Yaz sıcağında günün en hararetli saatlerini nasıl değerlendirsem de kışa hazırlıklı çıksam diyenler için taze bir eğitim sınıfı açtık.

Eğitim içeriği ve işleyişi önceki eğitimlere göre bayağı değişti.

Artık tahta-öğrenci klasiğinden tamamen çıkıp öğrenci-uygulama sistemine geçiş yaptık. Yani eskiden  egitmenin anlattığı ara ara uygulama yaparak öğrencileri dahil ettiği ders işleme yöntemi yerine eğitmenin konunun ana özetini kısaca anlattığı ve öğrencilere canlı sistemler üzerinden doğrudan deneme yaptırdığı (bu arada notlar açık ders işleme yöntemini kullanacağız.

Bu da eğitimlerdeki öğrencinin dikkatinin dağılması, konuyu teorik olarak anlayıp pratiğe dökememesi gibi sorunları aşmada büyük fayda sağlayacaktır düye düşünüyorum.

Eğitimle ilgili detay bilgiler:http://www.guvenlikegitimleri.com/egitimler/netsec/network_penetrasyon_testleri_egitimi/8

Bir haftaligina cesitli is, egitim, gezi amacli aksiyonlari gerceklestirmek icin Kibris’a inmis bulunmaktayim.  Gelmeden once dolu dolu program yapmistim ama 40-50 derece sıcaklıgı görünce tüm düsüncelerim eridi. Dolayısıyla bu haftayi bloga resmi tatil ilan ettim.

Şimdi gündüz çalışarak akşam soluyarak günü geçirmeye çalışıyorum:)

Eger kendimi kandirabilirsem soyle serin bir iki yaziyi haftaya hazir edebilecegim.

Her ne kadar anlatmak istediğimi tam göremesem de haber Türk medyası için bu konudaki en doğru bilgileri içerecek türden. Malum konu başlığı hacker vs olunca genelde medyamız uçan kaçan haberler yapmaktan zevk alır, hackerleri tek eliyle dünyayı çevirecek maharette gösterir.

Ben fikirlerimi sunarken amacim bu işin illegal tarafında olan başarılı arkadaşları kazanmak için bir haber yapılmasıydı. Yani hackerlar uçar kaçar herşeyi yapar yerine bu işi legal yoldan yaparsanız hem maddi hem de manevi olarak rahat edersiniz düşüncesini seslendirmekti ki haberin geneline bakıldığında bu düşünce anlaşılabiliyor.

Haberin aşağıdaki kismi benim düşüncelerimden kesitler içeriyor.

15 bin illegal hacker var

Türkiye’nin en genç beyaz hacker eğitmenlerinden 27 yaşındaki Huzeyfe Onal, bugüne kadar 200′den fazla şirkete güvenlik hizmeti vermiş. 2003′ten beri Ford Otosan, Avea, Vodafone ve Turkcell’de bilgi güvenliği alanında çalışan Onal, Türkiye’de hacker’lık eğitimi verebilecek 30 civarında eğitmenin bulunduğunu söylüyor.

Onal, “Eskiden büyük şirketler güvenlik denetimlerini yurtdışına yaptırırlardı. Yurtdışından bir uzmanın bir günlüğü 2 bin dolar. Şimdi Türk eğitmenler 1 haftalık denetimleri 2 bin dolara yapıyor.

Bilgi güvenliği ihtiyacı arttıkça uzman da gerekiyor. Şirketlerin bilgi güvenliği departmanında çalışan ortalama bir etik hackerın maaşı ortalama 6-7 bin liradan başlıyor” diyor. 5 yıl önce Türkiye’nin en büyük şirketlerinin bile bünyelerinde 1 veya 2 internet güvenliği çalışanı istihdam ettiğini belirten Onal, “Bu gün o şirketlerin 15-20 kişilik bilgi güvenliği departmanları bulunuyor” diye konuşuyor.

