umarım konumuz isinize yarayacaktır.

1) Arachni

Sızma testi uzmanları tarafından kullanılan arachni , bir web uygulamasındaki güvenlik hatalarını belirlemek ( analiz etmek ) için tasarlanmıstır. Bir çok özelligi barındıran bu araç hem açık kaynak kodlu hem de çok iyi bir analiz yapan islevsel bir açık tarayıcısıdır.

İste arachni aracımızın yapabilecegi islemler :

• Yerel ve uzak dosya dahil etme ( lfi ve rfi zaafiyetleri )
• Sql injeciton zaafiyeti
• Xss injeciton zaafiyeti ( Cross Site Scripting )
• Geçersiz yönlendirme

gibi bir çok zaafiyeti taramakta. Oldukca kapsamlı ve iyi bir analiz yapan bir araç. Kullanarak sizler de ne oldugunu görebilirsiniz.

Program Linkini Görmek İcin Tıkla.

2) Grabber

Grabber aracımız kişisel web ve forum siteleri için tasarlanmış bir araçtır. Küçük web uygulamalarında oldukca iyi keşif yapan bir zaafiyet analizi programıdır. Herhangi bir arayüz (Guı) geliştirilmemiştir. Python ile yazılmış ve terminal üzerinden kullanılan bu aracımızın gelin bir de özelliklerine bakalım.

• Komut dosyası çalıştırma ( Command Enjection )
• Dosya Dahil Etme
• Ajax Doğrulaması
• Sql injection

Basit ve kolayca kullanılabilir olan bu aracımız bizim için analiz dosyası oluşturur. Analiz dosyasında topladığı tüm bilgileri dosya içinde barındırır.

3) Iron Wasp

Gelişmiş ve açık kaynak kodlu olan güçlü bir tarama aracıdır. Ironwasp 25 ve daha fazla güvenlik açığı tarayan oldukca kullanışlı web application scanner programıdır. İşte çok iyi bulduğu bazı güvenlik açıkları :

• Siteler arası komut dosyası oluşturma
• Csrf zaafiyeti 
• Yetki yükseltme
• Bozuk kimlik doğrulaması

gibi daha bir çok zaafiyet analizi yapmaktadır. Tabi yapacaklarınız sınırlı değil. Geliştiricilerin yapmış oldukları eklentileri ekleyerek kapsamı arttırabilir ve modüller ekleyebilirsiniz. Görsel arayüz tasarımı da vardır. Bir önceki programımızın aksine kendine ait tasarımları mevcuttur. Html olarak rapor oluşturmaktadır. Aynı kali linux üzerindeki skipfish aracı gibi.

4) Nogotofail

Resimde de görmüş olduğunuz gibi google tarafından geliştirilen googlenin ağ trafiği analiz aracı olan bu araç yanlış yapılandırmaları ve güvenlik açıklarını tespit edebilen basit ve gelişmiş bir araçtır. İşte bulduğu bazı güvenlik riskleri :

• Ssl Sertifika Doğrulama hataları
• Tls ve Ssl injection
• Mitm Saldırıları

gibi bir çok güvenlik risklerini taramakta. Basit bir kullanım bulunmakta. Dosya boyutu küçük olan ve tabi google tarafından geliştirildiği için güvenilir bir araç.

5)  SonarQube

Web uygulamalarında güvenlik açığı taramanıza yarayan gelişmiş bir araçtır. Java ile geliştirilmiştir. Yaklaşık olarka 25'den fazla yazılım dillerinin analizini yapabilir. Bulunan güvenlik riskleri kırmızı olarak gösterilir. İşte analiz ettiği riskler :

• Dos ve Ddos saldırıları 
• Önbellek bozulması
• Sql injection
• Http yanıt bölme

gibi bir çok zaafiyet ve risk analizi taramakta. Bu aracın en gelimiş özelliği de çekilecek olan bilgilerin analizini ayarlama özelliğidir.

6) Sqlmap

Siber güvenliğe yeni başlayan veya orta düzey bilgisi olan herkesin bu aracı bildiğini düşünüyorum. Bilmiyorsanız da artık öğrenmiş olcaksınız. Açık kaynak kodlu ve sql açıklarını çok iyi analiz eden bir araçtır. Üstelik kullanımı da tamamen ücretsiz ve özgür bir yazılımdır. Sql zaafiyetinin 6 çeşitini destekleyen güçlü bir test motorları ile gelir. Sql zaafiyeti analizi için biçilmiş kaptan. İşte bizler için sağladığı kolaylıklar :

• Güvenlik zaafiyetlerini bulma sürecini otomatikleştirir.
• Sağlam bir algoritma mantığı vardır.
• Bir web sitesinde güvenlik analizi yapabilir.
• Bir çok veritabanı üzerinden işlem yapmakta.

