Web Uygulama Testlerinde Burp İle Farklı Bir Port Adresi İçin Kimlik Doğrulamanın Düzenlemesi

Bu yazıda web uygulama sızma testlerinde Burp aracılığı ile platform otantikasyonunun öntanımlı port yerine özel bir port üzerinden gerçekleştirmesi anlatılmaktadır. 

Burp, öntanımlı olarak 80 ve 443 portlarında  "platform authentication"'ı desteklemektedir; fakat başka bir port ile otantikasyon yapılmak istenirse “localhost:9001” gibi “Destination host is not valid hatası” dönmektedir.

Bu sorun,  port yönlendirme yapılarak çözülebilir.

Bu çözümde bağlanılmak istenen sunucu ve port değeri 192.168.1.10 ve 9001 şeklindedir. Burp ile ön tanımlı olarak bu portu kullanan IP adreslerinin kullanımında sıkıntı yaşanmaktadır. Aşağıda bu sorunun aşımı için kullanılabilecek bir port yönlendirme yöntemi Windows işletim sistemi için açıklanmıştır.

"netsh interface portproxy add v4tov4 listenport=80 listenaddress=127.0.0.1 connectport=9001 connectaddress=192.168.1.10"

Not: CMD komut satırının yönetici modunda çalıştırılması gerekmektedir.

Komut satırı üzerinden uygulanan komutları açıklamak gerekirse; 127.0.0.1:80 URL'ine istek yapıldığında mevcut istek 192.168.1.10:9001 portuna yönlendiriliyor, burp tarafında ise ilgili credentials'lar ile login işlemi sağlıklı bir şekilde gerçekleştirilebiliyor.

Burp tarafındaki yapılandırma ise aşağıda belirtildiği şekilde gerçekleştirilmelidir.

Bu sorunun çözümü için kullanılabilecek farklı yöntemlerin bulunması halinde yorum eklemekten çekinmeyiniz. 

İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmeliğe Göre Yükümlülükler

Giriş

11 Nisan 2017 tarihli 30035 sayılı Resmi Gazete’de 5651 sayılı İnternet Ortamında Yapılan Yayınların Düzenlenmesi ve Bu Yayınlar Yoluyla İşlenen Suçlarla Mücadele Edilmesi Hakkında Kanunu ile ilişkili Bilgi Teknolojileri ve İletişim Kurumu (BTK) tarafından oluşturulan İnternet Toplu Kullanım Sağlayıcıları Hakkında Yönetmelik yayınlanarak yürürlüğe girdi.

Kanuna göre İnternet Toplu Kullanım Sağlayıcıları, kişilere belli bir yerde ve belli bir süre internet ortamı kullanım olanağı sağlayanlar olarak tanımlanmaktadır. Örneklerle somutlaştıracak olursak bu kategorideki internet sağlayıcılar kafe, otel, işyeri vb. kuruluşlarda kullanıcılarına internet ortamı sağlayanlardır. Bir diğer toplu kullanım sağlayıcı ise yönetmelikte; Ticari Amaçlarla İnternet Toplu Kullanım Sağlayıcıları olarak belirtilmiş olup, internet salonu gibi umuma açık yerlerde belirli bir ücret karşılığında internet kullanım hizmeti veren kuruluşlar olarak tanımlanmaktadır.

Yönetmeliğe Göre Yükümlülükler

İnternet Toplu Kullanım Sağlayıcıları;

• Ağları üzerinden sağladıkları internet hizmetinde kullanıcıların konusu suç oluşturan içeriklere erişimini önleyici tedbir almak amacıyla içerik filtreleme sistemi kullanmak,
• Kullanıcıların erişim kayıtlarını elektronik ortamda kendi sistemlerinde kaydederek 2 yıl süreyle saklamak,
• Kullanıcıları tanımlamak için kısa mesaj servisi (SMS) gibi yöntemleri kurmakla yükümlüdür.

Ticari Amaçla İnternet Toplu Kullanım Sağlayıcılar;

• Mülki idari amirden izin belgesi almak,
• Erişim sağlayıcılardan sabit IP adresi almak, kullanmak ve IP adresi değişikliklerini 15 gün içerisinde mülki amire bildirmek,
• Ailenin, çocukların korunması ve konusu suç oluşturan içeriklere erişimi önlemek amacıyla aktif halde, güncel tutulan, devre dışı bırakılamayan içerik filtreleme sistemi ve güvenli internet hizmeti kullanmak,
• Erişim kayıtlarını elektronik ortamda kendi sistemlerinde kaydetmek ve 2 yıl süreyle saklamak, bu erişim kayıtlarının doğruluğunu, bütünlüğünü ve gizliliğini doğrulayan değeri günlük olarak kaydederek ve bu verileri 2 yıl süreyle saklamak
• İşyerinin kapatılması veya devrini 15 gün içinde yetkili mülki amire bildirmek ve izin belgesini teslim etmekle yükümlüdür.

Yönetmeliğe buradan ulaşabilirsiniz.