Sızma Testlerinde Kullanılan Zafiyet, İstismar ve Payload Kavramları

Sızma testleri sırasında zafiyet (vulnerability), istismar (exploit) ve payload kavramları karışabilmektedir. Bu yazıda zafiyet, istismar ve payload kavramlarının birbiriyle ilişkisi incelenecektir.

Zafiyet, exploit ve payload kavramları arasındaki ilişki için aşağıdaki resim kullanılabilir.
vulnerability-exploit-and-payload-concepts-in-penetration-testing-01

  • Yukarıdaki resimde zafiyet insandan kaynaklıdır. İnsanın karşısındakine inanması, daha çok getiri elde etme düşüncesi (hırsı) birer zafiyettir.
  • İstismar ise, insandaki zafiyeti kötüye kullanma yöntemidir. Örneğin, insandaki hırsı kullanarak sosyal mühendislik teknikleri ile istismar etmektir.
  • Payload ise; insana ait zafiyetlerin sömürülmesi sonucunda gerçekleştirilen eylemlerin (EFT yapma, parayı çekme, hesabı bloke etme, …) her biridir.

 

Daha teknik olarak da “Vulnerability in Server Service Could Allow Remote Code Execution (958644)” bir zafiyet, Metasploit ana çatısındaki “exploit/windows/smb/ms08_067_netapi” bir istismar yöntemi/kodu, istismar sonucunda elde edilen meterpreter kabuğu ise bir payload olarak tanımlanabilir.

 

Yazarın Bilgileri

Ertuğrul BAŞARANOĞLU
Ertuğrul BAŞARANOĞLU

Bir Cevap Yazın

E-posta hesabınız yayımlanmayacak. Gerekli alanlar * ile işaretlenmişlerdir

Kullanabileceğiniz HTLM etiketleri ve özellikleri: <a href="" title=""> <abbr title=""> <acronym title=""> <b> <blockquote cite=""> <cite> <code class="" title="" data-url=""> <del datetime=""> <em> <i> <q cite=""> <s> <strike> <strong> <pre class="" title="" data-url=""> <span class="" title="" data-url="">

Bu sayfada incelenen konulardan doğacak sorunlar kişinin kendi sorumluluğundadır.