Oturum Çalma (Session Hijacking)

White Death · 05-03-2009, 19:24

Oturum çalma başka bir kullanıcının oturumuna sahip olma anlamına gelir.

Oturum çalmanın ilk aşaması Oturum Tespiti(Session Fixation) veya başka yöntemleri kullanarak oturum anahtarını ele geçirmektir.

Bu bölüm oturum anahtarının elegeçirilmesi durumunda tehlikenin daha aza indirilmesi için yapılabilecekler hakkındadır. Oturum anahtarı elegeçirildikten sonra neler yapılabilir?

Basit bir oturum yönetiminde oturumu ele geçirmek için tek gerekli olan şey oturum anahtarıdır. Oturum hakkında daha fazla bilgi edinmek için HTTP isteklerine de bakılabilir.

Not: TCP/IP seviyesindeki bilgiler (Örneğin IP adresi) çok güvenilir değildir ve üst seviyedeki işlemler hakkında bilgi vermezler. Örneğin kullanıcın IP adresi işlem sırasında değişebilir.

Recall a typical HTTP request:

Alıntı:

GET / HTTP/1.1

Host: example.org

User-Agent: Mozilla/5.0 Gecko

Accept: text/xml, image/png, image/jpeg, image/gif, */*

Cookie: PHPSESSID=1234

Sadece Host başlığı HTTP/1.1 için gereklidir. Oturum çalmayı engellemek için tutarlılık önemlidir. Yani kullanıcın aynı kişi olduğundan emin olmak gereklidir.

Yukarıdaki isteğin farklı bir User-Agent başlığına sahip olduğu düşünülürse aşağıdaki bir istek geldiğinde :

Alıntı:

GET / HTTP/1.1

Host: example.org

User-Agent: Mozilla Compatible (MSIE)

Accept: text/xml, image/png, image/jpeg, image/gif, */*

Cookie: PHPSESSID=1234

Aynı çerez gönderilmesine rağmen bu isteği yapanın aynı kullanıcı olup olmadığı önemlidir. User-Agent başlıklarının değerindeki farklılık kullanıcının tarayıcı değiştirdiğini gösterir. Bu mantıklı değildir çünkü kullanıcı sayfada gezinirken tarayıcıyı aynı oturumda değiştiremez. Oturum yönetimine yeni bir kontrol eklemek sağlamlaştırır.

Alıntı:

<?php

session_start();

if (isset($_SESSION['HTTP_USER_AGENT']))

{

if ($_SESSION['HTTP_USER_AGENT'] != md5($_SERVER['HTTP_USER_AGENT']))

{

/* Şifre ekranı */

exit;

}

}

else

{

$_SESSION['HTTP_USER_AGENT'] = md5($_SERVER['HTTP_USER_AGENT']);

}

?>

Şimdi saldırgan User-Agent başlığının değerini de doğru olarak göndermek zorundadır. Bu tabiki saldırganın işini biraz daha zorlaştırır.

Bu durumu daha da geliştirmemiz gereklidir. Çünkü saldırgan ilk önce kendi sitesini ziyaret ettirerek doğru User-Agent değerini bulabilir.

User-Agent değerinin Md5 ile şifrelenmiş halini kullanmak işi zorlaştırsa da tecrübeli bir saldırgan tarafından tahmin edilebilir. Saldırganın tahminini zorlaştırmak için bu şifrelenmiş değere rastgele bir değer ekleyerek zorlaştırabiliriz :

Alıntı:

<?php

$string = $_SERVER['HTTP_USER_AGENT'];

$string .= 'SHIFLETT';

/* Add any other data that is consistent */

$fingerprint = md5($string);

?>

Oturum kontrolü sırasında herhangi bir hata tespit edildiğinde kullanıcıya suçlu muamelesi yapılmamalıdır ve sadece şifre sormak çoğu zaman yeterlidir. Bu hem daha yumuşak bir çözümdür hem de kullanıcıların güvenlik önlemlerini görmelerini sağlar.