7) W3af

Yazılım dili olarak python ile gelitiştirilmiş olan w3af aracı , en popüler web güvenlik testi araçlarından biridir. Web uygulamalarında yaklaşık olarak 200'den fazla güvenlik açıklarını analiz edebilmektedir. İşte yapabildiği bazı analizler :

• Arabellek Taşıması
• Csrf
• Dav yapılandırmaları
• Kör sql enjeksiyonu

gibi daha bir çok analiz yapabilmektedir. Görsel arayüzlü ve kendine ait bir tasarımı olan araç çıktı olarak da terminal, dosya veya eposta ile alınabilir.

8) Wapiti

Yaygın kullanılan ve gelişmiş bir araç olan wapiti  , açık kaynaklı bir projedir. Web uygulamalarının güvenlik zaafiyetlerine karşı kontrol etmek amacı ile black box testi gerçekleştirir. İşte yapabildiği bazı keşifler :

• Crlf Enjeksiyonu
• Veritabanı enjeksiyonu
• Gizli dosya ifşası
• Shellshock zaafiyeti
• Ssrf
• Xss enjeksiyonu
• Xxe enjeksiyonu

gibi daha bir çok analiz yapmaktadır.

9) Zed Attack Proxy

Owasp tarafından geliştirilmiş olan zap , açık kaynak kodlu ve gelişmiş analiz yapan bir araçtır. Zap ( Za Proxy ) bir web uygulamasında oldukca ayrıntılı bilgiler sunmakta. Ayrıca Owaspın en ünlü projelerinden biridir. Yazılım dili olarak java kullanılmıştır. Sadece otomatik olarak test gerçekleştirmeyerek aynı zamanda tarayı üzerinden de proxy aracılığıyla manuel tarama da yapılabilir. İşte Zap'ın yaptığı bazı güvenlik riskleri :

• Sql enjeksionu
• Xss enjeksiyonu
• Komut enjeksiyonu
• Uygulama hata ayıklayıcı

gibi daha bir çok aktif tarama yapar.

10) Wfuzz

Python yazılım dili ile geliştirilmiş olan wfuzz , temel olarak brute-force saldırıları için kullanılır. Kali linux üzerindeki hydra aracı ile aynı mantıktadır. Kaba kuvvet saldırıları gerçekleştirir. Fakat güvenlik açığı tarama özelliği de vardır. İşte yapabildiği bazı taramalar :

• Xss enjeksiyonu
• Sql enjeksiyonu
• Ldap enjeksiyonu

Ayrıca proxy ve sock desteği bize sunmakta. 

 Local file inclusion (Lfi) zaafiyetini burp suite ile sizlerle beraber uygulamalı şekilde göreceğiz. Local file inclusion zaafiyetinden önce bi bahsedelim sonrasında pratik yaparak kafanıza oturmasını sağlayalım.

Lfi Nedir - Nasıl Oluşur ?

Sayfada dahil edilen bir dosyanın ya da bir yere yönlendirilen bir dosyanın gerekli filtrelemeler yapılmadan kullanıcı tarafından yetkisiz dosyalara erişim sağlamasıdır.

Örnek verecek olursak :

https://hedefsite.com/sayfa=login.php

Yukarda vermiş olduğum örnek bir site. Bu sitede sayfa değişkenine login sayfasını çağırmakta. Yani bir girdi parametresi almakta. Fakat biz login.php yerine bunu değiştirerek iznimiz olamayan dosyalara erişim sağlayabiliriz.

Örnek :

https://hedefsite.com/sayfa=../../../../etc/passwd

Linux işletim sisteminde çalışacak olan bu kod kullanıcı hesaplarını bize gösterecektir. Vermiş olduğumuz bu parametre "../" bir üst dizine çıkacağımız anlamına gelir.

Eğer kafanız biraz karıştıysa uygulama yaparken daha anlaşılır olucaktır merak etmeyin.

Burp Suite İle Lfi Zaafiyeti Nasıl Tespit Edilir?