Türkiye’de onlarca hacker grubu var. Çoğu genç olan bu hacker’lar şirket sitelerine saldırmaktan öte siyasi veya “keyfi” saldırılar yapıyor. Huzeyfe Onal, bu forumlara üye olan hacker veya aday hacker sayısının 15 bine yakın olduğunu söylüyor.

İllegal hacker’larda büyük potansiyel bulunduğunu belirten Onal, “İllegaller değerlendirilebilse Türkiye internet güvenliğinde bir adım daha güçlenir. İllegalde deneyim kazanıp şirketlerde çalışmak isteyen hacker’lar da oluyor. Ama güvenlikçi adam güvenilir olmalı. ‘Bu adam daha önce yapmış, benim şirketime de yapabilir’ diyerek bu hackerlar işe alınmıyor.

Biz de işi daha ‘beyaz’ alana çekmek için zararsız hack’leme yarışmaları, kongreleri yapıyoruz” diyor.

Haberin tamamını  buradan okuyabilirsiniz.

Amerika Birleşik Devletleri başkanı Obama geçenlerde olağan dışı bir konuda konuşma yaptı. Olağan dışı diyorum çünkü daha önce bu kadar yüksek perdeden bilgi güvenliği konusunda hiç konuşulmamıştı. Konu bizim medyanın dikkatini pek çekmemiş olmalı ki ulusal medyada hiç haberine rastlamadım(gözümden kaçmış olabilir).

Bilgi güvenliği konusunun dünyanın süper güç olarak adlandırdığı bir devletin başı tarafından dikkate alınması biz güvenlikçiler açısından oldukça önemli.
Zira güvenlikte en önemli sorun üst yöneticilerin konunun ehemmiyetinden habersiz olması, bizim onların dikkatlerini yeteri kadar bu konuya çekemememiz ve güvenlik konusunda işler bir yapı kuramamamız. Bu yüzden konuşmayı çok önemsiyorum.

Konuşmanın içeriği bir yana sadece konuşmacının kimliği bile birçok yöneticiyi etkileyecek konumda. Bundan sonra yöneticilere güvenlik ile ilgili vereceğim tüm sunumları Obama’nın konuşmasından kesitler sunarak başlatacağım. Böylece bu işin önemini çok daha fazla kavrayacaklarını, kavrayamasalar da bunun bir vizyon eksikliği olacağı psikolojisi ile kavramış görüneceklerine inanıyorum:)

Konuşmadan bazı kesitler;

This world — cyberspace — is a world that we depend on every single day. It’s our hardware and our software, our desktops and laptops and cell phones and Blackberries that have become woven into every aspect of our lives.

So cyberspace is real. And so are the risks that come with it.

We rely on the Internet to pay our bills, to bank, to shop, to file our taxes. But we’ve had to learn a whole new vocabulary just to stay ahead of the cyber criminals who would do us harm — spyware and malware and spoofing and phishing and botnets.

E-commerce alone last year accounted for some $132 billion in retail sales.

It’s been estimated that last year alone cyber criminals stole intellectual property from businesses worldwide worth up to $1 trillion.

In short, America’s economic prosperity in the 21st century will depend on cybersecurity.

it’s now clear this cyber threat is one of the most serious economic and national security challenges we face as a nation.

I want to acknowledge, Melissa Hathaway, who is here, who is the Acting Senior Director for Cyberspace on our National Security Council, who led the review team, as well as the Center for Strategic and International Studies bipartisan Commission on Cybersecurity, and all who were part of our 60-day review team.

And finally, we will begin a national campaign to promote cybersecurity awareness and digital literacy from our boardrooms to our classrooms, and to build a digital workforce for the 21st century.

diye gidiyor konuşma…

Ben de acaba ne zaman bizim siyasetcilerimiz de bogazlarına kadar battıkları kısır çekişmelerden kurtulup böyle “lüks” düşüncelere vakit ayırırlar diye hayal kuruyorum…

Benzeri popüler yazılımların çoğu yarı yolda strateji değiştirerek kaynak kodlarını kapama yoluna gittiler.  Snort ise hem açık kaynak kodlu hem de isteyenler için ek özellikleriyle ticari versiyonunu çıkararak ciddi başarılara imza attı. Bugün Fortune 100 firmasının %80′ninde Snort(ya da Snort tabanlı ürünler) kullanılıyor.

