SpyHackerZ'da Açık Var!!! | VPN Blocker Bypass

Blackwood
Status
Not open for further replies.
SpyHackerz VPN Güvenlik Kontrolü Bypass Edilebiliyor | İkinci Açık Raporu :)

Güvenlik Bildirimi • Session Cookie • Olası İstismarlar • Çözüm Önerileri​

Selamlar SpyHackerz ailesi,

Yıllar sonra yine bir güvenlik bildirimiyle karşınızdayım.

Hatırlayanlar olacaktır, zamanında SpyCoin sisteminin aktif olduğu dönemlerde, coin harcamadan bazı ücretli içeriklerin tarayıcının Öğeyi İncele özelliği üzerinden görüntülenebilmesine imkân tanıyan açığı da ben bildirmiştim.

Aradan seneler geçti, ikinci partla geldik.

Öncelikle belirteyim; bu konuyu herhangi bir kötü niyetle, sistemi karalamak veya birilerine istismar yolu göstermek amacıyla açmıyorum. Aksine, yıllardır varlığını sürdüren forumun güvenlik açısından daha sağlam bir altyapıya kavuşmasını istediğim için yetkililerin dikkatine sunuyorum.

To view the content, you need to Sign In or Register.


6. SON OLARAK

Yıllar önce SpyCoin dönemindeki içerik erişimi sorununu bildirmiştim. Seneler sonra tekrar bir güvenlik meselesiyle konu açmak nasip oldu.

Forumun güvenlik politikaları yönetimin kendi takdirindedir. VPN kullanımının hangi sebeple yasaklandığını bilemem; ancak bir güvenlik politikası uygulanıyorsa bunun oturumun farklı aşamalarında da tutarlı çalışması gerektiğini düşünüyorum.

Bu konu tamamen yetkilileri durumdan haberdar etmek ve olası istismarların önüne geçilmesine katkıda bulunmak amacıyla açılmıştır.

Paylaştığım senaryoları forum üzerinde istismar etmeye yönelik herhangi bir çalışma yürütülmesini veya denenmesini önermiyorum. Gerekli teknik kontrollerin yönetim tarafından yetkili test ortamında gerçekleştirilmesi daha doğru olacaktır.

Detaylı inceleme gerekiyorsa mevcut gözlemlerimi yönetimle özel olarak paylaşabilirim.

SpyHackerz'ın daha güvenli ve daha güçlü bir altyapıyla yoluna devam etmesini isterim.

Forum yönetimine ve emeği geçen herkese saygılar.

İlk rapordan yıllar sonra ikinci partı da bırakmış olalım.

Umarım üçüncü part için yine birkaç sene sonra gelir, hatta umarım ki hiç gerek kalmaz. 🌹

🔒 Bu içeriği görmek için giriş yapın

 
Blackwood said:
SpyHackerz VPN Güvenlik Kontrolü Bypass Edilebiliyor | İkinci Açık Raporu :)

Güvenlik Bildirimi • Session Cookie • Olası İstismarlar • Çözüm Önerileri​

Selamlar SpyHackerz ailesi,

Yıllar sonra yine bir güvenlik bildirimiyle karşınızdayım.

Hatırlayanlar olacaktır, zamanında SpyCoin sisteminin aktif olduğu dönemlerde, coin harcamadan bazı ücretli içeriklerin tarayıcının Öğeyi İncele özelliği üzerinden görüntülenebilmesine imkân tanıyan açığı da ben bildirmiştim.

Aradan seneler geçti, ikinci partla geldik.

Öncelikle belirteyim; bu konuyu herhangi bir kötü niyetle, sistemi karalamak veya birilerine istismar yolu göstermek amacıyla açmıyorum. Aksine, yıllardır varlığını sürdüren forumun güvenlik açısından daha sağlam bir altyapıya kavuşmasını istediğim için yetkililerin dikkatine sunuyorum.

*** Hidden text: cannot be quoted. ***


6. SON OLARAK

Yıllar önce SpyCoin dönemindeki içerik erişimi sorununu bildirmiştim. Seneler sonra tekrar bir güvenlik meselesiyle konu açmak nasip oldu.