İşlemlere başlamadan önce burp aracımızı hemen açalım. Ardından sizlere uygulama yapmanız için bir site vereceğim. Bu sitede bilerek açık bırakılmış ve insanların denemesi için yapılmış. Portswigger tarafından yapılmış. Burp suite geliştiricileri yani Portswigger denememiz amaçlı bilerek bırakmış bir sayfa.

Siteye gitmek için tıkla.

Siteye gittikten sonra Acces the lab butonuna basın. Tabi üye değilseniz kullanımınıza izin vermeyecektir. Bu yüzden üye olun ve tekrar linke tıklayıp kabul et butonuna basın. Ardından sizi uygulama yapacağımız siteye aktarıcak.

Örnek bir lfi zaafiyeti :

Portswigger size detaylı bir şekilde anlatmakta. İngilizce olarak anlatılmış olsa da türkce diline çevirerek okumanızda fayda var.

Evet bizi siteye aktardı. Bu site üzerinden işlem gerçekleştireceğiz. Öncelikle siteyi inceleyelim. Tüm ürünlere girip bakalım. Herhangi bir dosya çağırma işlemi olup olmadığına bakalım.

Evet tek tek baktık fakat herhangi birşey bulamadık. Bu yüzden resme sağ tıklayıp yeni pencedere aç diyorum. Url üzerinden kontrol ediyorum ve resmi çağırırken girdi olarak çekmiş. Burda zaafiyet olabilir mi ? diyerek dene işlemine koyuluyorum.

Görmüş olduğumuz gibi " image?filename= " ile resmi çekemiş hemen url kopyalıyorum fakat filename= sonrasını almıyorum. Yani resim çektiğimiz yeri almıyorum. Çünkü oraya payload denemeleri yapacağız. Bu yüzden  " filename= 'e " kadar olan bölümü alıyorum. 

Veirler post olarak gönderildiği için ana sayfaya geliyorum. Burp suite ile dinlemeye alıyorum. İlk istekte herhangi birşey bulamadık. Fakat sonraki istekte az önce incelediğimiz resmi çekmekte.

Burda bizim resim dosyamızı çekiyor. Bu isteği sağ tıklayarak send to repeater butonuna basıyoruz. Bildiğiniz gibi repeater türkcede tekrarlayıcı anlamına gelmekte. Bir istek üzerinde durmadan değişiklik yaparak gönderilen isteği incelemek için kullandığımız bölümdü. Bu konu hakkında makale yazmıştık. Ona da buraya tıklayarak hemen ulaşabilirsiniz.

Daha sonra repeater bölümümüze gidiyoruz. Çekmiş olduğumuz resmi yani 70.jpg adlı resmi silip payload giriyoruz.

Send diyerek isteği gönderiyoru. Bize dönen durum kodu 400 olarak geldi. Bad request yani kötü istek olarak tanımlandı.

Sadece resim uzantılarını mı kabul ediyor diye payloadımızın sonuna .jpg uzantısını ekliyorum ve tekrar isteği gönderiyorum. Fakat görmüş olduğumuz gibi ona da kötü istek dedi. Kötü istek demesi çok güzel. Çünkü orda bir filtreleme yapılmadığını farkettik. Bu yüzden payloadımız kendini ele veriyor diye düşünerek payloadımızı encode ederek gönderiyoruz.

Evet görmüş olduğunuz gibi dönen cevapta 200 durum kodu geldi. Bu da demek oluyor ki istek başarıyla gönderildi. Dönen cevap üzerinde passwd dosyasını okumuş olduğumuzu görüyoruz. Çünkü dönen cevapta passwd dosyasının içindeki bilgiler var. 

Birçok payload bulunmakta. Her bir payload farklı bir anlama gelmektedir. Bu yüzden sadece 1 payload deneyerek sistemden çıkmayın. Bu sql login bypass için de geçerli bir kural. Eğer burp suite ile sql login bypass konumuzu okumdaıysan hemen tıklayarak okuyabilirsin.

 PortSwigger security tarafından geliştirilen burp suite aracı ile bugün uygulama yapacağız. Yapacağımız uygulama hedef sistemin login panelinde kaba kuvvet saldırısı ile login bypass kodlarını teker teker denettireceğiz. İşlemlere geçmek için linux işletim sisteminizi açmaya başlayabilirsiniz.

Burp Suite İle Sql Login Bypass Nasıl Yapılır ? 

Öncelikle hedef olarak acunetix tarafından geliştirilen açıklı bir web uygulamasında işlemlerimizi deneyeceğiz. Siteye gitmek için tıkla.

