Geçtiğimiz günlerde Revonzy takma adlı Türk hackerın gerçekleştirdiği büyük çaplı siber saldırı ile bütün .ug uzantılı Uganda devlet ve kurumsal altyapısı kelimenin tam anlamıyla felç oldu. Aralarında Google, Microsoft ve Yahoo gibi dünya devlerinin ülke uzantılarının da bulunduğu 45.000 web sitesini hedef alan bu operasyon, siber güvenlik dünyasında deprem etkisi yarattı.
Bu devasa eylemin arkasındaki isim olan Revonzy ile bir araya geldik; hacking dünyasına adım atışından siber dünyadaki kırılma noktalarına, yeni nesil lamerlardan CTF platformlarının gerçek yüzüne kadar oldukça samimi ve çarpıcı bir röportaj gerçekleştirdik.
turkishleak.com: Hacking dünyasına ilk adımını nasıl ve ne zaman attın?
Revonzy: Aslında çok ufak yaşlarımdan beri teknolojiyle haşır neşirdim. 7 yaşımdayken karne hediyesi olarak ilk şahsi bilgisayarımı edinmiştim. Okuma yazmayı daha yeni öğrenmeme rağmen, o yaşta bile ilgimi çeken bir şey olunca direkt nasıl çalıştığını anlamaya çalışıyordum. 8-9 yaşlarımdayken hiçbir bilgim olmamasına rağmen oyun hilesi kodlamaya çalışıyordum. Forumlardaki hazır public kaynak kodlarını alıp VB.NET üzerinden bir şeyler yapıyordum ve oluyordu da. O dönemlerden beri aktif olarak internet kullanıyorum.
Yıllarca bu şekilde devam etti. Web hacking ile tanışmam ise 2019'un ilk aylarında oldu. Lise yeni başlıyordu; adını hiç unutmam, "Skyfall 1.8 CMS Brute Force" adında bir aracı kullanmayı öğrenmiştim. İşte o zaman adeta maymunun eline keleşi vermişlerdi. Arama motoru programları üzerinden siteleri toplayıp toola atıyordum; Joomla, WordPress, Drupal fark etmeksizin brute force yaparak erişim sağlıyordu. Tek tek hepsine girip index atıyordum.
Tabii daha sonra server bypass olaylarını kafama çok takmıştım; artık tek tek site hacklemek beni kesmiyordu. O dönem bypass olayları çok yaygındı. Her sunucunun farklı bir bypass metodu oluyordu ve forumlarda sürekli birbirimizle yöntem paylaşıyorduk. c1.tar.gz, Apache header, symlink ile dosya okuma gibi yöntemler o dönem çok popülerdi. Şimdi hiçbiri çalışmıyor tabii. Şu an geriye dönüp bakınca, evet, o zamanlar lamerdim ama çok keyif alıyordum. Bugün kendimce bir şeyler başarabiliyorsam, o lamerlik dönemlerime borçluyum.
turkishleak.com: Bu yolda yürürken "Yeri bende çok ayrıdır" dediğin, sana destek olan ya da elinden tutan biri oldu mu? Olduysa ne gibi konularda yardımcı oldu?
Revonzy: Yok valla, kimse elimden tutmadı. Şimdiki gibi yapay zeka da yoktu; internette aratarak her soruma cevap bulamıyordum. Arşiv sayılabilecek sitelerin çoğu kapalıydı. Ama süreç içinde çok kişiyle dostluk kurdum, çok arkadaş edindim. Aynı dönemden olup da bu işlerle uğraşan ve beni tanımayan yok denebilir. Birbirimize sürekli bir şeyler katıyorduk; forumlarda neyi, nasıl yapabileceğimizi sürekli tartışırdık.
Tam olarak "elinden tutma" sayılmaz belki ama BlackDewiL b4 bana bir konuda çok yardımcı olmuştu, hiç unutmam. Kendisi Türk underground dünyasının yapı taşlarından, efsane denilebilecek bir isimdir. Belki o beni hatırlamaz ama ben yaptığı iyiliği unutmam ve karşılıksız bırakmak istemem.
turkishleak.com: Kendi kendine "Tamam, ben artık bu işi çözdüm, gerçekten hacker oldum" dediğin o ilk büyük başarın veya kırılma noktan neydi?
Revonzy: Aslına bakarsanız şu anda bile öyle bir şey demiyorum. Her yeni bir şey öğrendiğimde ve başardığımda, eskisinden çok daha iyi olduğumu ama geçmişte aslında hiçbir şey bilmediğimi anlıyorum. Zaten siber dünyada yaklaşımın böyle olması gerekiyor. Egolarına yenik düşenler bu piyasadan silinmeye mahkumdur.
turkishleak.com: Sıfırdan bu işe heves eden ama nereden başlayacağını bilmeyen gençlere ne önerirsin? Sence ilk olarak nasıl ve ne şekilde başlamalılar?
