İçeriğe atla

Ajax

Blog alemine bir kez daha tesekkür etmem gerekiyor. Bir zincir seklinde beni su anda internet teknolojisi olarak en yeni olarak kabul edilen Ajax’a ulastirdiklari için. Zinciri silsile seklinde saymam sanirim sizin içinde faydali olur. Ilk kaynak alexking Gerçekten çalismalarini ve üretkenligini takdir etmemek elde degil. Su anda gelistirmekte olduklari online feed reader projesi için bayagi zaman harcadiklari ortada. Google’in pazar politikasinda oldugu gibi su anda davetiye usulü hizmet veriyor ve sadece firefox browserini destekliyorlar. Alex King’in bloguna bakarken, feedlounge ‘un elestirisini yapan Dougal Gunters’in sitesine ulastim. Aslinda Alex’in ve diger arkadaslarinin içinde oldugu gurubun yaptigi çalismanin Ajax denilen yeni bir teknolojiler bütünün ortaya çikisi oldugunu ögrendim. Son durakta Jesse James Garrett’in Ajax’in ne oldugu, neden böyle biseye ihtiyaç duyuldugu ve nasil olacagi hakkindaki yazisina ulastim.

Ajax aslinda apayri bir teknoloji degil, mevcut teknolojiler bütünü demek ifade açisindan daha dogru olur diye düsünüyorum.

  • XHTML ve CSS
  • XML ve XSLT
  • XMLHttpRequest
  • ve bunlarin hepsini birbirine baglayan JavaScript

Esas amaç web tabanli uygulamlari masa üstü yazilimlara hem görsellik hem de sürat açisindan ayni düzeye getirmek. Su an için javascript ve sunucu tabanli hazirlanmis bir sayfada her islemden sonra sizin isteginizin sunucuya iletilmesi, sunucuda bunun isleme sokulmasi ve sonucunun size aksettirilmesi, yani ekran karsisinda beklemek. Burada ortaya Ajax kavrami çikiyor.XML tabani ile kullaniciya kaynak saglamak ve bunlarin üzerinde Javascript ile yazilmis kod ile isteklere aninda cevap vermek. Yazida geçtigi kadariyla google bu ise çok para yatiriyormus su anda. Zaten google maps bunun bir örnegi olarak çikti. Web arayüzünün masa üstü arayüzüne dönüsü çok zor gibi gelirdi ama onun ile ilgili bu örnek en azindan programlarda gördügümüz üst menü açisindan bu konunun ortadan kalktigini gösteriyor. Siteler üzerinde hizli çalismanin verdigi rahatlik baya hos olacaga benziyor fakat güvenlik konusu da biraz daha ortaya çikacaktir sanirim. Kullanici tarafindan browserlar daha bir önem tasimaya basliyacak, bu sefer web serverlarda açik bulma yarisi browserlara dogru geçecek sanirim, kanin vücuttaki hareketi gibi.

ajax

WEP – WPA ve WPA -2

Kablosuz ag ülkemizde de yayginlasmaya basladi bilhassa istanbulda, bir sokaktan geçerken 4-5 tane wireless modem yada access pointe denk gelmemek isten degil. Yalniz güvenlik konusunda çok gerilerde oldugumuz için, henüz kisisel bilgisayarimizin güvenligini saglayamazken (worm,trojan,virus,spyware,adware) bide kullandigimiz ag yapisinin güvenligini saglamak çikti basimiza.

Kisaca kablosuz ag güvenligi denince akliniza ilk gelenin “siz konustugunuzda sesinizin ulasacagi yerlerdeki herkesin sizi duyacagi” olmalidir. Topluluk içinde bir arkadasiniza seslendiginiz zaman sizi sadece o arkadasinizin duyacagini zannetmediginizden eminim. Aynisi kablosuz aglar için de geçerli, ortam “hava” olunca, havanin ilettigi noktaya kadar sizin verileriniz iletilir. Eger verileriniz sifreli de degilse vay halinize bütün verilerinizi ortaliga saçiyorsunuz demektir.

