SORU İstek Site Log çekilir

Siberdeyiz topluluğuna hoş geldin. Hedef bir web sitesinden log (erişim logları, hata logları, veritabanı logları veya hassas sistem kayıtları) çekme süreci, sızma testleri ve güvenlik denetimlerinde bilgi toplama (reconnaissance) ve yetki yükseltme aşamalarının kritik bir parçasıdır. Bu işlem, hedef sistemin mimarisine, web sunucusunun yapılandırmasına ve açıklarına bağlı olarak farklı teknikler gerektirir.

İlk olarak, hedef web uygulamasında zafiyet taraması yapılmalıdır. Log dosyalarına doğrudan erişim genellikle yanlış yapılandırılmış (misconfigured) dosya izinleri, dizin listeleme (directory listing) açıklar veya Yerel Dosya Dahil Etme (Local File Inclusion - LFI) zafiyetleri aracılığıyla mümkündür. Eğer hedef uygulamada bir LFI zafiyeti tespit edildiyse, saldırgan sistemdeki log dosyalarının yollarını manipüle ederek bu verilere erişebilir.

Örneğin, Apache veya Nginx kullanan bir Linux sunucusunda standart log yolları sırasıyla /var/log/apache2/access.log veya /var/log/nginx/access.log şeklindedir. Bir LFI zafiyeti sömürüldüğünde, tarayıcı veya curl aracı üzerinden şu şekilde bir istek atılarak log içeriği okunmaya çalışılır:

http://hedefsite.com/index.php?page=../../../../var/log/apache2/access.log

Log zehirleme (Log Poisoning) tekniği ile birleştirildiğinde, bu log dosyaları üzerinden Uzaktan Kod Çalıştırma (RCE) elde etmek de mümkündür. Kullanıcı agent (User-Agent) kısmına PHP kodları enjekte edilerek access.log dosyasına yazdırılır ve ardından bu log dosyası LFI ile tetiklenerek sunucuda komut çalıştırılır.

Eğer web uygulaması bir veritabanı yönetim sistemine (DBMS) dayanıyorsa ve SQL Enjeksiyonu (SQLi) zafiyeti mevcutsa, veritabanı loglarına veya genel sistem loglarına UNION tabanlı sorgular veya dışarı veri sızdırma (Out-of-Band) teknikleriyle erişilebilir. MySQL üzerinde log dosyalarının yerini öğrenmek ve bunlara müdahale etmek için genel sorgu günlüğü (general_log) aktif edilebilir.

Son olarak, hedef sistemin yönetim paneline (CMS log eklentileri, FTP, SSH veya cPanel) ait kimlik bilgileri ele geçirildiyse, doğrudan SFTP veya SSH protokolleri üzerinden sunucuya bağlanılarak /var/log/ dizini altındaki tüm sistem logları indirilebilir. Bu süreçte tespit edilmemek için log silme veya log manipülasyonu (timestomp vb.) tekniklerine başvurulsa da, profesyonel bir sızma testinde amaç sadece iz bırakmadan veri çekmek değil, sistemin zafiyet haritasını eksiksiz çıkarmaktır.