Kısacası firma başarılı, çıkardığı ürünler başarılı stratejileri(open source) başarılı. Bu arada Sourcefire denilince akla Tek bir ürün değil bir ürün ailesi gelmeli. Zira firmanın ürün sayfasına(http://www.sourcefire.com/products/) bakıldığında birbirleriyle entegre çalışan bir sürü modül gözüküyor.

Gelelim bu ürünün Türkiye’de satıp satmayacağına.

Sourcefire ürünü Türkiye’de yeteri kadar ilgi görmüyor, bunun bana göre temel sebepleri;

1. Snort tabanlı olması bazı insanlarda negatif etki bırakıyor(Snort’un her ortamda kullanılabilir olması işten anlamayanlar için gözden düşürücü bir sebep).Oysa Snort ile Source IPS ürünü arasında iki boy fark var. Bu farkları Sourcefire’cilarin iyi anlatması gerekir.
2. Sourcefire’in ürünü diğer IPS ve network analiz ürünlerine oranla çok kaliteli. Özellikle network analiz modülü iyi yönetilebilirse bir ağda uçan kuştan haberiniz olabilir. Ama bu özelliklerin(diğer ürünlere olan farkları) anlatılamıyor. Kısacası ürünü tanıtacak firmalar kendileri iyi tanımadığı için tanıtımını yapamıyor.
3. Sourcefire diğer ürünlere göre biraz daha karmaşık bir yönetim arabirimine sahip. Biraz TCP/IP, biraz güvenlik bilgisi ile yönetilemeyecek bir cihaz. Gerçi IPS yönetimi başlı başına temel bilgiden çok daha fazlasını ister ama diğer ürünler bir office programı kadar kolay yönetilebildiği için Sourcefire kullanımı daha  zor geliyor.
4. Sourcefire’i Türkiye’de satmaya çalışan firmalar konu hakkında yeteri kadar bilgiye sahip değil, dolayısıyla firmaları ikna etmede zorlanıyorlar. Çok değil bundan bikaç ay öncesinde farklı firmalarda çalışan 4-5 güvenlik uzmanı bana Sourcefire alalım mı? nasıldır? gibisinden sorular yöneltti. Ben de klasik cevap olarak ürün iyidir ama Türkiye’de desteğini almada zorlanabilirsiniz dedim.
5. Sourcefire’in asıl çıkış noktası olan Snort ile ilgili bir etkinlikleri yok. Bu konuda Linux şenlikleri, açık kaynak kod camiası, Snort ilgilileriyle birlikte hareket edilirse isminin yayılması ve insanların kafalarındaki şüphelerin giderilmesi daha kolay olur.

Roportajda dikkatimi en çok çeken satırlar aşağıdakiler.

Şunu da belirtmekte fayda var ki, sektörde yer sağlayıcı ve İnternet toplu kullanım sağlayıcıların tutmaları gereken loglara ilişkin çeşitli programların hazırlanıp satıldığı görülmektedir. Bu programların bir kısmı mevzuattan doğan yükümlülüklerin çok üstünde, anayasal hak ve özgürlükleri ihlal edecek derecede loglama yapmaktadır. Dolayısıyla ilgililerin bu hususta daha dikkatli olması ve yalnızca ilgili mevzuatca kendilerinden beklenen yükümlülükleri yerine getirmesinin uygun olacağı değerlendirilmektedir.

Ben de çevremden fazlasıyla kanunun isteğinden çok fazla loglama yapmak isteyenlerin garip talepleriyle karşılaşıyorum.Sanirim birileri urunlerini farkli gostermek ve sattirmak icin bu tip yollara basvuruyor.

