Sızma Testlerinde Kullanılan Zafiyet, İstismar ve Payload Kavramları

Sızma testleri sırasında zafiyet (vulnerability), istismar (exploit) ve payload kavramları karışabilmektedir. Bu yazıda zafiyet, istismar ve payload kavramlarının birbiriyle ilişkisi incelenecektir.

Zafiyet, exploit ve payload kavramları arasındaki ilişki için aşağıdaki resim kullanılabilir.

• Yukarıdaki resimde zafiyet insandan kaynaklıdır. İnsanın karşısındakine inanması, daha çok getiri elde etme düşüncesi (hırsı) birer zafiyettir.
• İstismar ise, insandaki zafiyeti kötüye kullanma yöntemidir. Örneğin, insandaki hırsı kullanarak sosyal mühendislik teknikleri ile istismar etmektir.
• Payload ise; insana ait zafiyetlerin sömürülmesi sonucunda gerçekleştirilen eylemlerin (EFT yapma, parayı çekme, hesabı bloke etme, …) her biridir.

 

Daha teknik olarak da “Vulnerability in Server Service Could Allow Remote Code Execution (958644)” bir zafiyet, Metasploit ana çatısındaki “exploit/windows/smb/ms08_067_netapi” bir istismar yöntemi/kodu, istismar sonucunda elde edilen meterpreter kabuğu ise bir payload olarak tanımlanabilir.