WHOIS ve DNS İstihbaratı: Alan Adı Geçmişinden Altyapı Analizine

müfettiş

müfettiş

Moderatör
Katılım
20 Ocak 2024
Mesajlar
325
Tepkime puanı
1
Puanları
18

​

​

whois.png

WHOIS ve DNS İstihbaratı: Alan Adı Geçmişinden Altyapı Analizine​

Bir dedektif olduğunuzu ve şüpheli bir binayı araştırdığınızı hayal edin. Binanın kime ait olduğunu öğrenmek için tapu kayıtlarına (WHOIS), binanın hangi sokakta olduğunu ve hangi elektrik/su şebekesine bağlı olduğunu öğrenmek için ise şehir haritalarına (DNS) bakarsınız.

Siber dünyada da mantık aynıdır. Bir siber saldırı veya dolandırıcılık girişimi genellikle bir alan adı (örn: banka-giris-guncel.com) ile başlar. Bu alan adının "Tapu Kaydı" WHOIS, "Adres Tarifi" ise DNS'tir.

Bölüm 1: WHOIS Nedir? Dijital Kimlik Kartı​

WHOIS, bir alan adının (domain) kime ait olduğunu, ne zaman kaydedildiğini ve ne zaman süresinin dolacağını gösteren bir sorgulama protokolüdür.

İnternetin ilk yıllarında WHOIS kayıtları tamamen açıktı. Bir siteyi sorguladığınızda sahibinin adını, ev adresini, telefon numarasını ve e-posta adresini görebilirdiniz. Bu, OSINT analistleri için bir cennetti. Ancak günümüzde GDPR (Avrupa Veri Koruma Tüzüğü) ve gizlilik yasaları nedeniyle bu bilgilerin çoğu "Redacted for Privacy" (Gizlilik nedeniyle sansürlendi) olarak görünür.

Peki, Sansürlü WHOIS Hala İşe Yarar mı?​

Kesinlikle evet. İsim göremesek bile şu kritik verileri elde ederiz:
  1. Oluşturulma Tarihi (Creation Date): En kritik veridir. Eğer size "Banka Hesabınız Çalındı" diyen bir site, bankanın 20 yıllık sitesi yerine dün kaydedilmiş bir domainden geliyorsa, bu %99.9 oltalama (phishing) saldırısıdır.
  2. Kayıt Firması (Registrar): Saldırganlar genellikle denetimin zayıf olduğu, ucuz veya anonim ödeme kabul eden kayıt firmalarını (örn: Namecheap, GoDaddy vb.) tercih eder.
  3. Tarihsel WHOIS (Historical WHOIS): Bir alan adı bugün gizli olabilir. Ama belki 3 yıl önce sahibi gizlilik korumasını açmayı unuttu? WHOIS geçmişi tutan servisler (DomainTools, Whoxy gibi) geçmişteki o "açık" kaydı size gösterebilir. Bu, siber zamanda yolculuk gibidir.

Bölüm 2: DNS İstihbaratı (Altyapı Haritası)​

WHOIS "kim" sorusuna cevap ararken, DNS (Domain Name System) "nerede" ve "nasıl" sorularına cevap verir. DNS, insanların anlayabileceği alan adlarını (https://www.google.com/url?sa=E&source=gmail&q=google.com), makinelerin anlayabileceği IP adreslerine (142.250.x.x) çeviren sistemdir.

Bir istihbaratçı için DNS kayıtları, hedef kurumun teknolojik röntgenini çekmek demektir.

Kritik DNS Kayıtları ve Anlamları:​

  • A Kaydı (Address Record): Domainin barındırıldığı sunucunun IPv4 adresini gösterir. Bu IP adresini tarayarak sunucudaki diğer zafiyetleri bulabilirsiniz.
  • MX Kaydı (Mail Exchange): Hedefin hangi e-posta altyapısını kullandığını gösterir.
    • İstihbarat: Eğer MX kayıtları google.com veya outlook.com gösteriyorsa, bulut tabanlı bir e-posta kullanıyorlardır. Eğer bilinmeyen bir sunucu gösteriyorsa, kendi iç sunucularını (On-Premise) kullanıyor olabilirler ki bu da saldırı yüzeyini artırır.
  • TXT Kaydı: Genellikle doğrulama kodlarını içerir (SPF, DKIM, Google-Site-Verification).
    • İstihbarat: TXT kayıtlarında facebook-domain-verification veya v=spf1 include:mailchimp.com gibi ibareler görmek, şirketin hangi 3. parti servisleri (Facebook Business, Mailchimp vb.) kullandığını ifşa eder.
  • NS Kaydı (Name Server): Domainin yönetiminin hangi firmada olduğunu gösterir. (Örn: ns1.cloudflare.com - Hedef Cloudflare koruması altında).