Aşağıdaki linklerden bu roportajlara ulaşılabilir.

Saat saat IstSec Etkinliği

09 Haziran 2009 Salı saat 24:00

Halil ÖZTÜRKCİ ile birlitke ADEO ofisinde CTF için son hazırlıkları tamamlıyoruz. Ara ara kafamız durma noktasına gelse de ESX sunucu üzerinde tüm sistemleri hazır ettik. Evden çıkarken bir saate dönerim dememin üzerinden tam 5 saat geçmiş…

10 Haziran 2009 Çarşamba

Saat 08: Tüm hazırlıklar tamam , evden çıkış
Sabah erkenden Microsoft ofisine gitmek için düldül ile yola çıktım. Köprü trafiği fazla olmadığı için gecikmeden etkinlik mekanın vardık. Alanda sadece ev sahibi Mehmet ve Halil vardı. Hemen vakit geçirmeden CTF sisteminin başına oturdum. Ve gece üzerinden geçtiğimiz sistemleri tekrar kontrol ettim.

Saat 10:00
İnsanlar yavaş yavaş etkinlik alanını dolduruyor. Tabi benim asıl beklentim CTF tarafında olduğu için gözüm boş masaları süzüyor. Etkinliğin yapılacağı salon yavaş yavaş dolmaya başladı ama CTF masası hala boş…

Ve CTF için ilk arkadaşımız geldi. Kendisi Ankara’dan gelmiş ve henüz lise öğrencisi. Bu yaşta bu medeni cesaretinden dolayı arkadaşı kutluyoruz, en azından söz verip de gelmeyen diğer 15 arkadaşın üzüntüsünü bir nebze de olsa giderecek bir an oldu.
Etkinliğin başlama saati geldiği için herkesi salona topluyoruz ve Halil sazı eline alıyor. Kısaca IstSec nedir, nereden doğdu ve amaçları nelerdire değiniyor. Ardından günün programını sunarak etkinliğe start veriyor.

Saat 11:00

İçerde RSA’den Zion konuşuyor. Sanırım katılımcılar sunumun ingilizce olmasından rahatsız olduğu için dışarda CTF’cilere takılmayı tercih ediyor. Ben de tersine içeri sokmak için uğrasşıyorum.

Saat 12:00

Bir yandan CTF devam ediyor diğer yandan konuşmacılar. İçerde konuşmalardan sıkılan CTF’cileri izlemeye çıkıyor. Sunum sırası bana geldi. Bir son dakika değişikliği olmazsa 40 dakikaya koca bir sunum ve bir demo sığdırmam gerekecek. Demo ile ilgili hiç hazırlık yapmış değilim bakalım ne olacak diyerek sunuma başlıyorum.

Sunumun ilk 5 dakikası kendimi kaptırmış hızla giderken arka sıradaki katılımccılardan aldığım uyarı üzerine konuşma hızımı biraz yavaşlatıyor ve devam ediyorum. Sunum konusu katılımcıların çok çeşit olacağı düşünülerek hazırlandığı için fazla teknik detaya girmiyorum. Teknik detaylarla boğmak yerine sonucu gösterip bu şundan kaynaklanır demeyi tercih ettiğim bir sunum oldu.
Kazasız belasız demoyu da tamamlayıp izleyicilerin yemeğe çıkmasına fırsat veriyorum.

Saat 13:00
Yemek arası…

Saat 14:00

Yemek sonrası Halil’in BotNet sunumu ile katılımcıların gözleri açılıyor. Ben yine CTF’cilerle ilgilenmek için sunumu bırakıp dışarı çıkıyorum.

Saat 15:00

CTF’cilere dışardan çeşitli gruplar yardımcı olmaya çalışıyor.
Saat 16:00

Ortalıkda dolaşarak CTF etkinliğinin bittiğini haber veriyorum. CTF katılımcıları son ipucuna ulaşmış fakat bitirememişlerdi. Hep birlikte içeri girerek bitiş sunumu ve CTF’nin detaylarını vermek üzere tekrar mikrofonu alıyorum.
15-20 dakika konuştuktan sonra katılımcılara teşekkür edip günü kapatıyoruz. Bir sonraki etkinlikte buluşmak üzere.

