Herkese selamlar,
bu makalemiz biraz uzun olacak. İki farklı konuyu ele alacağız. Bu konuların biri SQL injection ile login bypass yapmak. Diğeri ise bu işlemi reverse ile nasıl yaparız onu ele alacağız. Peki uygulama nedir? Hangi platform? gibi soruları cevaplandıralım.

Hangi Uygulama? Hangi Platform? ❓️

Uygulama bundan 4-5 sene önce Delphi programlamaya başladığım ilk zamanlara ait. Bu süre zarfında çokça yol katetmiştim fakat ilk zamanlar baya acemice uygulamalar yazdığım doğrudur. Dün arşive göz atarken dikkat ettiğim ve testleri yaptığımda olumlu sonuç aldığım tamammiyle acemice yazılmış uygulamayı ele alacağız. Windows işletim sisteminde çalışan masaüstü uygulamamız, Access veritabanını kullanmakta. İlk aşamada bizlere kullanıcı adı ve şifre sormakta. Zor değil istesek veritabanını açıp kullanıcı adı ve şifresine bakarız ama bizim amacımız bize/bana ait olmayan bir uygulama olsaydı ve veritabanına erişim iznim olmasaydı neler yapmayı düşünürdük onu anlamak.

Hangi Araçlar Kullanılacak? 🛠️

Yine ollydbg kullanılacak. Ollydbg aracı ile ilgili geçmiş makalelerimize göz atabilirsiniz.

Önceki makalelere aşağıdan göz atabilirsiniz:
Uygulama Analizi ve Saldırı
Uygulamaya Müdahale Nasıl Yapılır?
Reverse ile Login ByPass - Seviye #1
Uygulama Lisans ByPass - Seviye #2

Uygulamanın Analizini Yapalım 👓️

Uygulamamız Delphi dili ile yazılmış. Yukarıda bahsettiğimiz gibi Access veritabanı kullanılmış ve FastReport raporlama aracı kullanılmış. Ini dosyası ile bir takım bilgiler tutuluyor. Bu bilgiler ışığında büyük ihtimal uygulama başlangıçta bu dosyaya göre şekil alıyor.

Uygulamanın dosya yapısı yukarıda mevcut. Yani yukarıda bulunan ihtimalleri bu şekilde gözlemleyerek elde ettim. FastReport dememin sebebi belgeler klasöründe fr3 uzantılı dosyaların mevcut olması. Diğer taraftan zaten data klasöründe mdb uzantılı veritabanı olmasından Access olduğu anlaşılıyor.

Uygulamayı açtığımda önüme bu şekilde bir login ekranı geliyor.

İlk aşamada rastgele bilgiler ile yine test ediyoruz. Bunu neden yapıyoruz benden bilmiyorum alışkanlık oldu. Sanki key arıyoruz 😅 Devam edelim... almış olduğumuz mesaj işimize yarayabilir. Bu yüzden bunu aklımızda tutalım. Şimdi biz direkt reverse ile işe başlayacağız. Bakalım bu adımımız doğrultusunda nelere denk geleceğiz.

Ollydbg ile Başlayalım... 👨‍🔧

İlk aşamada uygulamamızı olly ile açalım. Açtıktan sonra ise uygulamamızı olly üzerinden başlatalım. Sonrasında standart işlemleri yapacağız. Code Analysis ve referans text ile dönen hata mesajını aramak gibi bir takım temel arama çalışmaları yapacağız.

Öncelikle yukarıdaki adımlar ile kod analizi yapıyoruz. Bu adımları diğer makalelerde gösterdim evet... fakat amacım bu makaleyi ilk defa okuyan birisi için tekrardan anlatmak ve hatırlatmak.

Sonrasında referans string içerisinde arama gerçekleştiriyoruz. Bu aramada amacımız parametre dönen hata mesajını bulmak ve ilgili adresi bulup o adres çevresinde müdahale gerçekleştirmek.

Bu menü seçeneği ile arama yapıyoruz.

Standart olarak mesaj içeriğini aratıyoruz. Burada dikkat etmemiz gereken nokta Türkçe karakter olduğu için direkt olarak değilde ASCII karakter olarak verebilir. Bu yüzden arama tuşuna bastığımda herhangi bir sonuç elde edemedim. Bu bir sorun değil. Türkçe karakteriler içerisinde arama yaparak da deneyebilirdim ama büyük ihtimalle sonuç almayacaktım çünkü Türkçe karakter içeren bir set string olduğu için tümünü ASCII olarak yazdırmış olabilir veya daha farklı bir formatta. Şimdi ben son kez dönen mesajın başlığını aratarak bir şeyler bulmaya çalışacağım. Yani Hata! kelimesini aratacağım tabi bunu Hata olarak aratacağım.

