Hurray spam:)

SPF lookup of sender info@microsoft.com.tr from IP 195.175.39.39:

SPF string used: v=spf1 a mx mx:exchange.microsoft.com.tr +all.

Processing SPF string: v=spf1 a mx mx:exchange.microsoft.com.tr +all.
Testing 'a' on IP=195.175.39.39, target domain microsoft.com.tr, CIDR 32, default=PASS.  No match.
Testing 'mx' on IP=195.175.39.39, target domain microsoft.com.tr, CIDR 32, default=PASS.  No match.
Testing 'mx:exchange.microsoft.com.tr' on IP=195.175.39.39, target domain exchange.microsoft.com.tr, CIDR 32, default=PASS.  No match.
Testing 'all' on IP=195.175.39.39, target domain microsoft.com.tr, CIDR 32, default=PASS.  MATCH!

Result: PASS

FortiGuard Web Filtreleme servisini açtığınız halde, bazı web sitelerinin port 80'den yaptığı windows streaminglerinin bundan kaçtığını görürseniz (örneğin bu yazıyı yazdığım tarihte TRT'nin canlı yayınları) yapmanız gereken custom bir IPS imzası eklemek. Eklemek için ; Intrusion Protection, Signature, Custom, Create New demeniz. Gelen sayfada Name kısmına istediğiniz gibi bir şey yazdıktan sonra Signature’a ;

F-SBID( --attack_id 8640;  --name "Block.WMP.Get"; --default_action drop_session; --protocol tcp; --service HTTP; --flow from_client; --pattern "Pragma: xPlayStrm=1"; )
yazıp OK’e tıklamalısınız.

Daha sonra eklediğiniz bu IPS imzasını kullandığınız IPS profiline eklemelisiniz. Örneğin protect_client profilini kullanıyorsanız bunu editleyerek Add Custom Override’a tıklayarak, Signature kısmından göz atarak oluşturmuş olduğunuz bu yeni imzayı seçin. Daha sonra imzayı Enable edip Action’nını Block seçmelisiniz. Eğer kayıtlarınızda bu imzaya dair yapılan bloklamaları görmek isterseniz Logging kısmını da seçmelisiniz.

Bursa'da başıma geldi. Fortiguard servisi açık. Video siteleri vs. yasaklanmış durumda. Ancak bazı siteler Fortiguard'a henüz bildirilmediğinden filtrelerden kaçabiliyor. Daha önce olduğu gibi iş başa düşünce IPS'e bir imza eklemek zorunda kaldım. Bununla flash ile yapılmış siteleri bloklayabiliyorsunuz.

F-SBID( --attack_id 9820;  --name "Adobe.Flash.Player.Streaming.Video"; --protocol tcp; --service HTTP; --flow from_server; --pattern "HTTP/1."; --context banner; --pattern "|0d 0a 0d 0a|"; --pattern "|46 4C 56 01|"; --within 4; )

1. Connect to the Unit :

Connect with CLI directly on your Fortigate console port with a null-modem serial cable and use hyperterminal (ssh does not work)

- login with username : maintainer
- the password is      : bcpb<s/n>
where <s/n> is the serial number in uppercases.

As an example for serial FGT-502803034042 , use as password : bcpbFGT-502803034042

Please note that in v3.0 this operation must be performed within 30sec following a reboot.

2. Modify Admin Password

* on a 2.5 system :

set system admin username admin password <mypassword> trust 0.0.0.0 0.0.0.0
where <mypassword> is the password to set

* on  a 2.8 system :
Fortigate-3000 login: maintainer
Password: ********************
Welcome !
Fortigate-3000 $ config system admin
(admin)$ edit admin
(admin)$ set password <mypassword>
(admin)$ set trusthost1 0.0.0.0 0.0.0.0
(admin)$ end
Fortigate-3000 $ exit
Fortigate-3000 login:

1. Cihaza Bağlanma

Öncellikle Fortigate'in konsol portundan (null modem seri kabloyla) hyper terminal aracılığıyla bağlanın. (ssh çalışmaz)

- kullanıcı adı : maintainer
- parola        : bcpb<s/n>
<s/n> seri numarasını büyük harflerle yazınız.

Örnek seri numarası FGT-502803034042 için parola : bcpbFGT-502803034042

Not: v3.0 kullanıyorsanız cihazı reboot edip 30 saniye içerisinde yazınız.

2. Admin Parolasını Değiştirme

* v2.5 kullanan sistemlerde  :
set system admin username admin password <parolam> trust 0.0.0.0 0.0.0.0
parolanızı <parolam> yazan yere yazınız.

* v2.8 kullanan sistemlerde  :
Fortigate-3000 login: maintainer
Password: ********************
Welcome !
Fortigate-3000 $ config system admin
(admin)$ edit admin
(admin)$ set password <parolam>
(admin)$ set trusthost1 0.0.0.0 0.0.0.0
(admin)$ end
Fortigate-3000 $ exit
Fortigate-3000 login:

Kolay gelsin ;)

Not: Fortinet Knowledge Centerında şöyle yazmış.