Medyanın Kullanımı:

İlk defa bu etkinlikte medyayı aktif olarak kullanma fikri aklımız geldi. Medya sponsoru ben olduğum için ulusal, yerli medyada tanıdık kim varsa gönderdim. Zaman biraz uzun olsaydı tüm haber ajansları bunu geçecekti ama biraz geç kalmıştık. Yine de çıkan haberlerden ortalama 30.000 kişinin IstSec haberini okuduğu, bunların %10’nun www.istsec.org adresine geldiğini, bu adrese gelenlerin de %10 kadarı etkinlik için kayıt olmuştur.

Gözüme çarpan eksiklikler:
Henüz değerlendirme formlarının tamamı  elime geçmedi ama dışardan bir bakış açısıyla katılımcıların çok çeşit olduğunu ve herbirinin farklı beklentiyle oraya geldiğini hissettim. Bazı katılımcılar bu etkinliği klasik Vendo/satışr etkinliği olarak görmek istiyorlardı bu da güzel bir öğle yemeği, janjanlı ürün sunumları demekti. Bu tip düşünceyle gelen arkadaşlar malesef hayal kırıklığına uğradılar. Bir diğer grup –azınlıkta olsa da- yurtdışındaki konferanslarla kıyaslamaya çalışıyordu. Bir Defcon, bir Blackhat, bir Usenix ile bu konferansı karşılaştırmak biraz insafsızlık olur.
Konferans için asıl beklediğim gruptaki insanların çoğunu çekemedik. Bunun sebepleri çok aslında ama bir sonraki etkinlik için asıl hedef kitlesini çekebilmek için daha alternatif fikirler düşünmemiz gerekecek.

Diger dikkat çeken bir nokta da etkinliğin Microsoft etkinliği gibi algılanması. Tekra etmekte fayda var; IstSec Microsoft etkinliği değil, Microsoft’un baş sponsorlarından biri olduğu güvenlik etkinliği. İnsanların kafasında Microsoft etkinliği olarak yer etmiş olacak ki eleştirilerinde Microsoft’a da çatmışlar.:)

Sunumlar: Etkinlik kapsamında kullanılan sunum dosyalarına   http://www.istsec.org/index-5.html adresinden erişebilirsiniz.

Fotoğraflar: Etkinlik esnasında çeşitli arkadaşlar tarafından çekilen fotoğrafları bu adreste toparlamaya çalıştık. Siz de burada olmayan fotoğraflara sahipseniz bana gönderebilirsiniz.

Katılımcılardan gelen geri bildirimler:

Yabancı konuşmacılarıda türkçe çevirseydiniz iyi olurdu. Bence daha sık seminer yapmalısınız. 3 ayda 1 gibi…

Devam edip gelenekselleşmeli ve daha fazla laboratuar ortamına taşımalı

İlk sunum teknoloji ve marka bağımlı sunumlar oldu. Bunun dışında gayet başarılı bir organizasyon olduğunu düşünüyorum

Anlatılan konuların broşür halinde veya özet notlar şeklinde dinleyicilere verilmesi verimi arttıracaktır

Yabancı dil ile sunum yapan katılımcılar için eş zamanlı çevrimin olması memnuniyet verici olabilir

Haftasonu olursa iki gün boyunca süper olur

Süper bir organizasyon. Sponsor ve katılımcılara teşekkürler. Tekrarlanmasını rica ediyoruz.

