Tivibu

2 minute read

ByMert SARICA
7 March 2010
13 comments

Çocukken meraktan alınan her oyuncağın içini açar bakarmışım ne var ne yok diye. Aradan yıllar geçmesine rağmen huylu huyundan vazgeçmedi sadece oyuncak arabaların, helikopterlerin yerini programlar aldı :)

Geçtiğimiz hafta bir web sitesi gezerken TTNet’in Tivibu reklamını gördüm. Nedir bu Tivibu diyecek olursanız internet bağlantısı olan her yerden TV izlemenize imkan tanıyan bir program. Yine bir can sıkıntısı, yine bir merak ile programı kurup incelemeye karar verdim. Bu arada bu hizmetten faydalanabilmek ve programı kullanabilmek için ayda 1 TL ödemeniz gerekiyor. Sadece nasıl çalıştığını merak ettiğim için üye olmak yerine programı kurup incelemeyi tercih ettim.

Kısa süren bir incelemeden sonra Tivibu programının Microsoft Silverlight kullandığını farkettim. Silverlight ile daha önce pek haşır neşir olmadığım için Tivibu sunucusu ile Silverlight client arasındaki şifreli trafiği (SSL) Fiddler programı ile incelemeye karar verdim ancak bir türlü araya giremedim.
Laz olmasamda laz damarım tuttu ve biraz kafa patlattıktan sonra sertifikaların uygulamanın içine gömülü olduğunu, bu nedenle araya giremediğimi farkettim. Uygulama içerisine gömülü olan sertifikaları değiştirmeye üşendiğim için Hex editor ile programa göz atmaya karar verdim.

Yine kısa süren bir inceleme sonrasında Tivibu programı içerisinden gerçekleştirilen isteklerin WCF web servisine gittiğini farkettim.

İşin içinde WCF olunca ?wsdl parametresi ile tanımlı web servislerine ait bilgileri görmeniz her zaman mümkün olamayabiliyor bu nedenle Microsoft’un bu iş için geliştirmiş olduğu svcutil uygulaması hemen imdadıma yetişti.

Bu wsdl dosyasından faydalanarak kendi Tivibu programını yazabilir misiniz sorusunun cevabını ve araya neden girilmesini istemediklerinin nedenini bulmayı sizlere bırakıyorum :)

İşin içinde Silverlight oldu mu, cross-domain güvenlik politikaları bir şekilde root klasörü altında yer almak zorunda diye düşündüm, oltamı salladım veeee bingo, Cross domain policy ve Client access policy karşıma çıkıverdi. Bu politikaların asıl amacı CSRF (cross-site request forgery) saldırılarını önlemektedir. Çoğunlukla program/uygulama (flash/flex/silverlight) geliştiricileri bu politikaların ne işe yaradıklarını pek bilmedikleri için domain adı belirtmeden wildcardı koyuverirler ve ortaya CSRF güvenlik zafiyeti çıkar. Program tarafından veri çekilecek alan adlarına bu politikalarda yer vermez ve wildcard (*) kullanırsanız art niyetli kişiler CSRF saldırısı ile program tarafından kullanılan kullanıcı bilgilerini çalabilirler.

Daha anlaşılabilir olması adına örnek bir senaryo üzerinden gidecek olursak;

1- Sefil kullanıcı Tivibu uygulamasına giriş yapıyor.
2- Art niyetli bir kişi Tivibu sunucusu ile haberleşen Silverlight uygulamasını kendi sitesine koyarak sefil kullanıcının sayfasını ziyaret etmesini bir şekilde sağlıyor. (E-posta, MSN, Facebook)
3- Sefil kullanıcının Silverlight uygulaması art niyetli kişinin sayfasında yer alan Silverlight uygulaması üzerinden Tivibu sunucusu ile haberleşiyor ve art niyetli kişi sefil kullanıcının verilerini çalabiliyor.

Kendi geliştirdiğiniz (flash/flex/silverlight) uygulamalarda/programlarda cross-domain güvenlik politikalarına dikkat etmenizi önerir, bir sonraki yazıda görüşmek dileğiyle herkese iyi haftasonları dilerim…

Show this post in PDF format

Print this page

Related Tags

Mert SARICA

Mert is a well-known and respected Cyber Security Researcher, Speaker and Blogger. He has been living and pursuing his career in the United States with an Alien of Extraordinary Ability visa (EB-1A), an employment-based green card, since October 2022.

As of February 2023, Mert has been working at SOCRadar® Extended Threat Intelligence as the Head of Security Research & Operations. SOCRadar is a cybersecurity company committed to democratizing threat intelligence and providing superior cybersecurity solutions to thousands of companies in hundreds of countries. SOCRadar's mission is to provide organizations of all sizes with the tools to counter cyber threats.