Forumun güvenlik politikaları yönetimin kendi takdirindedir. VPN kullanımının hangi sebeple yasaklandığını bilemem; ancak bir güvenlik politikası uygulanıyorsa bunun oturumun farklı aşamalarında da tutarlı çalışması gerektiğini düşünüyorum.

Bu konu tamamen yetkilileri durumdan haberdar etmek ve olası istismarların önüne geçilmesine katkıda bulunmak amacıyla açılmıştır.

Paylaştığım senaryoları forum üzerinde istismar etmeye yönelik herhangi bir çalışma yürütülmesini veya denenmesini önermiyorum. Gerekli teknik kontrollerin yönetim tarafından yetkili test ortamında gerçekleştirilmesi daha doğru olacaktır.

Detaylı inceleme gerekiyorsa mevcut gözlemlerimi yönetimle özel olarak paylaşabilirim.

SpyHackerz'ın daha güvenli ve daha güçlü bir altyapıyla yoluna devam etmesini isterim.

Forum yönetimine ve emeği geçen herkese saygılar.

İlk rapordan yıllar sonra ikinci partı da bırakmış olalım.

Umarım üçüncü part için yine birkaç sene sonra gelir, hatta umarım ki hiç gerek kalmaz. 🌹
Click to expand...
Neymiş

🔒 Bu içeriği görmek için giriş yapın

 
Blackwood said:
SpyHackerz VPN Güvenlik Kontrolü Bypass Edilebiliyor | İkinci Açık Raporu :)

Güvenlik Bildirimi • Session Cookie • Olası İstismarlar • Çözüm Önerileri​

Selamlar SpyHackerz ailesi,

Yıllar sonra yine bir güvenlik bildirimiyle karşınızdayım.

Hatırlayanlar olacaktır, zamanında SpyCoin sisteminin aktif olduğu dönemlerde, coin harcamadan bazı ücretli içeriklerin tarayıcının Öğeyi İncele özelliği üzerinden görüntülenebilmesine imkân tanıyan açığı da ben bildirmiştim.

Aradan seneler geçti, ikinci partla geldik.

Öncelikle belirteyim; bu konuyu herhangi bir kötü niyetle, sistemi karalamak veya birilerine istismar yolu göstermek amacıyla açmıyorum. Aksine, yıllardır varlığını sürdüren forumun güvenlik açısından daha sağlam bir altyapıya kavuşmasını istediğim için yetkililerin dikkatine sunuyorum.

*** Hidden text: cannot be quoted. ***


6. SON OLARAK

Yıllar önce SpyCoin dönemindeki içerik erişimi sorununu bildirmiştim. Seneler sonra tekrar bir güvenlik meselesiyle konu açmak nasip oldu.

Forumun güvenlik politikaları yönetimin kendi takdirindedir. VPN kullanımının hangi sebeple yasaklandığını bilemem; ancak bir güvenlik politikası uygulanıyorsa bunun oturumun farklı aşamalarında da tutarlı çalışması gerektiğini düşünüyorum.

Bu konu tamamen yetkilileri durumdan haberdar etmek ve olası istismarların önüne geçilmesine katkıda bulunmak amacıyla açılmıştır.

Paylaştığım senaryoları forum üzerinde istismar etmeye yönelik herhangi bir çalışma yürütülmesini veya denenmesini önermiyorum. Gerekli teknik kontrollerin yönetim tarafından yetkili test ortamında gerçekleştirilmesi daha doğru olacaktır.

Detaylı inceleme gerekiyorsa mevcut gözlemlerimi yönetimle özel olarak paylaşabilirim.

SpyHackerz'ın daha güvenli ve daha güçlü bir altyapıyla yoluna devam etmesini isterim.

Forum yönetimine ve emeği geçen herkese saygılar.

İlk rapordan yıllar sonra ikinci partı da bırakmış olalım.

Umarım üçüncü part için yine birkaç sene sonra gelir, hatta umarım ki hiç gerek kalmaz. 🌹
Click to expand...
rapid7 vulndb exploitdb hepsi harekete geçti

🔒 Bu içeriği görmek için giriş yapın

 
Blackwood said:
SpyHackerz VPN Güvenlik Kontrolü Bypass Edilebiliyor | İkinci Açık Raporu :)

Güvenlik Bildirimi • Session Cookie • Olası İstismarlar • Çözüm Önerileri​

Selamlar SpyHackerz ailesi,

Yıllar sonra yine bir güvenlik bildirimiyle karşınızdayım.