Revonzy: Ezbere iş yapmamaları yeterlidir. Eğer zaten içlerinde bir heves ve merak varsa, günümüzde bir şeyleri öğrenmek eskisine nazaran çok daha kolay. Sadece recon yani istihbarat ve keşif kabiliyetleri yüksek olmalı, gerisi zaten çorap söküğü gibi gelir. Yoksa dork ile SQLi arayarak kendilerini geliştiremezler; aksine oldukları yerde sayıklayıp dururlar.
turkishleak.com: Bu süreçte hiç "Lanet olsun, artık bırakıyorum" dediğin, seni çok yıpratan bir an oldu mu? Bu tarz kriz anlarını ve düşüşlerini nasıl atlatıyorsun?
Revonzy: Birkaç kez bıraktım zaten. Ama dediğim gibi, çocukluğum buralarda geçtiği için aslında buraları bırakmak hayatımın belli bir kısmını bırakmak anlamına geliyordu; bu yüzden bırakamadım ve hala buradayım. Yıpranmaktan ziyade, artık sıkıldığım ve bıktığım zamanlar oldu.
Bazen rakip siteleri hacklemek için 1-2 hafta boyunca aralıksız kastığım oluyordu. Ama günün sonunda verdiğin emeklerin boşa çıkmadığını görünce yaşanan o yorgunluğun hiçbir önemi kalmıyor. Bu zamana kadar toplamda 25'ten fazla hack forumu veya hacker sitesi ve 50'ye yakın hedef site hackledim. Benim için bunların hepsi birer istatistikten öteye geçmedi. Onun dışında, verdiğin emeğin karşılığını alamadığın zaman insan tabii ki üzülüyor, yıpranıyor; bunu inkar edemem. Her istediğimiz sisteme saniyesinde girebilseydik, emin olun şu an çok daha farklı bir yerde olurdum.
turkishleak.com: Piyasada son dönemde çoğalan lamer kişiler hakkında düşüncelerin neler?
Revonzy: Bunlar zaten her zaman vardı. Çoğu zamanla silinip gidiyor; piyasada tutunabilenler ise kendi kariyerini ilerletme peşine düşüyor. Lamer kavramı kişiden kişiye değişir ama geçmişte de vardı, bugün de var, gelecekte de her zaman olacak. Buna alışmak gerek. Herkes en iyi hacker olsaydı, kime lamer diyecektik?
turkishleak.com: Bugün sıfırdan bu işe başlayan ve ekrana bakıp "Ben de bir gün Revonzy gibi olacağım" diyen o hevesli çocuğun kafasındaki tüm şüpheleri silecek tek bir cümle kuracak olsan, bu ne olurdu?
Revonzy:
turkishleak.com: Piyasada herkes TryHackMe veya HackTheBox gibi CTF platformlarında lab çözerek kendini geliştirmeye çalışıyor. Sence siber dünyada gerçekten pişmek için içi açılmış, zafiyeti önceden belli CTF sunucuları yeterli mi? Yoksa gerçek bir hacker olmak için doğrudan canlı hedefler üzerinden mi ilerlemek gerekir? Yeni başlayanlar rotayı nereye çevirmeli?
Revonzy: CTF olayı bitti artık ya. Günümüzde kim CTF çözerken yapay zekadan destek almıyor ki? "Almıyorum" diyen yalan söyler. Ben 3.5 sene önce IllegalPlatform CTF yarışmasında 120 kişi arasından 1. olmuştum; o dönemde bile kimse soruları tek başına çözmüyordu.
CTF, eğer keşif bilgini geliştirmek için tamamen şahsi fikirlerinle çözülüyorsa işe yarar; kesinlikle çok iyi bir pratik aracıdır. Ama bir yere kadar... Gündelik hayatta karşılaştığın gerçek senaryolar karşına hazır zafiyetli şekilde gelmeyecek. Yeri gelecek, o zafiyeti sıfırdan kendin oluşturacaksın. Gerçek dünyada ve dışarıda kimse senin HackTheBox rankına veya profilindeki madalyalara bakmıyor. Ha, HackerOne kasarsın yani Bug Bounty yaparsın, orası tamamen ayrı bir konu tabii.
Evet, siber dünyayı sarsan Revonzy ile gerçekleştirdiğimiz röportajımızın sonuna geldik. Kimimizin aklındaki soru işaretlerini giderirken, aynı zamanda siber dünyada kalıcı olmanın ve ayakta kalmanın yollarını kendi deneyimleriyle anlatan Revonzy'ye, bizi kırmayıp bu samimi röportajı gerçekleştirdiği ve sorularımızı içtenlikle yanıtladığı için teşekkür ederiz.
Yorum Gönder