Bölüm 3: Pasif DNS (Passive DNS) - Oyun Değiştirici​

Standart DNS sorgusu, "Şu an bu domain hangi IP'de?" sorusunu cevaplar. Ancak siber tehditler değişkendir. Saldırganlar yakalanmamak için sürekli IP değiştirir (Fast-Flux Networks).

Pasif DNS, DNS kayıtlarının zaman içindeki değişimini kaydeden bir veritabanı sistemidir. Şu sorulara cevap verir:
Senaryo: Bir malware (zararlı yazılım) analiz ediyorsunuz ve bir IP adresiyle iletişim kurduğunu gördünüz. Pasif DNS veritabanına bu IP'yi sorduğunuzda, IP'nin daha önce update-windows-patch.com gibi sahte isimli domainlerle ilişkilendirildiğini görebilirsiniz. Bu, saldırganın altyapısını (C2 Server) haritalamanızı sağlar.

Bölüm 4: Pivotlama ve Tersine Sorgular (Reverse Lookups)​

OSINT'in en keyifli kısmı "Tersine Mühendislik" mantığıyla çalışmaktır. Tek bir veriden yola çıkarak tüm ağı çökertmek mümkündür.

1. Reverse IP (Tersine IP)​

Hedef sitenin IP adresini buldunuz. "Bu IP adresinde başka hangi siteler barınıyor?" sorusunu sorarsınız.
  • Sonuç: Paylaşımlı bir sunucuda (Shared Hosting), hedefinizle aynı sunucuda bulunan 500 diğer siteyi görebilirsiniz. Bazen saldırganlar tek bir sunucuda 50 farklı oltalama sitesi barındırır. Birini bulmak, hepsini bulmak demektir.

2. Reverse NS (Tersine Ad Sunucusu)​

Saldırganın kendi özel Ad Sunucusunu (ns1.hacker-group.com) kurduğunu fark ettiniz.
  • Sonuç: Bu özel NS adresini kullanan tüm diğer domainleri sorgulayarak, saldırganın gelecekte kullanmak üzere hazırladığı henüz aktif olmamış saldırı sitelerini bile tespit edebilirsiniz.

3. Reverse Analytics / AdSense​

Web sitelerinin kaynak kodlarında Google Analytics (UA-XXXXX) veya AdSense (pub-XXXXX) kodları bulunur. Bu kodlar benzersizdir.
  • Teknik: Bu kodu alıp DNSlytics veya SpyOnWeb gibi araçlarda aratırsanız, aynı kişinin sahip olduğu diğer tüm web sitelerini bulabilirsiniz. Bir hackerın hem illegal sitesine hem de kişisel bloguna aynı Analytics kodunu koyması, sık yapılan ve kimliği ifşa eden bir hatadır.

Bölüm 5: Araç Çantası​

Bu analizleri yapmak için kullanılan temel araçlar:
  • Terminal (CLI):
    • whois hedef.com (Temel sorgu)
    • dig hedef.com ANY (Tüm DNS kayıtlarını döker)
    • nslookup
  • Web Tabanlı Araçlar:
    • SecurityTrails: DNS geçmişi ve alt alan adları (subdomain) için en iyi görsel araçlardan biridir.
    • ViewDNS.info: Reverse IP, Whois geçmişi, Port tarama gibi onlarca aracı tek sayfada sunar.
    • DomainTools (Iris): Profesyonel ve ücretli bir araçtır, görsel ilişki ağları kurar.
    • MXToolbox: Özellikle e-posta sunucusu (MX) analizleri ve kara liste (Blacklist) kontrolleri için kullanılır.

Sonuç: İnternetin Parmak İzleri​

WHOIS ve DNS istihbaratı, siber dedektifliğin temel taşıdır. Bir alan adı sadece bir isim değildir; arkasında kayıt tarihleri, sunucu adresleri, e-posta sağlayıcıları ve hatta sahibinin dikkatsizliklerinden oluşan koca bir veri yığını barındırır.

Saldırganlar IP adreslerini değiştirebilir, sunucularını kapatabilirler; ancak DNS ve WHOIS kayıtlarında bıraktıkları tarihsel izleri tamamen silmeleri neredeyse imkansızdır. İzleri takip etmek, sabır ve doğru araçları kullanma işidir.
 
Cevap yazmak için giriş yap yada kayıt ol.
Geri
Üst