Linux adli izleri: kayıtlar, geçmiş ve kalıcılık
Ele geçirilmiş bir Linux sunucuda oturum açma kayıtlarını, kabuk geçmişini, zamanlanmış görevleri, servisleri ve SSH anahtarlarını inceleyerek saldırganın ne yaptığını ortaya çıkarırsın.
Seviye 201 · 16 ders · 15 pratik lab
Dersler
Hesaplar ve oturumlar
- /etc/passwd, shadow ve group: yeni ya da değişmiş hesaplar
- auth.log ve secure: SSH girişleri ve sudo kullanımı
- last, lastb ve lastlog ile wtmp, btmp kayıtları
- authorized_keys, known_hosts ve SSH yapılandırması
- Kısa görev: saldırganın ilk girdiği hesabı ve saati bul
Komutlar ve dosyalar
- Kabuk geçmişi: .bash_history ve geçmişin silinmesi
- /tmp, /dev/shm ve noktalı gizli dosyalar
- find ile belli bir zaman aralığında değişen dosyalar
- dpkg --verify ve rpm -Va ile değiştirilmiş sistem dosyaları
- Kısa görev: saldırganın indirdiği araçları ve yerlerini listele
Kalıcılık ve sistem kayıtları
- cron ve at ile kalıcılık izleri
- systemd servisleri ve zamanlayıcıları ile kalıcılık
- .bashrc, profile ve ld.so.preload ile kalıcılık
- journalctl ile sistem günlüğünü delil olarak okumak
- Web sunucusu dizininde web kabuğu izleri
- Bitirme görevi: ele geçirilmiş bir web sunucusunun imajından saldırı hikâyesini çıkar
Pratik lablar
- Yeni eklenmiş hesabı bul: /etc/passwd ve shadow dosyalarından sonradan eklenmiş ya da yetkisi değişmiş hesabı belirle.
- SSH girişlerini ve sudo kullanımını çıkar: auth.log'dan başarılı SSH girişlerini ve çalıştırılan sudo komutlarını sırala.
- İlk girilen hesabı ve saati bul: wtmp, btmp ve auth.log kayıtlarını birleştirerek ilk yetkisiz girişin hesabını, adresini ve saatini kanıtla.
- authorized_keys dosyalarını denetle: Tüm kullanıcıların authorized_keys dosyalarını listele ve tanınmayan anahtarı işaretle.
- known_hosts'tan nereye bağlanıldığını çıkar: known_hosts ve kabuk geçmişinden bu sunucudan hangi makinelere SSH yapıldığını çıkar.
- Değiştirilmiş SSH yapılandırmasını bul: sshd_config ve ek yapılandırma dosyalarındaki zayıflatıcı değişiklikleri bul ve değişim zamanlarını ver.
- Kabuk geçmişinden komutları oku: .bash_history dosyasından indirilen araçları ve çalıştırılan komutları listele.
- Zaman aralığında değişen dosyaları bul: find ile olay saatinin iki saat çevresinde değişen dosyaları listele ve /tmp ile /dev/shm içindekileri ayır.
- Değiştirilmiş sistem dosyalarını doğrula: dpkg --verify ile paket içeriğine uymayan sistem dosyalarını bul ve hangisinin değiştirildiğini özetle kanıtla.
- cron ve at girdilerini denetle: Tüm kullanıcıların cron girdilerini listele ve şüpheli olanı işaretle.
- systemd servisi ve zamanlayıcı izleri: Sonradan eklenmiş systemd birimini bul, çalıştırdığı dosyayı ve oluşturulma zamanını yaz.
- Kabuk başlangıç dosyaları ve ld.so.preload: .bashrc, profile ve ld.so.preload içindeki kalıcılık izlerini bul ve her birinin ne zaman tetiklendiğini açıkla.
- journalctl ile olay saatini oku: Sistem günlüğünden olay saatindeki servis yeniden başlatmalarını ve hataları çıkar.
- Web dizininde web kabuğu izini bul: Web kök dizininde sonradan eklenmiş betiği bul ve erişim kaydındaki ilk çağrısını göster.
- Web sunucusu imajından olay hikâyesi: Turnalı Perakende'nin hazır sunucu imajından giriş, araç indirme ve kalıcılık adımlarını zaman sırasıyla anlat.
Kurs hakkında
Ele geçirilmiş bir Linux sunucuda oturum açma kayıtlarını, kabuk geçmişini, zamanlanmış görevleri, servisleri ve SSH anahtarlarını inceleyerek saldırganın ne yaptığını ortaya çıkarırsın.
Ne öğreneceksin
- Hesaplar ve oturumlar
- Komutlar ve dosyalar
- Kalıcılık ve sistem kayıtları
Ön koşullar
Aynı yolun 101 düzeyindeki kurslarını bitirmiş olmak ya da o konuları biliyor olmak yeterlidir.
Lab ortamı
Dersler, tarayıcında açılan sana özel bir Kali Linux terminalinde geçer. Kurulum gerekmez; lab her derste temiz başlar.
Sık sorulan sorular
- Bu kurs benim düzeyime uygun mu?
- Kurs 201 düzeyindedir; daha düşük düzeydeki kursların konularını bildiğin varsayılır.
- Kurulum gerekir mi?
- Hayır. Her ders tarayıcında açılan sana özel bir lab ortamında geçer.
- Dersler nasıl işleniyor?
- Her ders 8 ile 10 adımdan ve bir kısa sınavdan oluşur. İlk adımlarda yazman gereken komut gösterilir, sonraki adımlarda yardım azalır; iki denemede takılırsan çözüm açılır.
- Ücretsiz deneyebilir miyim?
- Evet. Her kursun ilk üç dersi ücretsizdir.