Sitemizi açtıktan sonra burp suite aracımızı açalım. Eğer nasıl kullanıldığını bilmiyorsanız bu konumuza bakabilirsiniz.

Gerekli proxy yapılandırmalarımızı yaptıktan sonra proxy kısmındaki intercept bölümünden dinlemeye alıyoruz. Ardından sitemize geçiyoruz ve login kısmından rastgele bir kullanıcı adı ve rastgele bir şifre atıyoruz. Login butonuna basarak gelen isteği burp suite üzerinden işlemler yapacağız.

Ben login yerine default olarak admin 12345 olarak girdim siz farklı birşey de girebilirsiniz sonuçta mantık aynı olucak.

 

İsteği yakaladıktan sonra istek üzerinde sağ tıklayıp send to intruder diyorum. Bu sayede isteğimizi intruder bölümüne aktarıyor.

Şimdi yapacağımız işlemleri intruder üzerinde gerçekleştireceğiz. O yüzden intruder bölümüne tıklıyorum.

Positions sekmesine giriş yapıyoruz ve admin 12345 olarak girdiğimiz bilgileri değişken içine alıyoruz. Çünkü oraya bir sürü payload denemesi gerçekleştireceğiz.

Daha sonra payloads kısmına giriyorum. Burdan wordlist yani dosya şeklinde içe aktarma işlemi yapıcağım.

Eğer sql login bypass wordlist dosyanız yok ise buraya tıklayarak ulaşabilirsiniz.

İndirdikten sonra payloads kısmından Payload options bölümünde Load yazan butona tıklayın ve indirmiş olduğumuz dosyayı seçin. Dosyamız içindeki tüm payload listesi beyaz ekrana yerleştirilecektir.

Dosyamızı yükledikten sonra tek yapmamız gereken saldırıyı başlatmak olacaktır. Bu işlemi de hemen gerçekleştirmek için Start Attack butonuna basalım. Salırımız başlayacak ve giden istek ve dönen cevapları aynı zamanda gönderilen dosya boyutunu bizlere sunacaktır.

Evet görmüş olduğumuz gibi öncelikli olarka boş bir değer gönderdi. Bu değerimiz 221 büyüklüğünde. Daha sonra dosyamızdaki ilk sırada yer alan payloadı gönderdi. Büyüklüğü 341. Şuanda pek bi fark yok bizim anlamamız için dosya boyutunun büyük olması gerekmekte. 

Bir sonraki payload'a baktığımız zaman 6237 büyüklüğünde bir değer göndermiş. Boş bir değer 221 büyüklüğünde iken baya bi artmış. Bu payloadımız çalışmış olabilir. Aynı zamanda durum kodunun da 200 olduğunu da görmekteyiz. Herhangi bir yönlendirme vs. gibi bir durum da yok.

 Hemen sağ tıklayıp tarayıcı urlsini kopyala diyorum. Bize direk isteği link olarka vericek. Aldığımız linki tarayıcı üzerinde çalıştırıyorum ve ne gibi bir tepki verdiğini inceliyorum.

Görmüş olduğunuz gibi login bypass ile sisteme başarılı bir şekilde giriş yaptık. Herhangi bir kullanıcının hesabı ile artık sisteme girdik. Burdan istediğimiz tüm bilgileri alabilir veya değiştirebiliriz. Tabi yetkilerimiz yetiyor ise.

Burp suite ile login bypass işlemi bu kadar. Bu işlemleri manuel olarak ada elimizle tek tek girebiliriz. Fakat zaman kaybı olur. Bu yüzden burp suite aracını kullanabilirsiniz. Zamanınız daha işlevli olur.

Umarum konumuz güzel gitmiştir. İyi günler dilerim.

PortSwigger Security tarafından geliştirilen Burp Suite java ile yazılmış bir proxy aracıdır. Web uygulamalarında istemci ve tarayıcı arasında bağlantı kurar. Bu bağlantılar burp suite aracımız ile çeşitli değişiklikler yaparak istemciye gönderebiliriz. Temelden başlamak amacı ile daha derinlere ilerleyeceğiz.

Http  Nedir  - Http Protokolü Ne İşe Yarar ?

Hyper Text  Transfer Protocol açılımı ile http ağ üzerinden web sayfalarını görüntüleme amacı ile çalışan protokoldür.

Https Nedir - Https Protokolü Ne İşe Yarar ?

Hyper Text  Transfer Protocol ile aynı görevde. Fakat aralarındaki farkı ssl sağlamakta. Ssl sertifikası sayesinde sunucu ile aradaki verileri şifreleyen bir protokoldür. Daha güvenli olduğu için günümüzde çok kullanılmakta.

