TryHackMe Red: LFI Bypass ve Gerçek Zamanlı Saldırı Senaryosu

TryHackMe'nin Red odasında karşına çıkan senaryo sıradan bir web sitesi değil: Apache sunucusunda çalışan basit bir şablon, ancak index.php?page= parametresi tehlikeli bir şekilde dosya okuma işlevi taşıyor. Bu, Local File Inclusion (LFI) açığının klasik örneği. Sayfayı yüklemeye çalışırken, sunucu dosyaları doğrudan okuyabiliyor.

Recon aşamasında nmap ile tarama yaptığında karşına SSH (22) ve HTTP (80) portları çıkıyor. Apache 2.4.41 ve OpenSSH 8.2p1 çalışıyor. Buradaki anahtar, index.php?page= parametresinin nasıl filtrelediğini (veya filtrelenmediğini) anlamak. Tipik LFI saldırılarında, saldırgan page=../../../etc/passwd gibi yollar deneyerek sistem dosyalarına ulaşmaya çalışır. Ancak Red'de filter bypass gerekli, yani basit../ yolları çalışmayabilir.

Filtre aşmak için null byte enjeksiyonu, base64 kodlama veya PHP wrappers (php://filter/convert.base64-encode/resource=) gibi teknikler denemelisin. Dosyaları okuduktan sonra, hash'lenmiş şifreler bulabileceğin bir konfigürasyon dosyası veya kullanıcı verisi elde edebilirsin. Hashcat ile rule mutation uygulayarak şifreler kırılabiliyor.

Oda adında geçen "Red Rules" ifadesi, iki kullanıcı arasındaki çatışmayı işaret ediyor. Özellikle bu oda, diğerlerinden farklı olarak, saldırı sırasında aktif bir karşı-müdahale görebileceğin nadir bir senaryo. Privilege escalation için PwnKit (CVE-2021-4034) gibi lokal exploit'ler devreye giriyor. Hedefiniz, sistem üzerinde tam kontrol sağlamak ve rakip kullanıcıyı "kışlatmak".

Adli bilişim perspektifinden bakılırsa, bu oda web uygulaması güvenliğinde input validation'ın ne kadar kritik olduğunu gösteriyor. Filtreleme mekanizmaları yeterli olmadığında, saldırgan sistem dosyalarına, veritabanı bilgilerine ve hatta kaynak koduna erişebiliyor. Red'in gerçek zamanlı saldırı unsuru, savunma mekanizmalarının ve uyarı sistemlerinin önemini vurguluyor, bir sysadmin, anormal dosya erişim denemelerini tespit etmeli ve hızlıca tepki vermelidir.