DEV Community: MEHMET AMED ÜREY

Bellek Adli Bilişiminde /proc/kcore ile Ham RAM İncelemesi

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:49:55 +0000

Canlı bir sistemde bellek analizi yaparken LiME veya Volatility profilleri kurmak her zaman mümkün olmayabilir ya da sisteme harici modül yüklemek delil bütünlüğünü bozabilir. Linux, sistemin fiziksel RAM içeriğini sanal bir ELF dosyası olarak /proc/kcore altında tutar. Bu dosyanın boyutu sistemdeki toplam RAM miktarı kadardır ve doğrudan dd veya strings ile taranabilir. Örneğin yakın zamanda belleğe düşmüş açık metin bir parolayı veya şüpheli bir komut parametresini aramak için "strings /proc/kcore | grep -i 'password='" şeklinde bir arama yapılabilir. Büyük sistemlerde performansı etkilememek için bu dosyanın doğrudan bir kısmını "dd if=/proc/kcore of=/tmp/ram_dump.raw bs=1M count=500" ile alıp harici bir makinede incelemek en pratik adli bilişim yaklaşımlarından biridir.

Linux Sistemlerde SUID Biti İle Yetki Yükseltme Tespiti

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:44:09 +0000

Linux yetki yükseltme (privilege escalation) senaryolarında saldırganların ilk baktığı yerlerden biri SUID (Set User ID) biti atanmış dosyalardır. Bir ikili dosyada SUID biti aktifse, o dosya kimin tarafından çalıştırılırsa çalıştırılsın dosya sahibinin (çoğunlukla root) yetkileriyle çalışır. Örneğin bir yönetici geçici bir test için /bin/bash veya /usr/bin/find dosyasına "chmod u+s" vermişse, standart bir kullanıcı "find . -exec /bin/sh -p \; -quit" komutuyla anında root kabuğuna düşebilir. Sisteminizde gereksiz yere SUID yetkisi verilmiş tehlikeli dosyaları tespit etmek için terminalde "find / -perm -4000 -type f 2>/dev/null" komutunu çalıştırmanız yeterlidir. Çıktıda nmap, vim, find, base64 veya python gibi programlar görüyorsanız, sistemde ciddi bir yetki aşımı riski bulunuyor demektir.

Python ile DNS Tünelleme (DNS Tunneling) Mantığını Anlamak

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:43:27 +0000

Kısıtlı veya dış dünyaya kapalı ağlarda güvenlik duvarları genellikle HTTP ve HTTPS portlarını kesse de, iç DNS çözümlemesine izin vermek zorunda kalır. DNS tünelleme, dışarı sızdırılmak istenen veriyi DNS sorgularının alt alan adı (subdomain) kısmına kodlayarak güvenlik duvarlarını atlatma yöntemidir. Mantık oldukça basittir: İletilecek metin önce Base64 formatına çevrilir (örneğin 'veri123' -> 'dmVyaTEyMw==') ve saldırganın kontrolündeki yetkili ad sunucusuna "dmVyaTEyMw.saldirgan.com" şeklinde bir A veya TXT kaydı sorgusu atılır. Python'da scapy veya socket kütüphanesiyle tek satırlık bir UDP paketi oluşturup kurumsal DNS sunucusuna göndermek, verinin ağ dışına çıkması için yeterli olabilir. Bu trafiği tespit etmek isteyen mavi ekipler, DNS loglarında aşırı uzun subdomain yapılarını ve yüksek entropili sorgu sayılarını takip eder.

Bash Geçmişinde Hassas Veri Bırakmamak İçin Tek Karakterlik Çözüm

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:34:37 +0000

Terminalde API anahtarları, şifreler veya hassas parametreler içeren komutlar çalıştırırken bu veriler varsayılan olarak ~/.bash_history dosyasına düz metin olarak kaydedilir. Çoğu kişi işlem bittikten sonra history -c komutuyla tüm geçmişi silmeye çalışır ancak bu hem şüphe çeker hem de iş akışını bozar. Bunun yerine komutun en başına tek bir boşluk bırakarak yazmak çok daha temiz bir yöntemdir. Çoğu Linux dağıtımında HISTCONTROL ortam değişkeni "ignorespace" veya "ignoreboth" olarak tanımlıdır; bu sayede başında boşluk olan hiçbir komut geçmiş dosyasına yazılmaz. Terminalinizde bu özelliğin açık olup olmadığını kontrol etmek için "echo $HISTCONTROL" yazabilir, aktif değilse ~/.bashrc dosyanıza "export HISTCONTROL=ignoreboth" satırını ekleyebilirsiniz.