Http Ve Https Arasındaki farkı kısaca özetleyen bir resim ;

Ssl Nedir - Ne İşe Yarar ?

Secure  Sockets Layer açılımı olan ssl , türkce anlamında Güvenli giriş katmanı demektir. Adı üstünde dediğimiz bu olsa gerek. Sunucu arasındaki verileri şifreliyor. 

Başka ne isim verilebilirdi ki ?  Eskinden ssl sertifikaları almak zor idi. Fakat şuanki durumda artık herkes sitesine ssl alabiliyor. Sadece belirli sitelere verilen ssl artık tüm sitelerde bulunabiliyor. 

Herhangi bir illegal site dahi ssl alabilmekte. Güvenlik sorunları yaratıyor. Özellikle de Sosyal mühendislik saldırılarını.

Nedir Bu Proxy - Ne İşe Yarar ?

Vekil sunucu anlamına gelen proxy , http ve https protokolleri üzerinde giden ve gelen istekleri analiz edilmesini sağlayan yapıdan ibarettir. Proxy ne işe yarar diye düşündüyseniz hemen cevaplayalım. Proxy sayesinde  web üzerinden trafiği inceleyen ara sunucu görevini yapan bir yapıdır.

Evet bu kavramları öğrendiğimize göre gelelim asıl konumuza. Burp suite kurulum aşamasına geçmenin zamanı geldi. 

Burp Suite Nasıl Kurulur ?

Eğer işletim sisteminiz linux ise bu kurulum adımlarını inceleyin.

Linux işletim sistemine kurulum gerçekleştirmek için ( normalde hazır olarak geliyor fakat değilse diye anlatıyorum .) terminal üzerinden java'nın kurulu olup olmadığını kontrol edelim.

 Terminali açıp "java --version" kodumuzu yazalım. Eğer bize version bilgisini veriyor ise java işletim sisteminizde kuruludur. Fakat vermiyor ise OpenJdk kurmamız gerekmekte. Yine terminal üzerinden " sudo apt-get install openjdk-11-jdk openjdk-11-jre" komutunu girelim. 

En son sürüm 11. Fakat yeni sürüm çıkmış mı diye kontrol etmenizde fayda var. Kurulduktan sonra kullandığımız browser üzerinden Burp Suite Dowloand aramasını gerçekleştirelim. Çıkan sonuçtan burp suite'nin resmi sitesine girelim.

 İlk sırada yer almakta. Önümüze gelen ekranda Dowloand the latest version yazıyor. Yani türkce anlamı ile en son sürüm indir demek.  En son sürümü indiriyoruz. Ardından ücretsiz veya ücretli olarak seçim yapıp işletim sistemimizi seçiyoruz. 

Download butonuna basarak indirme işlemini gerçekleştiriyoruz. İndirdikten sonra terminal üzerinden java ile çalıştırıyoruz. Çalıştırmak için ise komut " sudo java -jar -Xmx2g burpsuite_dosyası.jar ". burpsutei_dosyası.jar yerine kendi indirdiğiniz burpsuite yazılımının adı ile değiştirin.

Önünüze bir pencere gelicek. Gelen pencereden I accept (kabul ediyorum) butonuna basın. Daha sonra ise next butonuna. Start Burp diyerek proxy aracınızın kurulumu tamamlanmış olucak.

Eğer işletim sisteminiz windows ise bu kurulum adımlarını inceleyin.

Tekrardan burp suite resmi sitesine giderek işletim sistemimizi windows olacak şekilde ayarlayıp indirme işlemini gerçekleştiriyoruz. 

Resmi siteye gitmek için tıkla.

 Burp suite aracımız exe uzantılı şekilde inmeye başlayacak. İndirme işleminden sonra programı çalıştırıyoruz. Gelen ekrana next (ileri) diyoruz. Nereye kurulmasını istiyorsak o klasörümüzü seçiyoruz. Ben direk next olarak geçiyorum kendine otomatik yer belirledi zaten.

 Başlatma menüsünde kısayol oluşturmak istiyor. Sizin kararınıza bağlı olarak ister izin verebilir ister vermeyebilirsiniz. Daha sonra finish butonuna basarak kurulum adımını bitiriyoruz. Tekrar burp suite aracımızı açıyoruz.

