Metasploit ile Eğitim Yaparken Yan Dairedeki Modeme Sızmamak İçin Ne Yapmalısın?

Metasploit... siber güvenliğin en keskin kılıcı. Exploit modülleri, payload enjeksiyonu, dinleme servisleri ve sosyal mühendislik araçlarıyla dolu bir cephane. Ama bu cephane, yanlış yerde ateşlenirse, sınırlarını aştığın anda eğitim değil, bilişim suçuna dönüşebilir. Özellikle kablosuz ağların iç içe geçtiği apartmanlarda, Metasploit'i test ederken bir port taraması, bir ARP spoofing denemesi ya da DHCP keşfi ile yan dairenin modemine istek gitmesi çok kolaydır. Şimdi, eğitim yaparken “komşunun modemine kazara saldıran pentester” olmamak için neler yapman gerektiğini anlatıyorum.

Öncelikle: Neden Apartman Ortamı Metasploit İçin Risklidir?

Aynı fiziksel konumda bulunan cihazlar:

• Ortak kablosuz ağlar üzerinden görünür olabilir
• IP aralıkları çakışabilir (örneğin 192.168.1.0/24)
• ARP tablosunda otomatik olarak listelenebilir
• Modemler ve IoT cihazlar yayın yapıyor olabilir

Bu ortamda atılan her keşif paketi, sadece kendi cihazına değil, istemeden komşunun cihazına da ulaşabilir.

Yan Daireye Kazara Sızmamak İçin Alınması Gereken 5 Kritik Önlem

1. İzole Bir Test Ağı Oluştur

Metasploit’i gerçek bir ağda değil, kendi oluşturduğun test ortamında kullan:

• Eski bir modem/router kullanarak fiziksel olarak dış dünyaya kapalı bir ağ kur
• DHCP havuzunu sadece test cihazlarını kapsayacak şekilde sınırla
• Wi-Fi yayın adını “LAB_NETWORK” gibi özel tanımla
• Modeme dış IP yönlendirmesi ve UPnP açık bırakma

Bu şekilde, yalnızca senin kontrolünde olan cihazlar ağa bağlanabilir.

2. Ağ Keşfi Yaparken IP Aralığını Kısıtla

Metasploit modülleri veya Nmap taramaları çalıştırırken, geniş aralıklar yerine kesin olarak bildiğin cihaz IP’lerini hedefle:

use auxiliary/scanner/portscan/tcp

set RHOSTS 192.168.100.10-12

192.168.0.1/24gibi genel aralıklar kullanma. Yan dairenin modemi de bu aralıkta olabilir.

3. Kablosuz Cihazlara “Sadece MAC Listesiyle” İzin Ver

Test modeminde whitelist (izin verilen cihazlar) MAC filtreleme uygula:

• Yalnızca test bilgisayarlarının MAC adresini ekle
• Farklı cihazlar bağlanmaya çalışırsa bağlantıyı kes
• Wireless Isolation (istemciler arası engelleme) aktif hale getir

Böylece komşunun Wi-Fi ağıyla istemeden aynı alt ağda bulunmazsın.

4. Exploit Modüllerini “Show Options” ile Okumadan Asla Çalıştırma

Metasploit’te çoğu exploit modülü varsayılan ayarlarla, belirli portlara saldırır. Örnek:

use exploit/unix/ftp/vsftpd_234_backdoor

set RHOSTS 192.168.1.1

run

Bu komutla belki de komşunun modemine backdoor göndermiş olabilirsin. Bunun yerine:

• show optionskomutu ile tüm parametreleri kontrol et
• set RHOSTSdeğerini yalnızca kendi cihazın olarak ayarla
• Exploit çalıştırmadan önce hedefin parmak izini al (OS, banner kontrolü)

5. Sniffing veya MITM Modüllerini Ortak Ağda Çalıştırma

Metasploit’te auxiliary/sniffer/psnuffle veya mitm modülleri tüm trafik akışını izler. Bu modülleri:

• Ortak Wi-Fi ağında kullanırsan, komşunun verileri de loglanabilir
• HTTPS içermeyen sayfalarda şifreli veriler bile açığa çıkabilir

Bu yüzden dinleme modüllerini yalnızca lokal, özel olarak kurduğun test ortamında çalıştır.

Gerçek Hayattan Vaka: Yanlış IP’ye Exploit Gönderen Öğrenci

Bir siber güvenlik öğrencisi, Metasploit kullanarak "vsftpd backdoor" modülünü çalıştırdı. Hedef IP olarak 192.168.1.1 yazdı. Kendi router’ı yerine komşunun modemine reverse shell gitti. Güvenlik loglarında bağlantı kaydı oluştu ve komşu ISS’ye şikayette bulundu. ISS yasal işlem başlattı. Öğrenci eğitim yapıyordu ama teknik olarak “yetkisiz erişim girişimi” olarak değerlendirildi.

Bu Hataları Yaparsan Ne Olur?

• Yanlış cihazı hedef alırsan, istemesen bile yasa dışı işlem yapmış olursun
• Ağda komşu cihazları gözetlersen KVKK ihlali gerçekleşmiş sayılır
• Yapılan taramalar IDS/IPS sistemleri tarafından saldırı olarak loglanabilir

Unutma: Amacın eğitim bile olsa, hedef senin değilse işlem suçtur.

Ve Bilinmesi Gereken Derin Gerçek

Metasploit yalnızca bir araç değil, bir aynadır. Neyi hedeflersen, kim olduğunu da gösterir. Komşunun ağı sana açık görünebilir. Ama etik, görünenden fazlasını görmektir. Gerçek güç, istesen de dokunmamakta yatar. Çünkü eğitim, sınırsızlık değil; sınırları tanıyıp kontrol etmektir. Ve siber dünyada bir sınır ihlali, sadece teknik değil, hukuki bir çizgiyi de aşar.