Kablosuz ag güvenligi için ortaya ilk atilan WEP’in neredeyse hiçbir geçerliliginin olmadigi herkesçe dile getiriliyor. WEP’in açilimi Wired Equivalent Privacy yani “kabloluya esdeger gizlilik”, tabi yalan. Neden mi? WEP’te siz bir anahtar belirliyorsunuz ve bunu o baglantiyi kullanacak bütün kullanicilara veriyorsunuz. Tabi kullanilan anahtar tek ve herkeste ayni oldugu için bir yerden sonra yalama oluyor. WEP’te baglanti kurulmadan önce WEP key denilen baglantinin sifrelenmesi için gerekli anahtar yollanir ve ondan sonra bütün görüsme o anahtarla sifrelenerek devam eder. Verilerin sifrelenmesi fikri güzel ve gerekli ama hep ayni anahtarin kullanilmasi bir süre sonra konusulan konularin etraftakilerce anlasilmasina sebep oluyor. Basit bir örnek olacak fakat türk filmlerinde gördügümüz sa-ga-ni-gi tarzi konusma sifrelemesine benzer bir durum ortaya çikacak, bir süre sonra sizin konusmalarinizda kullandiginiz küçük kodlar etraftakiler tarafindan anlasilir hale gelecek.

Adamlar (The Wi-Fi Alliance) oturup bunun için bir düzenleme yapalim diye düsünürken, iletisimde kullanilan anahtarlarin siklikla degistirilmesi fikrinin çok daha iyi olacaginda karar kilmislar. Böylelikle WPA dogmus. WEP’ten temel farklilik olarak WPA’de yapilan TKIP (Temporal Key Integrity Protocol) kullanarak belirlenen zaman araliklarinda yeni anahtarlar üretmek ve iletisimi onlarla devam ettirmek.

Eger halen WEP kullaniyorsaniz kesinlikle en yakin zamanda WPA (Wi-Fi Protected Access) ‘e geçmenizi tavsiye ederim. Eger WPA’in varligini ilk defa benden duyduysaniz zarari yok hemen WPA 2 nin çiktigini da söyliyeyim. Temelde WPA’in getirdiklerine bagli kalmasina ragmen kullanabilmemiz için maalesef kullandigimiz donanimlari degistirmemiz gerekiyor. Aslinda mevcut donanimlarda eger AES destegi varsa yazilim güncellemesi yapilarak WPA2 kullanilabilir hale geliyor fakat bu destek yoksa WPA2 ile gelen sifreleme versiyonundan(RC4 ve AES) dolayi donanimin yenilenmesi gerekiyor.

WPA2 ile WPA arasindaki temel fark, kullanilan sifreleme algoritmalarinin degistirilmesi. WPA2’de AES kullanim sarti geliyor böylelikle FIPS (Federal Information Processing Standard) standartlarina uyum saglanmis oluyor. FIPS standartlarina uymak demek kablosuz agin devlet kurumlari (ABD) tarafindan kullanilabilir hale gelmesi demek oluyor. Tabi ülkemizde o tür zorunluluklar pek olmadigi için biraz yabanci gelebilir ama ABD’de eger bir devlet kurumu kablosuz ag kullanmak istiyorum derse, verilerin sifrelemesini AES kullanarak saglamak zorunda su ana kadar bu sifreleme WEP yada WPA’in üzerinde VPN kullanarak saglaniyordu. Artik WPA2 kullanarak standartlara uyumlu hale gelinmis oluyor.

WPA2 için windowsun destegi var mi diye soruyorsaniz, bu linke bakmanizi öneririm.
Ayrica WEP-WPA ve WPA2 ile ilgili ayrintili bilgi almak için wikipediain sayfasina bakabilirsiniz.

Port knocking

Sunucunuza ssh, remote desktop veya vnc kullanarak erismek istiyorsunuz. Amma velakin bunlarin direkt olarak disar açik olmasi hackerlar için en güzel nimet. Bende bunun ile ilgili sanirim 2 sene önceydi arama tarama yaparken portknocking.org sitesini bulmustum. Kavram gerçekten çok güzel aslinda. Bir örnek vermek gerekirse, sunucunuzda ssh server (port 22) iniz var ve linux sunucunuzu ssh nimetini kullanarak shell üzerinden yönetmek istiyorsunuz. ssh’in varligi ve getirdikleri tabiki tartisilmaz bir güzellik fakat zararli güçlerin eline geçerse neler olabilecegi gayet açik. Eger sunucunuzda firewall varsa ve bir hacker sunucunuza port scan yapiyorsa muhtelemen
SSH 22
Web Server 80
ftp Server 21

bunlari bulacaktir. Tabi ssh’in varligi gözde bir isildamaya neden olacaktir. Ortalikta dolasan password list ve brute force için kullanilan araçlardan birisini çalistirarak eger sabirli birisiyse ve siz de sunucunuzun loglarini takip etmekten aciz bir yöneticiyseniz, bulana kadar devamli kullanici adi ve sifre kombinasyonu deneyecektir. ssh sunucunuzun üstünde bunun için çesitli düzenlemeler yapip, 3-5 denemeden sonra deneme kabul etme v.s. diyebilirsiniz ama remote desktop (3389) vnc (6000) portlari için ne yapabilirsiniz? Aslinda ne yapabilirsinizi demek dogru olmayabilir, yapilacak illaki biseyler bulunabilir ama konunun basligi port knocking olduguna göre bunun ile gayet güzel ve harikulade bir çözüm bulabilirsiniz.