Arattık ve sonuç elde ettik. Tabi bu istediğimiz login bölümü değil. Nereden anlıyoruz peki? Şuradan anlıyoruz; bir sorgu görüyorum yukarıda, Aboneler tablosu ile ilgili bir sorgu var. Ben login, kullanıcı içeren bir sorgu arıyorum.

Bir kez daha arama yapmak istediğimde (CTRL+L) yukarıdaki gibi Hata başlıklı Kitaplar tablosu ile ilgili bir sorgu gördüm. Ben aramaya devam ediyorum...

Evet, KULLANICI tablosu ile ilgili bir sorgu bulduk. KADI ve SIFRE adında iki alan ile işlem yapıyor. Bizim adres belli oldu. Biz bu taraflarda olta atacağız.

Çift tıklayarak adrese gidiyoruz. Yukarıda görüldüğü üzere MessageBox fonksiyonumuz mevcut. Hemen üstünde ise Hata başlıklı unicode biçimindeki aramada bulduğumuz text mevcut.

Hemen üst tarafta ise bir JG komutumuz mevcut. JG komutuna, karşıt ve eşlerine bakacağız. Aşağıya yukarıdaki resmin bulunduğu satırları bırakıyorum. Daha iyi incelemeniz açısından.

009A2066  |. 68 60229A00    PUSH Kütüphan.009A2260                   ;  UNICODE "select * from KULLANICI where KADI='"
009A206B  |. 8D55 F8        LEA EDX,DWORD PTR SS:[EBP-8]
009A206E  |. 8B86 C8030000  MOV EAX,DWORD PTR DS:[ESI+3C8]
009A2074  |. E8 C73FBAFF    CALL Kütüphan.00546040
009A2079  |. FF75 F8        PUSH DWORD PTR SS:[EBP-8]
009A207C  |. 68 B8229A00    PUSH Kütüphan.009A22B8
009A2081  |. 68 C8229A00    PUSH Kütüphan.009A22C8                   ;  UNICODE " and SIFRE="
009A2086  |. 68 B8229A00    PUSH Kütüphan.009A22B8
009A208B  |. 8D55 F4        LEA EDX,DWORD PTR SS:[EBP-C]
009A208E  |. 8B86 CC030000  MOV EAX,DWORD PTR DS:[ESI+3CC]
009A2094  |. E8 A73FBAFF    CALL Kütüphan.00546040
009A2099  |. FF75 F4        PUSH DWORD PTR SS:[EBP-C]
009A209C  |. 68 B8229A00    PUSH Kütüphan.009A22B8
009A20A1  |. 8D45 FC        LEA EAX,DWORD PTR SS:[EBP-4]
009A20A4  |. BA 07000000    MOV EDX,7
009A20A9  |. E8 C693A6FF    CALL Kütüphan.0040B474
009A20AE  |. 8B45 FC        MOV EAX,DWORD PTR SS:[EBP-4]
009A20B1  |. 50             PUSH EAX
009A20B2  |. 8BC3           MOV EAX,EBX
009A20B4  |. E8 57AADBFF    CALL Kütüphan.0075CB10
009A20B9  |. 5A             POP EDX
009A20BA  |. 8B08           MOV ECX,DWORD PTR DS:[EAX]
009A20BC  |. FF51 30        CALL DWORD PTR DS:[ECX+30]
009A20BF  |. 8BC3           MOV EAX,EBX
009A20C1  |. E8 6AACCDFF    CALL Kütüphan.0067CD30
009A20C6  |. B2 01          MOV DL,1
009A20C8  |. 8BC3           MOV EAX,EBX
009A20CA  |. 8B08           MOV ECX,DWORD PTR DS:[EAX]
009A20CC  |. FF91 C8010000  CALL DWORD PTR DS:[ECX+1C8]
009A20D2  |. 8BC3           MOV EAX,EBX
009A20D4  |. E8 1FE4CDFF    CALL Kütüphan.006804F8
009A20D9  |. 8BC3           MOV EAX,EBX
009A20DB  |. 8B10           MOV EDX,DWORD PTR DS:[EAX]
009A20DD  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A20E3  |. 85C0           TEST EAX,EAX
009A20E5     7F 3A          JG SHORT Kütüphan.009A2121
009A20E7  |. 6A 30          PUSH 30
009A20E9  |. 68 E0229A00    PUSH Kütüphan.009A22E0                   ;  UNICODE "Hata!"
009A20EE  |. 68 EC229A00    PUSH Kütüphan.009A22EC
009A20F3  |. 8BC6           MOV EAX,ESI
009A20F5  |. E8 9ED3BAFF    CALL Kütüphan.0054F498
009A20FA  |. 50             PUSH EAX                                 ; |hOwner
009A20FB  |. E8 E44BA7FF    CALL <JMP.&user32.MessageBoxW>           ; \MessageBoxW
009A2100  |. 8B86 C8030000  MOV EAX,DWORD PTR DS:[ESI+3C8]
009A2106  |. 8B10           MOV EDX,DWORD PTR DS:[EAX]
009A2108  |. FF92 34010000  CALL DWORD PTR DS:[EDX+134]
009A210E  |. 8B86 CC030000  MOV EAX,DWORD PTR DS:[ESI+3CC]
009A2114  |. 8B10           MOV EDX,DWORD PTR DS:[EAX]
009A2116  |. FF92 34010000  CALL DWORD PTR DS:[EDX+134]
009A211C  |. E9 F5000000    JMP Kütüphan.009A2216
009A2121  |> 8BC3           MOV EAX,EBX
009A2123  |. 8B10           MOV EDX,DWORD PTR DS:[EAX]
009A2125  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A212B  |. 85C0           TEST EAX,EAX