Güzel ve doğru düşünülmüş bir organizasyondu. Teşekkürler

Kısaca bir gün gibi kısa bir sürede oldukca faydalı bir etkinlik oldu. Birbirini uzaktan tanıyan güvenlik uzmanı arkadaşlar daha yakın tanışma fırsatı buldu. Buradaki samimiyet eminim bundan sonraki etkinliklere daha iyi yansıyacaktır. Şimdiden IstSec-II’yi yılın sonuna daha doyurucu bir içerik ve daha geniş kapsamda katılımla  yetiştirebilmek için kolları sıvadık.

Gelen, gelmek isteyen, gelemeyen tum herkese teşekkürler.

Listenin tamamına http://www.bloglines.com/public/netsec adresinden erişilebilir.

Blogların adreslerini kendi RSS’inden takip etmek isteyenler bu dosyayı indirerek rss okuyucularina aktarabilirler.  Ekleme yapmak isteyenler yine yorum alanını kullanabilir.

Bloglines harici takip etmesi daha kolay bir rss toplayici tavsiyelerine acigim:)

CTF konusunda öncelikle kayıt olup da son güne kadar iptal ettirmeyen ve aynı zamanda yarışmaya katılmayan arkadaşlara çok kırıldım. Özellikle herbirine mail atıp katılım kararınızı netleştirin ona göre düzenleme yapacağız dememe rağmen son güne kadar katılım oranı 20 civarında gözüküyordu ama katılım 10(Grup olarak 6) kişi ile sınırlı kaldı.

Etkinlik başlamadan oluşturduğum CTF senaryosu ile etkinlikte kullandığımız arasında bayağı fark var. Bunun sebebi benim CTF’i düzenlerken biraz acımasız davranmam:). Etkinlik başlamadan önce kullanmayı düşündüğümüz CTF senaryosu…

CTF Adımları:

1.Adım: Katılımcılardan istsec2009 adlı kablosuz ağa sızmaları istenmektedir.

Ortamda iki adet kablosuz ağ olacaktır. Bunlardan birincisi
MAC Adress filtering uygulanan
SSID’si açık
IP Adresi dağıtımı için DHCP sunucu çalışıyor ve ağa erişim için ip dağıtıyor
Herhangi bir şifreleme vs uygulanmamış bir AccessPoint olacak.
Ağda trafik oluşuran ve geçerli MAC adresine sahip bazı kullanıcılar var ve katılımcının bu mac adreslerinden birini üzerine alarak ağa bağlanması istenmekte.

Diğeri kablosuz ağ:
MAC Address Filtering uygulanmamış
SSID’si gizli bir AccessPoint
Arkaplanda IP adresi dağıtımı için DHCP sunucu çalışmıyor
Ağda hareketlilik gösteren ve ip adresi geçerli birden fazla istemci bulunmakta

Katılımcılardan Beklenen: Herhangi iki kablosuz ağdan birine sızıp Network taraması yapması ve ağda bulunan Linux makinenin root parolasını ele geçirmesi(Ikinci adımın başlangıcı)

Katılımcı mac adresini değiştirip ağa bağlanabilmeli ya da hidden SSID’i belirleyip doğrudan AP’e bağlanabilmeli ve DHCP den ip adresi dağıtılmıyorsa ağı dinleyerek ağda hangi ip adreslerini dolaştığını görüp bir tane aynı sınıftan ip adresini kendisine ataması.

2. Adım: Linux makine(Firewall) ele geçirmek

Kablosuz ağa dahil olan kullanıcılar ip adresini otomatik ya da manuel aldıktan sonra ilk yapmalaraı gereken ağda Nmap vs çalıştırarak hangi makinelerin olduğunu öğrenmeleridir.

Ağda 192.168.2.111 ip adresli yerleştirilmiş Linux makine bulunmaktadır. Bu makinenin üzerinde ftp, telnet, ssh, webmin ve bilumum port açık bulunmakta. Katılımcıların bu makineyi ele geçirebilmeleri için:

SSH üzerinden bruteforce, telnet üzerinden brute force ya da webmin üzerinden bruteforce yapmaları gerekir.
Parola, bilinen 100 paroladan biri olacaktır. Ya da anonim ftp üzerinden ilgili dizinleri gezerek root parolasının kayıtlı olduğu bir konfigurasyon dosyası bulacaklardır.