Port knockingde, ssh sunucunuz yine 22. portta çalismaya devam ediyor ama iptables üzerinde yaptiginiz ayarlarla, 22. porta direkt baglanmasini önlüyorsunuz. 22. porta baglanmadan evvel örnegin ilk önce 1400 sonra 2200 ondan sonra 3000. portlara teker teker telnet ile baglanmayi denemesini ondan sonra 22. porta baglanmasini saglayabilirsiniz. Yani baglanmak isteyen kisi ilk önce evinizin belirli noktalarini tiklar ondan sonra siz kim o deyip kapiyi açarsiniz. Bu firewallun sagladigi güvenligin üzerine geçirilmis ve neredeyse kirilmasi mümkün olmayan bir güvenlik. Nasil mi?

1- sizin belirlediginiz sirada ilgili portlara baglanti kurmayi denemesi.
2- ilgili portlari yaptiktan sonra tekrar 22.porta baglanmayi denemesi
3- 22.porta baglandiktan sonra kullanici adi ve sifreyi bilmesi

Sanirim bundan iyisi samda kayisi olur. iptables kullanilarak bu bahsettiklerimin nasil yapilacagini anlatan çok güzel bir site var.

İlk asamada ssh için anlatiliyor olsada, bunun ile ilk akla gelen vnc ve dis dünyaya birebir açik kalmasini istemediginiz bütün uygulamalari saklayabilirsiniz.

Arama motorlarinin dünya savasi ve amazonun a9 u

Google’un arama motoru dünyasina yepyeni bir ürün getirmesi ve diğer firmalarla aralarındaki yarışa yeni bir boyut kazandirmasi, microsoft’un ve yahoo’nun paçalarının tutuşmasına neden oldu. slashdot’taki haberleri okurken bu sayfada microsoftun bu pazartesi duyurduğu yeni ürünün adını bile google’dan çalmakta çekinmediği apaçık ortada. “Virtual Earth
Bu ürününde google’ın “google earth” tarzında uydudan, uçaklardan çekilmiş fotoğraflarla bütün dünyayı ekranınıza seriyor. Google bu ürünü geçen ay duyurdu, microsoft şu anda yarışa 1 ay geç başlamış gözüküyor. Sanırım microsoft bu yarışta daha da geri kalmamak için çok daha fazla düşünmeden bu ürününü duyurdu ve takipçilerine bende varım mesajı verdi zira google haberlerde de yer aldığı gibi, dünyayı bitirdik havasıyla ay ve güneş sistemine uğraşmaya başlamış.
Aslında arama motorlarının bu alana yönelmeleri, artık üç boyutlu arama imkanı vermeleri bence bizler için çok güzel. Bunun için rekabet etmeleri de bence sevindirici. Bu teknolojinin yıllardır askeri alanda kullanıldığı biliniyor ama sivile geçişinin bu kadar ani ve hızlı olması, bu kadar yeni olmasına rağmen çoğu kişi için faydalı olacağı kanısını uyandırdı bende. Ben de meraklılar kervana katıldım ve beyaz sarayından, rusyadaki kızıl elmaya,paristeki eyfel kulesinden, çin seddine kadar ilginç bir seriye göz atma imkanı buldum.
Google ve microsoftun yanında o makalede okuduğum ve ilk defa gördüğüm amazon’un arama motorunu görmüş oldum. a9.com üzerinden de yerel aramalar ve google’ınkine benzer gerçek görüntülere ulaşma imkanı sağlanıyor.

Vmware Rss

Vmware herkesin artik vazgeçilmezi oldu. Ben de vmware ile ilgili orijinal biseyler yapan var mi diye rss kayitlari aratirken vmware’in kendi rss kaynagina denk geldim. Ne var diceksiniz? Orijinal olan sey, hangi kaynaklari takip etmek istediginizi siz seçiyorsunuz, seçimlerinize göre feed olusturuyor. İlk defa bu sekilde profesyonel bir sekilde rss destegi veren siteye denk geldim. Sizin denk geldikleriniz varsa yorum olarak eklerseniz sevinirim.