Hatırlayanlar olacaktır, zamanında SpyCoin sisteminin aktif olduğu dönemlerde, coin harcamadan bazı ücretli içeriklerin tarayıcının Öğeyi İncele özelliği üzerinden görüntülenebilmesine imkân tanıyan açığı da ben bildirmiştim.

Aradan seneler geçti, ikinci partla geldik.

Öncelikle belirteyim; bu konuyu herhangi bir kötü niyetle, sistemi karalamak veya birilerine istismar yolu göstermek amacıyla açmıyorum. Aksine, yıllardır varlığını sürdüren forumun güvenlik açısından daha sağlam bir altyapıya kavuşmasını istediğim için yetkililerin dikkatine sunuyorum.

*** Hidden text: cannot be quoted. ***


6. SON OLARAK

Yıllar önce SpyCoin dönemindeki içerik erişimi sorununu bildirmiştim. Seneler sonra tekrar bir güvenlik meselesiyle konu açmak nasip oldu.

Forumun güvenlik politikaları yönetimin kendi takdirindedir. VPN kullanımının hangi sebeple yasaklandığını bilemem; ancak bir güvenlik politikası uygulanıyorsa bunun oturumun farklı aşamalarında da tutarlı çalışması gerektiğini düşünüyorum.

Bu konu tamamen yetkilileri durumdan haberdar etmek ve olası istismarların önüne geçilmesine katkıda bulunmak amacıyla açılmıştır.

Paylaştığım senaryoları forum üzerinde istismar etmeye yönelik herhangi bir çalışma yürütülmesini veya denenmesini önermiyorum. Gerekli teknik kontrollerin yönetim tarafından yetkili test ortamında gerçekleştirilmesi daha doğru olacaktır.

Detaylı inceleme gerekiyorsa mevcut gözlemlerimi yönetimle özel olarak paylaşabilirim.

SpyHackerz'ın daha güvenli ve daha güçlü bir altyapıyla yoluna devam etmesini isterim.

Forum yönetimine ve emeği geçen herkese saygılar.

İlk rapordan yıllar sonra ikinci partı da bırakmış olalım.

Umarım üçüncü part için yine birkaç sene sonra gelir, hatta umarım ki hiç gerek kalmaz. 🌹
Click to expand...
helehele

🔒 Bu içeriği görmek için giriş yapın

 
Blackwood said:
SpyHackerz VPN Güvenlik Kontrolü Bypass Edilebiliyor | İkinci Açık Raporu :)

Güvenlik Bildirimi • Session Cookie • Olası İstismarlar • Çözüm Önerileri​

Selamlar SpyHackerz ailesi,

Yıllar sonra yine bir güvenlik bildirimiyle karşınızdayım.

Hatırlayanlar olacaktır, zamanında SpyCoin sisteminin aktif olduğu dönemlerde, coin harcamadan bazı ücretli içeriklerin tarayıcının Öğeyi İncele özelliği üzerinden görüntülenebilmesine imkân tanıyan açığı da ben bildirmiştim.

Aradan seneler geçti, ikinci partla geldik.

Öncelikle belirteyim; bu konuyu herhangi bir kötü niyetle, sistemi karalamak veya birilerine istismar yolu göstermek amacıyla açmıyorum. Aksine, yıllardır varlığını sürdüren forumun güvenlik açısından daha sağlam bir altyapıya kavuşmasını istediğim için yetkililerin dikkatine sunuyorum.

*** Hidden text: cannot be quoted. ***


6. SON OLARAK

Yıllar önce SpyCoin dönemindeki içerik erişimi sorununu bildirmiştim. Seneler sonra tekrar bir güvenlik meselesiyle konu açmak nasip oldu.

Forumun güvenlik politikaları yönetimin kendi takdirindedir. VPN kullanımının hangi sebeple yasaklandığını bilemem; ancak bir güvenlik politikası uygulanıyorsa bunun oturumun farklı aşamalarında da tutarlı çalışması gerektiğini düşünüyorum.