 Önümüze çıkan ekrandan kabul ediyoruz ve  next diyoruz. Son adım olarak da start burp butonuna tıklayarak aracımızın açılmasını sağlıyoruz. Kurulum işlemini başarı ile sonlandırdık.

Https Desteği Nedir - Neden Yapmamız Gerekir ?

Burp suite kurulumundan sonra gelen istekleri kontrol etmek için öncelikle burp sertifikasını yüklememiz gerek. Peki neden yüklüyoruz ? 

Bunun sebebi http güvenli olmayan protokol olduğu için güvenli olarak https protokolü geliştirildi. Bu durmunun sonucunda tarayıcıdan yazılım veya herhangi bir araç ile bir işlem yapılmasına müdühale etmemektedir. 

Bu yüzden http üzerinden işlem yaparken https üzerinden bağlantınız güvenli değil hatası vericektir. Bunun önüne geçmemiz için de burp suite sertifikasını kurmamız gerekir.

Burp Suite İçin Proxy Yapılandırılması Nasıl Yapılır ?

Öncelikle Firefox üzerinden menuler kısmını açıp ayarlar butonuna basalım. Ayarlar ekranına geldikten sonra Genel sekmesine girelim. Ordan ise Ağ Proxy alanına tıklayalım. Daha sonra aşşağıda gösterceğim şekilde ayarları yerleştirelim.

Daha sonra https isteklerini yakalamak için burp suite'nin sertifikasını indirelim. Sertifikayı indirmek için tarayıcımıza http://burp yazıp sitemize gidelim. Açılan ekranda en sağda CA Certificate yazan bölüme tıklayalım ve nereye indirmek istiyorsanız o dizini seçin.

 Seçtikten sonra tekrardan firefox üzerinden  Firefox  Menüsü > Ayarlar > Gizlilik ve Güvenlik bölümünden sertifika bölümüne giriyoruz. Sertifikaları göster yazan yere tıklayıp import yazan yerden indirmiş olduğumuz sertifikayı import ediyoruz.

 Bu sayede https desteği de sağlayabileceğiz.

Şimdi ise gelelim burp suite üzerindeki menulerin ne amaç ile kullanıldığına.

Target Bölümü Ne İşe Yarar ?

Target bölümünde bir çok işlem yapılmakta. Sırayla hepsini anlatmaya çalışacağım.

Sitemap Sekmesi Ne İşe Yarar : Site üzerinde harita belirlememize yarar. Girmiş olduğumuz siteler hakkında bize dökümanlar sunmakta. Site üzerindeki giden istekleri ve dönen cevapları da göstermekte.

Tüm girdiğimiz siteler sitemap üzerinde olunca aradığımızı bulmak hayli zor oluyor. Gözümüze bir sürü site gelerek  kafamızı karıştırmasına yol açıyor. Fakat merak etmeyin burp suite bize filtreleme imkanı da sunuyor. 

Scope Sekmesi Ne İşe Yarar :  Eğer hedef odaklı çalışıyor ve işlemlerimizi gerçekleştiriyor isek veya sadece hedef hakkında bilgi toplamak istiyorsak burp aracımıza söyleyerek sadece hedef üzerinde işlem yapabilmemize olanak sağlayacaktır.

 Domain kısmında hedef belirterek hedef odaklı çalışabiliriz. Belirttiğimiz domain üzerinden sağ tıklayarak Add to scope menüsüne basarak hedefimizi tanımlamış ve üzerinde işlem yapacak hale getirmiş olduk.  Kısaca bu amaç için kullanılır.

Proxy Bölümü Ne İşe Yarar ?

Daha önce de bahsettiğimiz gibi web sunucu ve tarayıcı arasındaki gelip-giden verileri incelememize yarar.  Proxy ayarlarımızı bu alanda yapılandırabiliriz.

İntercept Sekmesi Ne İşe Yarar : En çok kullandığımız sekmelerden biridir. Hedef site üzerinde işlem yaparken intercept menüsünden dinleme işlemini açarız. 

Bu sayede hedef sistemde istek gönderilmeden tutmuş oluruz. Çeşitli düzenlemeler yaparak isteği gönderebiliriz. Ya da drop edebiliriz. Siteyi dinlemek için itercept on yaparak tarayıcımız üzerinden yapılacak olan tüm işlemlerin arasına girebiliriz. Tekrar off yaparak da aradan çıkabiliriz.

Http History Sekmesi Ne İşe Yarar ?

Sitemap üzerinde yer alan işlem yaptığımız siteler üzerinde ayrıntılı olarak bilgi veren döküman yer alır.