Breakpoint ekliyoruz ki; nerede kaldığımızı unutmayalım. Breakpointi ekledik. Dikkatimi tabi ki SQL sorgusu çekti. Demiştik bu makalemizde 2 farklı yöntem kullanacağız. Şimdi SQL injection tarafına kayalım.

SQL Injection Nedir? ❓️

Google amca bize bunu söylüyor;

SQL Injection, veri tabanına dayalı uygulamalara saldırmak için kullanılan bir atak tekniğidir; burada saldırgan SQL dili özelliklerinden faydalanarak standart uygulama ekranındaki ilgili alana yeni SQL ifadelerini ekler.

Benim tabirim ile kısaca; dışarıdan SQL sorgusu kod enjekte etmeye SQL injection denir. Daha iyi tanımı olan aşağıda belirtebilir ve bu makale eşsiz bir hal alabilir bence ❤

Şimdi başlıca login için denemelik exploit tarzında bazı SQL tümlecikleri mevcuttur. Bunları SQL injection için kullanabiliriz. Bu doğrultuda denemeler ile SQL injection ile login ekranını atlatabiliriz. Şimdi bir takım SQL injection için tümleciklerine göz atalım. Genel itibari ile kullanılan bir injection mevcut.

Bir takım injection örnekleri:

select username,pass from users where username=('$username') and password=('$passwrd') limit 0,1;

') or true--
') or ('')=('
') or 1--
') or ('x')=('

select username,pass from users where username="$username" and password="$passwrd" limit 0,1;

" or true--
" or ""="
" or 1--
" or "x"="

Daha fazlası için tıklayın.

Popüler olan:
' OR 1=1 --'

SQL'i ile test yapalım.

Yukarıdaki gibi SQL injection işlemimizi gerçekleştiriyoruz ve bypass yapmaya çalışıyoruz.

ve bypass başarılı.

Peki Bunun Mantığı Nedir? 👨‍💻

Büyük ihtimalle sql sorgusu şu şekilde yazılmış;
"select * from kullanici where kadi="+textbox1.text+" and sifre="+textbox2.text;

Zaten reverse ederken bu SQL sorgusunu görmüştük. TextBox veya Delphi'de ki karşılığı Edit nesnesine yazacağımız kod SQL sorgusunda da değişikliğe sebep olacağından bu şekilde SQL sorgumuzu ek bir SQL enjekte edip sonucumuzun 1 gelmesini sağlıyoruz. Böylelikle if kontrolünde kaydın olduğu anlaşılıyor ve login ekranını geçmiş oluyoruz. Reverse tarafında ise yapacağımız aslında şu; minimum 1 kayıt isteyen kontrolü ters çevirip doğru kayıt haricinde random kayıt ile giriş yapabilmeyi sağlamak.

Bunun iki önlemi var:

Parametre kullanınız.
', " gibi karakterlerin kullanımını yasaklayınız.