Wireless Crack (WEP – WPA)

Securityfocus’da wireless ile ilgili yazilar var mi diye arastirirken bunu buldum. Yazıya verdikleri “Live CD Paradise” başlığı tam yerine oturmuş. Gerçekten ortalık live cd cennetine döndü. knoppix ile basliyan furyanin açtigi kapidan içeri neredeyse girmeyen kalmadi. Live CD’lerin en iyi müşterileri gördügüm kadarıyla güvenlik alanında ugraşanlar. Buna da hak vermemek elde degil, birisi size gelip ya benim sistemim güvenli mi degil mi bi el ativer dedigi zaman elinizde basit birkaç tane aracin olmasi temel olarak yeterli ama bunlari windows ortaminda çalistirma imkanimiz olmadigi için ve çogunlukla sistemimizde ikinci bir linux kurulumu olmadigi için sadece bu iş için yeni bir makina hazırlanır, güzelce en hizli kurulabilecek linux sürümü seçilir ve makinaya kurulum gerçeklestirilir. Ondan sonra nessus, nmap, kismet, sebek ivir zivir akliniza ilk gelenlerin downloadu ve sonrasinda kurulumu gerçektirilir. Tabi bunlar ortam linux olduğu için kimi zaman bir gününüzü harcamanıza neden olabilir. Bununla uğraşmak uzun ve sıkıcı. Onun yerine hızır gibi yetişen live cd’lerden o anda gerekli olan birini takıp, gerekirse diske kurulum yaptıktan sonra güncellemeler yapılır ve direk iş başı. Bunun için harcanan zaman en fazla 1 bilemediniz 2 saat. Live CD’lerin bu yönünü düşününce tam bir can kurtarıcılar.

Konuya devam etmek gerekirse, bahsettiğim yazının devamında listesi verilen sürümlerden bir tanesi olan Whoppix web sitesini incelerken kablosuz ağlarda kullanilan açıkları artık neredeyse herkesçe bilinmesine ragmen kullanılan WEP’in (wired equivalent privacy) aircrack 2.2 kullanarak kırılışının (wep crack) canlı demosunu içeren bir linke yönlendirdiğini gördüm. Sitede WPA’in cracklendiği (wpa crack) anın görüntüsünü koymayı unutmamışlar. Ayrıca sayfada ilk haber olarak (en aşağıda) verilen haberde bahsedilen AutoScan baya hoşuma gitti, imkan bulduğumda test etmeyi düşünüyorum. Bi de baktim sol tarafta RSS ikonu, hemen tikladim fakat biraz hayal kırıklığı çünkü rss kaynağında sadece sürüm ile ilgili güncellemeleri duyuruyorlar.

baslamadan biten sevdaya yeni bastan:)

b2evolution ile baslayan sevdamiz maalesef yari da kaldi. feedvalidator adresinden girip blogumuzun rss’i gerçekten tanimlara uyuyor mu diye kontrol etmek istedim fakat devamli alakasi yerlerden hata aldim. Bunun üzerine encoding type kismini kontrol ederken iyice bütün dil tipleri birbirine karisti. Aslinda birbirine karistirmak lafini kullanmak çok ta yerinde degil, çünkü b2evolution’in forumunda bu konu basligi altinda açilan konular oldugunu gördüm demekki bu konu simdilik çözümsüz gözüküyor diyerek, bu içerigi size iletmemi saglayan word press’e geçisi yaptim. Default temasini çok begenmedigim için üstüne kendi sayfasindan indirebileceginiz connections temasini yerlestirdim gayet hos durdu bence.

WordPress’in tema yönetimi çok kolaylastirmislar. Tavsiye ettigi sitelerden birinden begendiginiz temayi indirip wp-content/themes/ altina zip’li dosyayi açmaniz yeterli, ondan sonra management kismina gelip yüklediginiz temayi kolaylikla degistirebiliyorsunuz. Artik word press ve temalar üzerinde modifiye yapma adimina geçicez yavas yavas önümüzdeki günlerde:)

AVG’de virüs bannerini kaldirmak

AVG’nin ücretsiz versiyonu çiktigindan beri severek ve memnuniyetle kullaniyorum. Ondan önce norton antivirüs kullanirken, arka tarafta real time monitor ettigini söyledigi halde kazaa dan indirdigin bir binary den dolayi virüs bulasmis ve güvenim sarsilmisti. Ayrica bellekten kullandigini yüksek parçalar zaten kisitli bellegim oldugu için canimi sikiyodu ki avg imdadima yetisti. AVG’yi ilk kurdugumda mail scanner yada real time monitor opsiyonlarinin olacagini tahmin etmiyordum açikcasi, zaten ücretsiz bir yazilim adamlar kasip bunu niye eklesinler diye düsünüyordum. Ama kullanmaya basladiktan sonra norton’da, panda’da yada mcafee de ne varsa aynisinin hatta benim için daha iyi olan az bellek tüketiminin oldugunu gördüm ve keyifle kullanmaya basladim.