Options Sekmesi Ne İşe Yarar ?

Server ve sunucu ayarlarının yapılandırmasını yaptığımız alandır. Burda yapılan bir değişiklik olduğunda firefox üzerinden tekrar proxy kısmını yapılandırdığımız ayarlara göre değiştirmeniz gerekir. Aksi taktirde herhangi bir iletişim kurulmaz.

Scan Sekmesi Ne İşe Yarar ? 

Hedef olan sitemiz üzerinden dizin keşfi yapıp bize sunmakta.  Ayrıca kendi bulduğu zaafiyetleri de bize göstermekte. Sanırım bu özellik paralı sürüme taşındı.

İntruder Bölümü Ne İşe Yarar ?

Bruteforce (Kaba Kuvvet) saldırıları için kullanılan bir bölümdür. İstediğiniz veriyi değişken olarak seçerek değişken yerine wordlist dosyası ile deneme yanılma saldırısı yapılmaktadır.

Genel amacı ile bruteforce saldırıları için kullanılır. Örneğin bir wordpress admin paneline rastgele bir login deneyerek yakaladığınız isteği intruder' atarak kullanıcı adı ve parola verilerini değişkene alıp wordlist belirterek işlem gerçekleştirebilirsiniz.

Target Sekmesi Ne İşe Yarar  :  Hedef sitenin bilgileri yer almaktadır.

Position Sekmesi Ne İşe Yarar : İntercept üzerinden yakaladığımız isteğe sağ tıklayıp send to intruder menüsüne tıklayarak isteği bu alana gönderebiliriz. Bu sayede çeşitli işlemler yapabiliriz.

Payload Sekmesi Ne İşe Yarar : Payload sekmesinde alınan değişkenlerin bir dosya üzerinden mi veya harf ve sayılardan rastgele oluşturularak mı denemeler yapsın dediğimiz alandır.

Repeater Bölümü Ne İşe Yarar ?

Türkce olarak tekrarlayıcı anlamına gelen repeater bölümü herhangi bir istek üzerinde defalarca işlem yapmamızı sağlayan bölümdür. Yani intercept üzerinden bir isteği sağ tıklayıp send to repeater diyerek üzerinde tekrar tekrar işlem yapıp ve bu istekleri tekrardan göndermemize yarayan bölümdür.

Decoder Bölümü Ne İşe Yarar ?

Elimizde bulunan verileri istediğimiz şifreleme türüne çevirmek için kullandığımız bir alandır. Aynı zamanda şifrelenmiş bir veriyi çözmemize de olanak sağlar. Genellikle waf ( güvenlik duvarı ) atlatmak için kullanılır. Verileri waf yakalanmaması için anlaşılmaz hale getirip bu şekilde atlatma işlemi gerçekleştirirler.

Extender Bölümü Ne İşe Yarar ?

Diğer geliştiricilerin kodladığı eklentileri burp üzerinden kullanmanıza olanak sağlar. Daha gelişmiş bir eklenti veya burp üzerinde olmayan yazılımları ekleyebilirsiniz.

Hepsini atlamasak da önemli yerleri anlattık. Hepsini anlatmaya çalışsak heralde kitap yazmamız gerekir. Umarım konu hoşunuza gitmiştir.

Buraya kadar okuduysanız eğer :

 

En ünlü yazılımcıların yaptığı sistemleri kullansak da onları bilmiyor olabiliriz. Yazılım dünyasına girer iseniz bunların hepsini tanıma fırsatınız olacaktır. Bugün sizlere en çok tanınan , en ünlü yazılımcılarını sunduk. İyi Okumalar.

Alan Turing :

Alan Turing, İngiliz matematikçi, kriptolog ve bilgisayar bilimcisidir. 

Yapmış olduğu çalışmalar ile bilgisayar biliminin kurucusu kabul olarak görülür. 

Turing aygıtı ismi verilen ve algoritmaları hesaplama hünerine sahip cihazı buluş etmiştir. 

2. Dünya Savaşı sırasında Alman parolalarının çözülmesinde bu makine oldukça ehemmiyetli bir rol oynamıştı. Çağdaş bilgisayarların esas ilkeleri de bunun üzerine gelişmiştir.