Kullanıcı sistemi ele geçirdikten sonra root dizini altında .istsec2009 adlı bir dosya görür ve dosyayı açar. Dosyanın içi base64 encode ile yazılmıştır. Bunu tersine çevirerek ipucunu alır ve bir sonraki adıma doğru ilerler.

Ipucunda bir sonraki adımla ilgili ek bilgiler yer almaktadır . Mesela üçüncü adıma nasıl ulaşacağına dair network ayarları yer alır. Eğer kullanıcı Linux üzerinde ip forwarding vs açmasını bilmiyorsa, kendi makinesine düzgün routing giremezse diğer hosta ulaşamaz.

3. Adım: Bir web uygulaması ve üzerinde bariz açıklıklar barındırmakta.

Web uygulaması: üzerinde PHPmyadmin barındıran bir uygulama ve database de bir tabloda kullanıcı adları ve parola bilgileri şifrelenmeden tutulmakta. Ya da WordPress 2.3.1 sürümünü içeren bir portal üzerindeki SQL Injection açıklığı değerlendirilerek sisteme user/pass bilgisi gerekmeden giriş yapılacak ve şifre isteyen postun içerisindeki ipucu okunacak.

4.Adım: Windows Directory Sunucusunun Hacklenmesi
Windows makine var üzerinde güncel bir açıklık metasploit kullanılarak exploit edilmesi gerekiyor. Hicbir zorlugu olmayan bir adım. Sadece ilgili portu bularak Metasploit ile sisteme sızması ve c:\dizini altındaki ipucu5.txt dosyasını okuması gerekiyor.

5. Adım: Sadece belirli iç ip adreslerinden telnet erişime sahip FreeBSD 7 sistem.

Bu adımda katılımcıdan FreeBSD 7 deki telnet root exploitini değerlendirip sisteme sızması beklenmektedir fakat FreeBSD sistemde telnet sadece belirli ip adreslerine açıktır. Katılımcının bu ip adreslerinden birini bulması ve telnet ile sisteme bağlanması istenmektedir.(bu adım biraz zor görünebilir fakat tek satırlık bir script ile halledilebilecek basitlikte)

Sonuç:

Yarışmanın sonucunda belirlenen kurallara göre ekipler birinciliği elde edemedi. Juri üyeleri toplanarak en fazla puan toplayana hediyeyi vermek içi kararlaştırınca oyun kuralını son dakikada bozarak Cihangir Beşiktaş’a hediyesi verildi.

Ben yarışmaya katılan tüm ekiplere gösterdikleri medeni cesaretten dolayı teşekkür ediyorum. Amaç bir oyun oynamak ve birşeyler öğrenmekti ki bunu en iyi şekilde yaptılar. Gelemeyenler, ya da cesaret edip de katılamayanlar da aslında olayın atla deve olmadığını görüp hayıflandılar. Bir sonraki etkinlikte daha esnek bir CTF düzenlemeye söz veriyorum:)

CTF’nin web kısmını hazırlayan OWASP-TR grubunun CTF çözümü >http://www.webguvenligi.org/dokuman/istsec-2009-ctf-web-app.html

Şimdilik Kıvılcım’ın Fazlamesai’deki bu yorumuna ve Mehmet‘in bloguna bakabilirsiniz.

Etkinlik sunumları, fotograflar vs kısa bir süre sonra www.istsec.org’da yayınlanacak. Etkinliğe katılmak için e-posta adresini verenlere detaylı bilgi gönderilecek, kayıt olmayanlar da oradan buradan şuradan haberdar olurlar zaten.

Kısacası çok güzel bir etkinlik geçirdik, buradan katılan, destekleyen, sponsor olanlara teşekkürler. Şimdi hız kesmeden daha geniş kapsamlı olarak ikincisini düşünmeye başlamanın zamanıdır:)