Ama gelin görünki outlook ve outlook expressten attigim maillerin sonuna avg tarafindan taranmistir, yada aldigim maillerin sonuna avg tarafindan taranmistir temizdir ibaresini koymasi biraz canimi sikmaya basladi, web sayfalarina baktim fakat bir sey bulamadim, bende ayarlarini kurcalamaya basladim.

Incoming message contains no viruses.
Checked by AVG 7 Antivirus System, version 7.0.123, date of release January 1st 2003
Virus database 7.123.21, date of release March 2nd 2003

Asagida gördündügü gibi ana ekrandan
avg main

Email scanner’in properties’ine bakip ,oradan configure’e baktigim zaman Incoming ve Outgoing mail için

avg scanner

“Certify mail” seçeneginin oldugunu gördüm. Bu kisma erismeden önce yine bir önyargiyla avg’nin bu bannerlari kaldirmak istemiyecegini bir nevi reklam mahiyetinde oldugunu düsünüyordum, buradan “Certify mail” tiklerini kaldirdigim zaman o mesajlardan da kurtulmus oldum.

Ayrica asagida bulunan Details kismina bakarsaniz, yolladiginiz mail ile ilgili kendinizde “Bu mail sirket politikalarina göre antivirüs taramasindan geçirilmistir.” seklinde sizin isteginize bagli bir mesaj eklenilebiliyor.

idefense’ten windows üzerine açık kod honeypot

iDEFENSE labs windows platformunda çalisan honeypotunu duyurdu. Adi multipot olan ürün bence açik kodlu olmasi yönüyle çok iyi ve önü açik bir proje. iDEFENSE’ten gelen mail akabinde web sitelerine girip downloadu yapip hemen sisteme kurdum. Arayüz olarak çok profesyonel bir yapiya sahip oldugu söylenemez ayrica parali muadillerine göre çok fazla emulasyona da sahip degil ama yerel aginizdaki makinalarda birsey var mi yok mu diye makinanizda açik tutabileceginiz (2 Mb bellek yiyor hepsi o kadar) bir yazilim. Yok benim yerel agim yok ama adsl/kablo/dial-up internete baglandigim zaman bloklamanin haricinde kim benim makinama girmeye çalisiyor yada windows paylasimlarina erismeye çalisiyor diye kullanabilirsiniz. Lsass modülünün portunu degistirme imkaniniz var, böylelikle adsl modeminizden 135 ve 445. portalara gelen çagrilari Multipot’ta ayarladiginiz herhangi bir porta redirect edip,kim ne yapmaya çalisiyor görebilirsiniz.

Ayrica benim firewall loglarinda en çok karsilastigim MyDoom ve Optix’i koymuslar. Bunun haricinde Lsass içinde modül tasarlamislar, lsass için ortalikta dolasan malware’lerden herhangi birisi tarafindan ele geçirilmis makinalari “Infected Hosts kismindan” görmek mümkün.

Emülasyonunu yaptiklari modüller:

MyDoom – TCP 3127
Optix – TCP 2060 and 500
Bagle – TCP 2745 and 12345
Sub7 – TCP 27347
Kuang2 – TCP 17300
Veritas – TCP 6101 and 10000

printf(“hello world”);

Merhaba diyerek baslamak bir türlü nasip olmadi bugün. b2evolution’un kurulumunu sabah 6’da tamamlayip ilk mesajimi yaziyim istedim ama “permission denied” larla karşılaşınca “easy installer guide” dan devam etmeye başladım. Saat 13:22 itibariyle bir MERHABA der hale gelebildim nihayet.

2 hafta evvel gördügüm ve birden bire vuruldugum rss ile çok kisa bir sürede ahbap olup, sitemdeki siirleri bile o hizla rss formatinda yayinlar duruma geldim. rss feed leri ararken bir de baktim bloglarda bir dünya yatiyor, gününün yarisini internette geçiren birisi olarak bir blogda ben katiyim bu dünyaya diyerek blogumla karsiniza geldim.

Artik yazilarimla, gün içinde gördüklerim,ögrendiklerimi size aktarip yeni baslayan ve su anda devam etmekte olan arkadaslara faydali olmaya calisacagim. “Comment” leriniz ve e-maillerinizle katilimlariniz tabiki beni çok mutlu kilacaktir.

css.php