Tim Berners-Lee :

Tim Berners-Lee, 1989 yılın'da html dilini (Hyper Text Markup Language) geliştirmiş.WWW olarak bildiğimiz internet dünyasını bizat kurmuştur. İlk internet tarayıcısını'da geliştiren Berners-Lee, ağ standartlarını berlirleyen W3C World Wide Web Consortium müessesesinin idareyicisi konumundadır. Şu anda Oxford Üniversitesi, ve de Massachusetts Institute of Technology MIT 'de öğretmenlik yapmaya devam etmektedir.

Grace Hopper :

Grace Hopper, bir bilgisayar bilimci ve Amerika Birleşik Devletleri donanmasında amiraldi. Programlama dilleri arasında  için ilk derleyiciyi geliştirdi. Cobal programlama dilinin geliştiricileri arasındaydı ve “debugging” ismini duyduğumuz , kusurların ayıklanması kavramının herkese duyulmasını sağladı.

Dennis Ritchie :

Dennis Ritchie, C programlama dilinin yaratıcısı olan bilgisayar dahisiydi. Ken Thompson ile birlikte Unix işletim sistemini  çıkardılar. C programlama dili bir hayli , yeni programlama dilinin de esasını oluşturdu. Sarih kaynak yazılımlar ve sistem programlama da C programlama dili sayesinde büyüdü.

Linus Torvalds :

Linus Torvald, Linux kernelini oluşturup Linux işletim sisteminin oluşmasını sağlayan bir yazılım mühendisidir. Linux Dosya Sistemlerini Kavramak: Ext4 Ve Ötesi yazısında "Linus Torvalds’ın" yaptıklarından bahsetme olanağı bulmuştuk.  

Umarım konuyu beğenmişsinizdir. Tabi ki aklınızda hep kalmayacak ama en azından başarılarını gördünüz.

 

Merhaba sevgili diyoweb takipcileri bu konumuzda sizlere front end developer nedir , front end developer ne yapar , front end developer nasıl çalışır gibi konuları içeriğimizde barındıracağız. Öncelikle kelimemizin anlamını kavrayalım ve yavaş yavaş detaylarına inelim.

Front End Developer Nedir ?

Front End Developer türkce olarak ön yüz geliştirme anlamına gelir. Yani bir web sitenin ön yüzünü , kullanıcının gördüğü tasarımı front end developer geliştirir. Yazılım dünyasında en önemli görevi üstlenirler. Bir sitenin temasını yani kullanıcıya görünen kısmını geliştirirler. Bu kişiler tasarıma uygun ve çalışan web sitesini ortaya koyarlar. Web Front-End Developer dediğimizde ilk aklımıza gelen html , css , js olmalıdır. Çünkü Front-end developer'lar bu yazılım dillerini çok iyi bilmesi gerekmektedir. Güzel projeler , görsel arayüz iyi çıkartırlarsa okadar başarılı olurlar.

Ne Yapıyor Bu Front End Developer'lar ?

1. UID tarafından öncelikli olarak grafik düzlemde arayüz tasarımı hazırlarlar. (User Interface Designer – Kullanıcı Arayüzü Tasarımcısı ya da Web Arayüz Tasarımcısı)
2. Ux gelişmelerin ilk fazlı tanımlanır. (User Experience Designer – Kullanıcı Deneyimi Tasarımcısı)
3. Tasarımın yani projenin Back-end developerlar ve markaları için anlamlı kılınmasını sağlar ve wireframe olarak marka onayına sunulur.
4. Onay sonrası projenin evrensel front-end developer kural olarak döküman eşliğinde psd versionunun , projede yer alan tüm sayfalar yani projenin tüm alanları titiz şekilde iletilir.

Front End Developer'ların Alt Dalları Nelerdir ?

• Html/Css Developer
• Front-End Web Developer
• Front-End Javascript Developer
• Front-End Software Developer
• Front-End Javascript Aplication Developer 
• Front-End Seo Expert
• Mobile/Tablet Front-end Developer 
• User İnterface Developer
• Front-End  Testing
• Front-end Accessibility Expert

Bu alt dalları front-end developer'ların genel olarak bilmesi gerek.

Front-End Developer Nasıl Olabilirim ?

Bu sorumuzun cevabı oldukca basit. Front-end developer olmak için html , css , js dillerini bilmemiz gerek. Fakat bazı firmalar x dilinde uzman olarak alabiliyor. Bazıları ise 3 ayrı dil bilmenizi isteyebilir. Bu firmaların isteğine göre değişir. Tüm dillerde kendinizi geliştirirseniz güzel bir başarıya yol çizmiş olursunuz.

Aklınızda umarım soru bırakmamışızdır. Kendinize iyi bakın.