Bu konu tamamen yetkilileri durumdan haberdar etmek ve olası istismarların önüne geçilmesine katkıda bulunmak amacıyla açılmıştır.

Paylaştığım senaryoları forum üzerinde istismar etmeye yönelik herhangi bir çalışma yürütülmesini veya denenmesini önermiyorum. Gerekli teknik kontrollerin yönetim tarafından yetkili test ortamında gerçekleştirilmesi daha doğru olacaktır.

Detaylı inceleme gerekiyorsa mevcut gözlemlerimi yönetimle özel olarak paylaşabilirim.

SpyHackerz'ın daha güvenli ve daha güçlü bir altyapıyla yoluna devam etmesini isterim.

Forum yönetimine ve emeği geçen herkese saygılar.

İlk rapordan yıllar sonra ikinci partı da bırakmış olalım.

Umarım üçüncü part için yine birkaç sene sonra gelir, hatta umarım ki hiç gerek kalmaz. 🌹
Click to expand...
e

🔒 Bu içeriği görmek için giriş yapın

 
1. TESPİT EDİLEN GÜVENLİK ZAFİYETİ

Forum üzerinde VPN bağlantısıyla doğrudan giriş yapılmaya çalışıldığında güvenlik kontrolü devreye giriyor ve erişim engelleniyor.

Ancak tespit ettiğim kadarıyla bu kontrol oturum açıldıktan sonra aynı etkinlikle uygulanmıyor.

Yanıt:
Bu cloudflare ile alakalı bir durum, VPN erişim engeli gibi bir sistemimiz yok. Kullanıcılar VPN ile rahatça giriş yapabilirler. Engele takılma nedenin kullandığın VPN sağlaycısının çöp olmasından kaynaklı.


2. SESSION COOKIE ÜZERİNDEN OLASI İKİNCİ BYPASS

Mevcut durumun yanında değerlendirilmesi gereken ikinci bir ihtimal daha bulunuyor.

Bu senaryo henüz test edilmedi; olası bir güvenlik problemi olarak değerlendiriyorum.


Asıl soru, geçerli bir oturum çerezinin normalde engellenmesi gereken ağ koşullarında da kullanılmasına sistemin izin verip vermediğidir.

Yanıt: Session Cookie tüm web uygulamalarında mecburi olan bir şey, Instagramda bile session cookie çalınırsa o hesaba giriş yapılabilir. Web olması şart değil Telegram'da bile bu yapılabilir. Farklı çerezler toplanarak tabii.


3. OLASI İSTİSMAR MODELLERİ VE GÜVENLİK RİSKLERİ

Bu durum yalnızca VPN yasağının etkisiz kalmasıyla sınırlı olmayabilir.

Yanıt: VPN Yasağımız bulunmuyor.
A) IP Tabanlı Erişim Kısıtlamalarının Etkisizleşmesi

Sistem, belirli IP adreslerini veya VPN/proxy ağlarını güvenlik gerekçesiyle engelliyorsa bu politikanın yalnızca giriş sırasında uygulanması, sonraki isteklerde kısıtlamaların aşılmasına neden olabilir.

Bu durum özellikle IP tabanlı engelleme, hesap güvenliği ve kötüye kullanım önleme mekanizmaları açısından önemlidir.

Yanıt: IP Tabanlı engellemeyi çoğunlukla kullanmıyoruz. Zaten rahatça bypass edilebilir. Bu kullanıcının değiştirebileceği bir şey olduğu için müdahele etmek zaten pek mümkün olmaz. Adı üstünde "Hacker" Forumu

C) USB Tethering ve Çoklu Cihaz Üzerinden Oturum Kullanımı

USB tethering üzerinden internet bağlantısı sağlanan çoklu cihaz sistemleri de değerlendirilmelidir.

Birden fazla cihazın veya istemcinin farklı ağ koşullarında erişim sağlaması, özellikle erişim politikaları yalnızca ilk kimlik doğrulamasında uygulanıyorsa denetim eksikliklerini görünür hâle getirebilir.

Buradaki risk, çoklu cihaz kullanımının kendisi değil; ağ değişimlerinden sonra güvenlik politikalarının tutarlı uygulanmamasıdır.