Makalemizin sonunda bu tip durumlar için Delphi dilinde nasıl bir önlem alınmalı ona göz atacağız. Şimdi reverse kısmına bakalım.

Reverse ile ByPass 👨‍💻

009A20E5 adresinde bulunan kontrolü ele alalım. Bu kontrolü ters çevirerek testimize başlayalım. Büyük ihtimalle geçişimize izin verecektir.

80x86 Komut Setinde JG, JLE Komutları 👨‍💻

JG ve JLEiki karşıt komutlardır. JGkomutu işaretli sayılar için kullanılan komuttur. JLE'de aynı şekilde. Aralarındaki fark birisi büyükse anlamına gelirken(JG) diğeri ise(JLE) eşit veya düşükse anlamına gelmektedir. JG komutu ile bir değişken, bir sayıdan büyük ise bunu işle denmekte. Biz bunu tersine çevireceğiz.

009A20DD  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A20E3  |. 85C0           TEST EAX,EAX
009A20E5     7F 3A          JG SHORT Kütüphan.009A2121 ///burada değişiklik yapacağız.
009A20E7  |. 6A 30          PUSH 30
009A20E9  |. 68 E0229A00    PUSH Kütüphan.009A22E0                   ;  UNICODE "Hata!"
009A20EE  |. 68 EC229A00    PUSH Kütüphan.009A22EC

Yukarıdaki 6 satırın içinde bulunan komutu ters çevirip devam edelim.

Başarıyla değişikliği yapmış olduk ve satırımız aşağıdaki hali aldı.

009A20DB  |. 8B10           MOV EDX,DWORD PTR DS:[EAX]
009A20DD  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A20E3  |. 85C0           TEST EAX,EAX
009A20E5     7E 3A          JLE SHORT Kütüphan.009A2121 //değişikliği gerçekleştirdik.
009A20E7  |. 6A 30          PUSH 30
009A20E9  |. 68 E0229A00    PUSH Kütüphan.009A22E0                   ;  UNICODE "Hata!"

Tam olarak test etmeden önce biraz daha aşağı inip kontrol ediyorum ne var ne yok diye.

Yukarıdaki resimde görüldüğü üzere iki tane şart mevcut. Bunu hemen değiştirmeden ne olduğunu anlamaya çalışacağım. Aşağısında unicode biçiminde ID, ADSOYAD gibi tanımlar görüyorum. Buradan veritabanında bulunan alanlar olduğu açık. Peki bunları ne yapıyor diye sorarken kendime data klasöründe bulunan kullanici.txt dosyasında bilgiler gördüm.

kullanici.txt içeriği:

 4
 Halil Han Badem

Demek ki kullanıcı bilgilerini bu şekilde bir yere kaydediyor. O zaman buradan bir çekiş söz konusu. Acemi şekilde olmasa değişkene atardı veya OOP'ye uygun şekilde bu tip kayıtlar için property oluşturup onlara set eder gerektiği yerde getedip bilgiyi kullanırdı. Tabi dediğim gibi ilk zamanlar uygulaması ve bu şekilde sıkıntıların olması, kıt düşüncenin yaşanması kadar doğal bir şey yok. Eğer kodları incelesek "*ulan böyle kodu compiler nasıl kabul ediyor" deriz herhalde...

Devam edip bir ön tahminde bulunuyorum ve büyük ihtimalle else değişkenin altında birif olduğunu yani çift kontrol yaptığını tahmin ediyorum. O yüzden onu da tersine çevirip build ediyorum.

009A2125  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A212B  |. 85C0           TEST EAX,EAX
009A212D     0F8E E3000000  JLE Kütüphan.009A2216 ///değişeceğimiz adres
009A2133  |. B2 01          MOV DL,1
009A2135  |. A1 1C374900    MOV EAX,DWORD PTR DS:[49371C]

bu şekilde olan adres aralığı bu şekilde değişiyor.

009A2125  |. FF92 94010000  CALL DWORD PTR DS:[EDX+194]
009A212B  |. 85C0           TEST EAX,EAX
009A212D     0F8F E3000000  JG Kütüphan.009A2216 //değişen adres
009A2133  |. B2 01          MOV DL,1
009A2135  |. A1 1C374900    MOV EAX,DWORD PTR DS:[49371C]

Değişikliğimizi yukarıdaki gibi halletik. Şimdi ise build edip sonuca göz atalım.

test ve test diyerek giriş yapmaya çalışıyorum. Veritabanında ola ki böyle bir kayıt varsa yanlış diyecek eğer yoksa doğru demesi gerekir.

ve sonuç başarılı...