Bu konuda birçok koruma yöntemi vardır. En azından direk olarak session_start() kullanmadan önce oturum kontrollerinin yapılması belli aşamada güvenlik sağlar. Her zaman akılda tutulması gereken ise art niyetli kullanıcıları engellemeye çalışıyorken normal kullanıcıların işini zorlaştırmamaktır

Not: Bazı güvenlik uzmanları User-Agent başlığının yüzde yüz tutarlı olmadığını belirtmişleridir. Bunun sebebi ise HTTP proxy sunucusu kullanılan sistemlerde User-Agent değerinin kolayca değiştirilebileceği biliniyor. Yazar kişisel olarak böyle bir durumla karşılaşmadığını fakat göz önünde bulundurulması gerektiğini belirtiyor.

Accept başlığı Internet Explorer tarayıcısında sayfa yenilendiğinde değiştiği için bu başlık kontroller sırasında kullanılmamalıdır

Kaynak: Araştırma.. Arama motorları..

hellooo · 05-04-2009, 02:00

pek bişey anlamadım hocam şifre çalmak için neler gerekli ? muhakkak kırk fırın ekmek ama ben haalaa çalanını görmedim ya herkez boşa sıkıyor

m0liver · 05-04-2009, 02:07

Alıntı:

Orjinal Mesaj Sahibi hellooo

pek bişey anlamadım hocam şifre çalmak için neler gerekli ? muhakkak kırk fırın ekmek ama ben haalaa çalanını görmedim ya herkez boşa sıkıyor

Yazılım öğrenmenizi tavsiye ettim defalarca... Chris Shiflett'ın anlattığı bir yöntemdi bu bildiğim kadarıyla. Şu kodları anlamanız için PHP dilini bilmeniz gerekiyor.

Burada zaten şifre çalmıyorsunuz. Oturum bilgisi(SESSION) çalıyorsunuz. Hotmailde yapıyorduk bunu zamanında tek tıkla çalabiliyordunuz HOTMAIL hesaplarını... Tabi şimdi yamalandı(fixed) o ayrı... Forumda defalarca bahsedildi.

c0deMaqician · 23-04-2009, 16:35

Php altyapısını ögrenmek için cok kolay bir dil ama ilerledikçe zorlaşıyor .
Ögrenmenizi tavsiye ederim .

mehmet159 · 28-04-2009, 21:32

hiç bişiçikkk anamadım gardaş palaşım üçün saolasın

supercoder07 · 14-01-2012, 17:46

gerçekten süper bir döküman bu arsive attım eğer anahtar çözme yi bilirseniz seesionla şifresiz her forumda admin olursunuz

tabiki sessionların şifre kontrolü yapılmassa vbullettin gibi

Konu Araçları	Bu Konuda Ara
Printer Çıktısını Göster Sayfayı Emaille Yolla	Bu Konuda Ara: Gelişmiş Arama

05-04-2009, 02:00	#2
hellooo Çırak Kayıt Tarihi: Apr 2009 Üye numarası: #322974 Mesaj sayısı: 5 Karma etkisi: 0 Karma: 10	pek bişey anlamadım hocam şifre çalmak için neler gerekli ? muhakkak kırk fırın ekmek ama ben haalaa çalanını görmedim ya herkez boşa sıkıyor

23-04-2009, 16:35	#4
c0deMaqician Çırak Kayıt Tarihi: Apr 2009 Üye numarası: #325938 Mesaj sayısı: 25 Karma etkisi: 0 Karma: 10	Php altyapısını ögrenmek için cok kolay bir dil ama ilerledikçe zorlaşıyor . Ögrenmenizi tavsiye ederim .

28-04-2009, 21:32	#5
mehmet159 Daimi Üye Kayıt Tarihi: May 2008 Üye numarası: #222891 Yer: e BaqaN YüreK YaqaN Mesaj sayısı: 618 Karma etkisi: 942 Karma: 93741	hiç bişiçikkk anamadım gardaş palaşım üçün saolasın

14-01-2012, 17:46	#6
supercoder07 Banned Kayıt Tarihi: Sep 2011 Üye numarası: #562625 Mesaj sayısı: 250 Karma etkisi: 0 Karma: 28580	gerçekten süper bir döküman bu arsive attım eğer anahtar çözme yi bilirseniz seesionla şifresiz her forumda admin olursunuz tabiki sessionların şifre kontrolü yapılmassa vbullettin gibi

Şu Anda Konuyu Görüntüleyenler: 1 (0 üye ve 1 misafir)