“Recovering lost password
If you have forgotten or lost the administrative password for your FortiGate unit, you can reset the password
Contact Fortinet Techincal Support, for details on how to perform this procedure.
See the article Contact Technical Support for contacting a support center near you.”

http://kc.forticare.com/default.asp?id=999&SID=&Lang=1

Daha önce Fortigate için kaybedilmiş/unutulmuş admin parolasını resetlemeyi anlatmıştım. Ancak eksik birşey kalmasın. Olur ya konsol kablonuz mevcut değildir, yapmak/yaptırmak istersiniz…
Not: Cisco konsol kabloları da uyuyor. (şu açık mavi olan)


Fortinet console cable pinouts

RJ45	Function	Color	DB9
5	Ground	Green	5
3	Rx	Black	2
6	Tx	Yellow	3

Önce şunu yazayım adı bilinenin aksine Msn değil Msn Messenger. Msn dediğiniz Micro Soft Network oluyor. Gelelim konumuza, bu salak yazılımı neden kullanmamanız gerektiğini hızlı bir şekilde sıralayayım; 

1. Bu program aracılığıyla yazdığınız herşey (artık ne yazıyorsanız siz düşünün, sevgilinize-metresinize yaptığınız kurlar, patronunuza-iş arkadaşlarınıza küfretmeleriniz, bir projenizin bölümleri, şirket sırlarınız, devlet büyüklerine sayıp sıraladıklarınız, parolalarınız vb.) şifrelenmeden bir diğer tarafa gider. İşin içinde şifreleme olmayınca dinlemek çok kolaydır. Peki koskoca Microsoft, Msn Messenger'i neden böyle şifresiz bir şekilde çalıştırmaya devam (ya da ısrar) ettiğini düşündünüz mü? Neden?

Msn Messenger'i dinlemeye yarayan tomarla yazılım olduğundan ve bu yazılımlardan birinin evinizde/iş yerinizde/kafede ya da internetteki bir yerlerde çalışıp sizi dinlemediğinden emin misiniz?

Konu izlemeden açılınca şöyle birşey de Child Exploitation Tracking System (CETS) / Çocuk İstismarı İzleme Sistemi var. Bunun özeti Kanadalı bir polisin 2004 yılında Bill amcaya e-posta yollayıp  "-Ben bu sübyancıları, pis sapıkları izlemekte zorlanıyorum, gel şu işe bir el at" demesiyle ortaya çıkan bir proje. Bu sistemi dünyada Kanada, İtalya, İngiltere, Endonezya, Brezilya, Şili, Türkiye vs. (toplamda 12 ülke) kullanıyor. Olayın mantığı anahtar kelimeleri taramak/izlemek. Hatta konuyla ilgili bir yerde resimleri de taradığını okudum, teknik açıdan mümkün. Sizce bu teknoloji sadece çocuk pornocuları için mi kullanılıyor? Konuyla ilgili Microsoft'un sitesinde bir detay bulabilmeniz mümkün değil. Aklıma gelmişken ülkemizde bu anahtar kelimelerle ilgili aşağıdaki haberlere bakabilirsiniz ;)

http://www.ntvmsnbc.com/news/430060.asp
http://www.haberturk.com/haber.asp?id=48144&cat=200&dt=2007/12/18
http://www.milliyet.com.tr/2007/12/18/son/sonsiy04.asp?prm=0,9795039

Şimdi kendi ağınızdakileri izlemenin ne kadar basit olduğunu anlamanız için şuradaki http://www.msnsniffer.com veya buradaki http://www.immonitor.com programları indirip lütfen kendi gözlerinizle görün. (Bu tür tomarla programa sadece iki örnek) Sonuçta bu kişisel olarak neler yapabileceğinizi göstermek için, bunu birde kafayı bozan bir kişinin veya devletlerin yaptığını varsayın.

Tabii bunu yapmadan evvel ağınızda;

1. Switch varsa, ondan önce en önde olan ve sizin internete çıkmanıza yarayan cihazın (modem, firewall, router her ne ise) arkasına (switch’in önüne) araya hub koyup, programı kurduğunuz bilgisayarı bu huba bağlayın. Yani aradaki hub'ın bir kablosu en önde duran cihaza, bir diğer kablosu sniff yapacağınız bilgisayara, diğer bir kablosu ise switche gitsin.
2. Switch varsa sökün hub takın. (bu 1 numaralı seçeneği yapmaktansa daha kolay olanı)
3. Ağınızda zaten hub var ise birşey değiştirmenize gerek yok aynen yola devam.

Bunları yaparken göreceğiniz yazışmalardan kimseye bahsetmeyeceğinize dair yemin edin ;)

Haa yeri gelmişken yukarıdaki ağ düzeniyle (ama farklı programlarla) AIM, ICQ, Yahoo Messenger'ın da dinlenebildiğini yazmama gerek var mı? Bu durumdan muzdarip olmayan bildiğim kadarıyla Skype var. Eğer bu tür yazılımlar kullanmak zorundaysanız bari kötünün iyisini kullanın. (bana sorarsanız bu tür yazılımların hiçbirini kullanmayın.)