In his current position, Mert has been advising the CEO on strategic decisions that align with the company's mission, objectives, and overall goals.

He has often overseen strategic initiatives by working closely with various departments, such as product development, sales, and marketing. Also, he has been managing the day-to-day operations of the Security Analyst, Support, and Professional Services teams to ensure efficiency, quality, service, and cost-effective management of resources.

In addition, he has been driving innovation across the product by promoting new ideas and features.

Besides that, he has been managing, mentoring, and supporting a cadre of threat researchers, threat hunters, security analysts, and technical content writers who research cyber threats, vulnerabilities, and trends.

From October 2020 to September 2022, Mert demonstrated his expertise as an Executive Vice President / CISO of IT Security & Risk Management Group which incorporates Cyber Defense Center, Cyber Security Technologies, Cyber Security Architecture, Information Security & Risk Management teams (40 HCs) at Intertech. Intertech is an Information Technology subsidiary of DenizBank, owned by Emirates NBD

From January 2018 to September 2020 as the Vice President, Mert was responsible for the management of Akbank's Cyber Defence Center (CDC) which incorporates Vulnerability Management, Threat Detection, Threat Response & Intel, and Security Engineering teams. (26 HCs)

From 2007 to 2017 Mert was responsible for performing and managing penetration tests, malware analysis, security incident detection, and response as a Technical Lead in the Threat & Vulnerability Management team at IBTech. (Information Technology subsidiary of QNB Finansbank)

From 2014 – 2016 Mert instructed Malware Analysis course in Cyber Security Graduate Program at Bahcesehir University.

In 2003 Mert’s career journey began by discovering a security vulnerability on the e-portal web application of the Yeditepe University where he was studying at that time. After sharing his findings with the executives of the university, he was awarded an achievement grant and recruited as an Ethical Hacker. Mert graduated from Yeditepe University, Information Systems and Technologies in 2006 and Yeditepe University, Master of Business Administration program in 2010.

From the beginning of 2011, Mert spoke at more than 30 technical cyber security conferences. In addition, he was invited as a guest speaker to more than 40 universities to share his cyber security career journey and his profession “Ethical Hacker” to the students as a role model.

13 comments

mehmet akalin says:

10 March 2010 at 00:09

çok başarılı inceleme, tebrikler..

Reply
1. M.S says:
  
  10 March 2010 at 00:19
  
  Teşekkürler…
  
  Reply
s4l1h says:

11 March 2010 at 15:23

Güzel bir inceleme olmuş.

Reply
1. M.S says:
  
  11 March 2010 at 15:58
  
  Teşekkürler.
  
  Reply
Emre Boyraz says:

23 March 2010 at 19:42

Programcı olmasamda Professional Kullanıcı olarak, merakınızın bu tebrik mesajını hak ettiğini düşünüyorum. Tebrikler.
Bende ; Tivibu clientini beğenmeyen sefil bir kullanıcı olarak :D acaba başka birisi yazmışmı diye araştırıyordum, tesadüfen yazınıza rastladım. İyi çalışmalar. Paylaşım için tekrar teşekkür ederim.

Reply
1. M.S says:
  
  23 March 2010 at 19:54
  
  Teşekkürler :)
  
  Reply
ertunç says:

5 April 2010 at 09:17

https://mw.webtv.ttnet.com.tr/crossdomain.xml

:) TTnet uyanmış değiştirmiş hayret.Yazınız çok başarılı olmuş.Ellinize sağlık.

Reply
1. M.S says:
  
  5 April 2010 at 09:22
  
  Müşteri memnuniyeti açısından olumlu bir adım atmışlar :)
  
  Reply
Emre says:

14 June 2010 at 19:48

Olumlu,bilimsel merak ve güzel bir inceleme.Teşekkürler.

Reply
1. M.S says:
  
  14 June 2010 at 19:51
  
  Beğendiğinize sevindim :)
  
  Reply
kartal says:

2 July 2010 at 23:34

filmlerin linklerini bulabilir miyiz sence ?
ben biraz kurcaladım programı r.hacker ile ama işe yaramadı :)

Reply
1. M.S says:
  
  3 July 2010 at 02:57
  
  Bilemiyorum, hesabım olmadığı için sadece bunu tespit edebildim.
  
  Reply
hakan says:

20 March 2012 at 21:46

ben böylelerine kırık diyorum bu arkadaşda kırmış iyice kafayı güzel inceleme …

Reply