Linux Ağ Trafiğinde TTL Tabanlı İşletim Sistemi Analizi

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:33:31 +0000

Hedef bir sistem hakkında bilgi toplarken her zaman nmap gibi aktif port tarayıcıları çalıştırmak gerekmez; bazen sadece tek bir ping paketi bile hedefin işletim sistemi ailesini ele verir. IP paket başlığında yer alan TTL (Time to Live) değeri, varsayılan olarak işletim sistemlerine göre farklı atanır. Genelde Linux çekirdeği varsayılan TTL değerini 64 olarak belirlerken, Windows sistemler 128, Cisco ve bazı ağ cihazları ise 255 kullanır. Örneğin "ping -c 1 hedef_ip" çıktısında gelen TTL 54 ise, paketin 64'ten başlayıp aradaki 10 yönlendiriciden (hop) geçtiğini ve karşı sistemin muhtemelen Linux olduğunu anlarsınız. Aktif tarama izi bırakmadan pasif bilgi toplamak için tcpdump üzerinde 'tcpdump -ni eth0 -v "icmp"' komutuyla geçen paketlerin ham TTL değerlerini filtrelemek fazlasıyla pratiktir.

Linux Sistemlerde Süreç Gizleme ve /proc/ Manipülasyonunu Tespit Etme

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:29:36 +0000

Sızma testlerinde veya şüpheli bir Linux makineyi incelerken ps veya top çıktısında görünmeyen ama arka planda çalışan zararlı süreçlerle karşılaşmak mümkün. Çoğu kişi doğrudan rootkit arayışına girse de, bazen saldırganlar sadece çekirdeğin kullanıcı alanına sunduğu süreç tablosunu manipüle eder.

Linux'ta çalışan her sürecin bir PID numarası vardır ve bu süreçler doğrudan /proc/ dizini altında bir klasör olarak temsil edilir. Örneğin 1337 PID'li bir işlem varsa, /proc/1337 yolu mutlaka var olmalıdır. Klasik kullanıcı araçları (ps, pstree vb.) bilgileri bu dizinden çeker. Bir saldırgan LD_PRELOAD ortam değişkenini kullanarak readdir() sistem çağrısını manipüle ederse veya /proc/PID dizini üzerine boş bir dizini bağlarsa (mount --bind /bos_klasor /proc/1337), ps aracı o süreci görmezden gelir.

Böyle bir durumda şüpheli süreci tespit etmenin en doğrudan yolu, standart araçlara güvenmek yerine /proc dizinindeki ham PID listesiyle araçların gördüğü listeyi kıyaslamaktır:

diff <(ls -d /proc/[0-9]* | awk -F'/' '{print $3}' | sort -n) <(ps -ef | awk 'NR>1 {print $2}' | sort -n)

Çıktıda solda çıkıp sağda çıkmayan bir PID varsa, sistemde standart araçlardan gizlenen aktif bir süreç çalışıyor demektir. Bu PID'nin gerçekte ne yaptığını anlamak için de doğrudan /proc//exe sembolik bağını ve /proc//cmdline dosyasını kontrol etmek gerekir. Basit ama araya giren manipülasyonları doğrudan açığa çıkaran bir yöntem.

Python Projelerinde Geliştirme Sürecini Kolaylaştıran 3 Pratik Araç ve Yöntem

MEHMET AMED ÜREY — Tue, 15 Sep 2026 19:27:49 +0000

Python’da geliştirme sürecini hızlandırmak için ilk olarak print() yerine logging modülü kullanılabilir; örneğin import logging; logging.basicConfig(level=logging.INFO) tanımının ardından kritik durumlarda logging.warning("Hatalı işlem") diyerek terminal çıktıları seviyelendirilir ve kod temizliği kolaylaşır. İkinci olarak, sürüm çakışmalarını önlemek adına her projede python -m venv .venv komutuyla izole bir ortam kurulup pip freeze > requirements.txt ile bağımlılıklar kilitlenmelidir. Son olarak, girinti ve PEP 8 standartlarıyla vakit kaybetmemek için black main.py komutu çalıştırılarak tüm dosya tek seferde otomatik biçimlendirilebilir.