Yanıt: Xenforo çekirdeği kullanıyoruz, bu zaten önleniyor veya değişimler sistem tarafından tespit edilebiliyor. Backendi görmediğiniz için bir çok şeyi güvenlik açığı olarak görüyor olabilirsiniz.


E) Otomatik İşlemler ve Bot Trafiği

Erişim denetiminin yalnızca oturum başlangıcında yapılması, otomatik istek gönderen istemcilerin de aynı politikadan muaf kalıp kalmadığı sorusunu gündeme getiriyor.

Özellikle;


  • []Otomatik içerik görüntüleme ve veri toplama,
    [    ]Seri hâlde mesaj veya yorum gönderimi,
    []Oturum açıldıktan sonra gerçekleştirilen yoğun API istekleri,
    [    ]IP tabanlı hız sınırlamalarının yetersiz kalması,
  • Hesap bazlı kötüye kullanım kontrollerinin aşılması

gibi ihtimallerin ayrıca incelenmesi gerekiyor.

Bunların gerçekleşebilmesi, ilgili uç noktalarda başka korumaların bulunup bulunmadığına bağlıdır.

Yanıt: Bunlar açık değil bizim yapay zeka sistemlerini kullanabilmemiz için kasıtlı olarak etkinleştirdiğimiz sistemlerdir. Örneğin yapay zeka tabanlı konu özetleme sisteminin çalışabilmesi için gerekli. Bu sistemleri sürekli güncellediğimiz için erişime özel açmak bizim için çok zahmetli olucaktır.


H) Uygulama Katmanında Trafik Yoğunluğu ve DDoS Riski

VPN/proxy kısıtlamalarının atlatılabiliyor olması tek başına DDoS gerçekleştirilebileceğini kanıtlamaz.

Ancak aynı kontrol eksikliği diğer korumalarda da bulunuyorsa, otomatik ve yoğun HTTP isteklerine karşı savunmaların yeterliliği sorgulanmalıdır.

Özellikle oturum açmış kullanıcılara yönelik hız sınırlamaları, uygulama katmanı korumaları ve trafik anomali tespiti ayrıca değerlendirilmelidir.

Bu başlık doğrudan doğrulanmış bir DDoS açığı değil, mevcut bulgu nedeniyle denetlenmesi gereken ek bir risk alanıdır.

Yanıt:
Dediğimiz gibi bir noktada kendimiz kasıtlı olarak bu sistemleri aktif ettik. DDoS ise bambaşka bir mesele. Sorun yaratıcak olsa zaten sitenin ayakta durmaması gerekirdi. Güvenliği ihlal eden bir durum söz konusu değil.

Hesaplar için ise 2 faktörlü kimlik doğrulamasını açmanızı öneriyoruz. Herkes kendi hesabının güvenliğinden sorumludur. Sistem Xenforo çekirdeği kullanıyor, eğer kritik bir açık var ise tüm xenforo çekirdeği kullanan forumlarda var olması gerekir ki bu durumda ortalıkta forum kalmazdı. Xenforodan önce de Cloudflare sistemi var.
Açık bulursanız o açığı istismar ettikten sonra bize bildirebilirsiniz.

🔒 Bu içeriği görmek için giriş yapın

 
Status
Not open for further replies.
136,540Threads
3,306,364Messages
328,378Members
nextaLatest member

About Us & Legal Notice

Yasal Uyarı: spyhackerz.org, 5651 sayılı Kanun kapsamında “Yer Sağlayıcı”dır. Sitedeki içerikler, X, Instagram ve Facebook’ta olduğu gibi, ön onay olmadan tamamen kullanıcılar tarafından paylaşılır. Bu nedenle spyhackerz.org, kullanıcı içeriklerini veya hukuka aykırı paylaşımları izlemek, denetlemek ve araştırmakla yükümlü değildir.

Site bünyesinde herhangi bir “saldırı ekibi” bulunmamaktadır ve Türkiye’deki internet sitelerine yönelik zararlı faaliyet yürütülmez. SPYHACKERZ, üyelerin bireysel olarak gerçekleştirdiği hacking içerikli forum faaliyetlerinden sorumlu değildir. spyhackerz.org adı kullanılarak bir saldırı yapılması halinde tüm sorumluluk yalnızca ilgili üyeye aittir.
Top Bottom