Bu sniff olayında iş sizin hayal gücünüze kalmış. İsterseniz Http (web) trafiğini, isterseniz POP3/SMTP (e-posta) trafiğini, isterseniz Ftp (dosya transfer) trafiğini yine aynı yolla izleyebilir/kaydedebilirsiniz. Vakit bulursam bunlara değinirim. Tabii bunlara karşı önlemlere de. Neyse yazmaya devam edelim. Bilmeyenler için bir not, bu sniff olayının daniskasını Amerika Echelon aracılığıyla zaten yıllardır yapıyor. Echelon'un bir benzeri ise bizim ülkemizde Milli Monitör aracılığıyla çalışmakta. Siz bakmayın sayfada "Spektrum İzleme Denetimi" vs. yazdığına. Gayet sağlam kaynaklardan biliyorum. Bizim bu Milli Monitör projesinin finansmanı önce Dünya Bankası tarafından karşılanacaktı. O zaman ki Telsizler Genel Müdürlüğü (yeni adıyla Telekomünikasyon Kurumu) projenin milli menfatleri gereği bu işin yabancı bir firma tarafından değilde Aselsan’ın yapması gerektiğine karar verince Dünya Bankası kredisini (neden acaba) pat diye geri çekti. Telsizler Genel Müdürlüğü ihaleyi zar-zor Aselsan’a (ve alt üstlenicilerine) verebildiler. Bu da bununla ilgili kısa bir bilgi olsun, devam ediyoruz.

2. Bir gün listenize eklediğiniz kişinin bot (bot'un ne olduğunu bilmeyenler robot diye okusun:) olmadığına nasıl ve ne kadar sürede emin olabilirsiniz? Canlı bir bot örneği görüp konuşmak isteyenler encarta@botmetro.net adresini listesine eklesin. (Korkmayın ekleyin, bildiğiniz Microsoft'un Encarta Ansiklopedisinin botu, çatır çatır ingilizce konuşuyor) Şimdilik merhaba, nasılsın vb. bir-iki şey dışında Türkçe çok fazla birşeye cevap veremiyor. Ben sizin için denedim;

BadsectoR: Kız mısın erkek mi? 
Encarta® Instant Answers: Hiç fikrim yok.
Badsector : Benimle evlenir misin?
Encarta® Instant Answers: Hmm. I'm not sure about that one.  Let's try an Encarta search.

Bu noktada "-bot'un ne gibi zararı olabilir" diyenlere yazının devamını okumamasını salık veririm.

3. Hani listenizdekiler size, siz onlara dosya yolluyorsunuz ya, onlar direk birbirinize (direct connection) gitmiyor. Ya nasıl dediğinizi duyar gibiyim, önce Msn sunucularına ordan size/arkadaşınıza. Güzel mi? Eee sunucudaki dosyalar ne oluyor der gibisiniz? Allah bilir.

4. Öyle iğrenç bir kodlamaya sahiptir ki çok rahat manipüle edersiniz. Küçük programlarla karşınızdakinin ip adresini bulursunuz, karşınızdaki kişinin istediğiniz şeyleri yazmasını (ya da yazmış görünmesini) birkaç adımda yapabilirsiniz vs. vs. Hatta o çok severek kullandığınız bir özelliği var ya kıpraşım gönderme, o özelliği kullanan exploitler (kötüye kullanma) bile var. Bunun dışında listenizdeki arkadaşınızın dosya yollayıp bilgisayarınıza virüs bulaştırmasını daha sonra bu virüsün sizin listenizdekilere de otomatik gitmesini saymıyorum bile.

5. Son olarak böyle güzel taraflarını da unutmadım değil:
http://www.youtube.com/watch?v=GRsrkyM7xj8
http://www.youtube.com/watch?v=d1CD73G1VmI
Msn’de Tanıştı Evden Kaçtı!!!

Not: Bu kadar şeye rağmen halen bunu kullanmak isteyenler bari şu yazılımı
http://www.secway.fr/us/products/simplite_msn/getsimp.php kullanarak Msn Messenger'i şifrelesin.

Aaa şaka gibi. Bu yazıyı yazıp yayınladıktan hemen sonra posta kutuma şöyle birşey düştü ;
To: aslisevim@hotmail.com
Subject: FW: Superrr, canin bir sarkici ya da sarki dinlemek istediginde aninda caliyor !!!!
MSN'in sitesinde bir uygulama buldum süper,  canin bir sarkici ya da sarki dinlemek istediginde aninda caliyor http://gallery.live.com/liveItemDetail.aspx?li=c4e5291a-97e0-45dc-a0b9-611ed133e72f&bt=10&pl=2  adresinden ADD e tıklayın yeter... otomatik bot MSN listenize eklenecek, oradan artık istedigin sarkici ve sarkiyi isteyebilirsin ya da kendin msn listene  music@messengerplayer.com adresini ekle