Video formatlı aşağıya ekliyorum. Siteye güvenemedim link kırılırsa es geçin 🙂

SQL Injection Güvenliği Nasıl Alınır?

Delphi tarafında bu tip önlemler için fonksiyon oluşturup kullanıcının verdiği veriyi kontrol etmek en sağlamıdır diyebiliriz. Bu makalede bulunan XSS korumasına benzer bir fonksiyon yazıp girişleri önleyelim.

uses StrUtils;
...

function SQLInjectionProtected(Value: string): Boolean;
const
  blockTags: Array[0..1] of AnsiString=(#39, '"');
var
 I: Integer;
begin
  Result := False;
  for I := 0 to Length(blockTags) - 1 do
    begin
      if ContainsText(Value, blockTags[I]) then
      begin
        Result := True;
      end;
    end;
end;

Bu fonksiyon ile test edelim bakalım başka bir uygulamada;

Evet sorunsuz bir şekilde tespitini yapabiliyoruz. İkincil bir önlem ise + ifadesi yerine parametre kullanmak. Yani aşağıdaki gibi:

 query.Close;
 query.SQL.Clear;
 query.SQL.Text := 'SELECT * FROM KULLANICI WHERE KADI=:KADI AND KSIFRE=:KSIFRE';
 query.ParamByName('KADI').AsString := Edit1.Text; //.netciler için TextBox anlamına gelir.
 query.ParamByName('KSIFRE').AsString := Edit2.Text;
 query.Open;

Gibi şeklinde önlemler alındığında temel anlamda güvenlik sağlanmış olur. Tabi yine de %100 güvenlidir diyemeyiz.
Şimdi ise bizim yazdığımız koda bakalım yani eskiden yazmış olduğum kod, hazır olun...

var
 GirisQuery: TUniQuery;
 Kullanici, Settings: TStringList;
begin
 ActiveControl := nil;

 GirisQuery := TUniQuery.Create(nil);
 GirisQuery.Connection := UniConnection1;
 GirisQuery.Close;
 GirisQuery.SQL.Text := 'select * from KULLANICI where KADI='+#39+LabeledEdit1.Text+#39+' and SIFRE='+#39+LabeledEdit2.Text+#39;
 GirisQuery.Open;
 GirisQuery.Active := True;
 GirisQuery.Refresh;

 if GirisQuery.RecordCount <= 0 then
 begin
   MessageBox(handle, 'Kullanıcı adı veya şifrenizde bir hata mevcut, lütfen kontrol ediniz.', 'Hata!', MB_OK + MB_ICONWARNING);
   LabeledEdit1.Clear;
   LabeledEdit2.Clear;
 end
 else
 if GirisQuery.RecordCount > 0 then
 begin
   Kullanici := TStringList.Create;
   Kullanici.Add(IntToStr(GirisQuery.FieldByName('ID').AsInteger));
   Kullanici.Add(GirisQuery.FieldByName('ADSOYAD').AsString);
   Kullanici.SaveToFile('data\kullanici.txt');

   Settings := TStringList.Create;
   Settings.LoadFromFile('Settings.ini');

   KMenu.Show;

   if Settings.Strings[1] = 'StartUp=0' then
   begin
    KLisansSozlesmesi.ShowModal;
    KTasarimSecimi.ShowModal;
   end;

   Settings.Strings[1] := 'StartUp=1';
   Settings.SaveToFile('Settings.ini');
 end;
end;

Merak etmeyin bende diyorum; "bu ne olm!??"...

Son 🏁

Veee geldik uzun yazımızın sonuna. Umarım anlaşılır ve size katkı sağlayan bir yazı olmuştur. Yazım hatalarını, yanlış bilgi durumlarında çekinmeden kurallar çerçevesinde belirtebilir, tartışabiliriz. Gerektiğinde yanlış yerleri beraber düzeltebiliriz. Merak etmeyin çoğu insanda olan "eleştiriyi kabullenmeme" durumu bende yok. Yanlış olan birşeyin doğrusunu öğrenmek benimde en çok istediğim şeydir. Bu ve bu tip makaleler için lütfen forumumuza üye olun. Böylelikle daha kolay erişebilir dilerseniz Android uygulamamız ile forum içerisinde surf yapabilirsiniz.

Reverse konusunda zamanım oldukça makale hazırlayacağım. Bu konudaki sorularınızı aşağıda belirtebilirsiniz.
Kendinize iyi bakın,
sağlıcakla kalın!