Hack Öğrenmek İstiyorum: Yasal Yoldan Adım Adım Başlangıç

"Hack öğren" diye arama yapanların aklında iki farklı şey olur. Biri CTF çözmek, sistemlerin nasıl kırıldığını anlamak ve bu işi meslek yapmak ister. Öbürü bir Instagram hesabına ya da komşunun Wi-Fi ağına girmenin yolunu arar. Bu yazı ikisine de dürüst bir cevap verir. İlk gruba yasal pratik ortamlarını ve ilk on adımı gösterir. İkinci gruba neden suçun eşiğinde durduğunu ve aynı merakı nereye taşıyabileceğini anlatır.

Hack öğrenmek yasal mı?

Hack öğrenmek yasaldır; izinsiz bir sisteme girmek ise suçtur. Çizgiyi bilgi değil, izin çizer.

Türk Ceza Kanunu'nun 243. maddesine göre bir bilişim sistemine hukuka aykırı olarak giren ya da orada kalmaya devam eden kişiye bir yıla kadar hapis veya adli para cezası verilir. Giriş yüzünden sistemdeki veriler yok olur ya da değişirse ceza altı aydan iki yıla kadar hapse çıkar. 244. madde, sistemin işleyişini engellemeyi ya da bozmayı bir yıldan beş yıla kadar hapisle cezalandırır. Verileri bozmak, silmek ya da değiştirmek altı aydan üç yıla kadar hapis demektir. 245/A maddesi de yalnızca bu suçlar için yapılmış cihaz ve programları alıp satmayı ya da bulundurmayı bir yıldan üç yıla kadar hapis ve adli para cezasıyla cezalandırır. "Sadece bakmıştım" ya da "zarar vermedim" demek seni korumaz. Ayrıntılar için hacking yasal mı yazısına bak.

Instagram hesabı hacklemeyi öğrenmek istiyorsan ne bilmelisin?

Başkasının Instagram hesabına izinsiz girmek, şifresini tahmin etsen bile, TCK 243 kapsamında suçtur. Hesabı ele geçirip şifreyi değiştirmek, içerik silmek ya da sahibini dışarıda bırakmak 244. maddeyi de gündeme getirir.

İş orada da bitmeyebilir. Hesaptaki mesajları ve fotoğrafları alıp yaymak, kişisel verileri hukuka aykırı ele geçirme ya da yayma suçuna girebilir. TCK 136 bunun için iki yıldan dört yıla kadar hapis öngörür. Hesabın eski sevgiline, arkadaşına ya da kardeşine ait olması bunu değiştirmez.

"Instagram hack aracı" diye dolaşan uygulama ve sitelerden de uzak dur. Yalnızca hesap ele geçirmek için yapılmış bir programı almak ya da bulundurmak 245/A kapsamına girebilir. Üstelik kaynağı belirsiz bir programı çalıştırınca kendi telefonunun kapısını da açmış olursun.

Peki bu merak nereye gider? Meta'nın resmî bug bounty programı Instagram'ı kapsar. Kural açıktır. Test hesapları kullanırsın, başka birinin gerçek hesabını sahibinin yazılı onayı olmadan test etmezsin. Instagram'ın güvenliğini gerçekten merak ediyorsan yasal yol budur. Ama oraya varmak için önce aşağıdaki adımları yürümen gerekir. Kendi hesabın çalındıysa Instagram hesabım çalındı yazısı adım adım yardım eder.

Hack öğrenmek için hangi temeller gerekir?

Hack öğrenmek için önce ağ, Linux, web ve biraz Python bilmen gerekir. Bunlar olmadan hiçbir aracın çıktısını yorumlayamazsın.

Kelimenin kökü de bunu söyler. İnternet terimlerini derleyen 1993 tarihli RFC 1392, hacker'ı bir sistemin, özellikle bilgisayar ve ağların iç işleyişini derinlemesine anlamaktan zevk alan kişi diye tanımlar. Sistemlere izinsiz girmeye çalışan kişiye ise ayrı bir ad verir: cracker. Yani hacker olmanın özü kırmak değil, anlamaktır.

Sızmanın her adımı bir temele dayanır. Port taraması TCP'yi bilmeyi ister. Web açıkları HTTP'yi, yetki yükseltme Linux izinlerini anlamayı ister. Siber Güvenlik Temelleri yolu bu konuları sırayla, tarayıcıdaki lablarla verir. Hangi konudan ne kadarının yettiğini hacker olmak için gereken bilgiler yazısında tablo hâlinde bulabilirsin.

Yasal pratik ortamları nelerdir?

Yasal pratik ortamı, sahibinin seni saldırmaya açıkça davet ettiği sistemdir. CTF platformları, kasıtlı zafiyetli lablar, kendi bilgisayarındaki sanal makineler ve kuralları yazılı bug bounty programları bu gruba girer.

PortSwigger, Burp Suite'in üreticisidir ve akademisinin yüzde yüz ücretsiz olduğunu yazar. OWASP, Juice Shop'u "muhtemelen en modern ve gelişmiş" eğitim amaçlı güvensiz web uygulaması diye tanıtır. Uygulama OWASP Top 10'un tamamından açık barındırır. Daha uzun bir liste için ücretsiz hacking pratik siteleri yazısına bak.

Hack öğrenmek için ilk 10 adım nedir?

İlk on adım, yasal çerçeveyi öğrenmekle başlar ve ilk sorumlu bildirimle biter. Her adım bir öncekinin üzerine kurulur, atlamak seni geri götürür.

1. Kuralı içselleştir. Etik ve yasal sınır dersini oku. İzin yoksa dokunmazsın.
2. Temelleri bitir. Ağ, Linux ve web modüllerini lablarıyla birlikte tamamla. Zayıf kaldığın konuyu Pratik sayfasındaki alıştırmalarla pekiştir.
3. Terminale alış. Bandit'in ilk seviyelerini çöz ve man okumayı alışkanlık yap.
4. İlk keşfini yap. Saha'daki "İlk Kapı" görevinde tek bir web sunucusunda port taramasından yönetici paneline kadar yürürsün. Hedef simülasyondur, kapsam yazılıdır.
5. İlk CTF puanını al. Arena'daki kolay sorularla başla, sonra picoGym'e geç.
6. Her çözümü yaz. Kısa bir çözüm notu, neyi gerçekten anladığını gösterir.
7. Web'e derinleş. PortSwigger akademisi ile Web Güvenliği yolunu paralel yürü.
8. Kırmızı takım yolunu sırayla bitir. Kırmızı Takım yolu keşif, web açıkları, kimlik, yetki yükseltme ve rapor modüllerinden oluşur.
9. Bir takıma katıl. Çevrim içi CTF'lere takımla girmek öğrenmeyi hızlandırır. AltayCTF'ye nasıl katılınacağını okuyabilirsin.
10. Rapor yaz, sonra gerçek hedefe geç. İlk gerçek denemeni bir VDP ya da bug bounty programında, kapsamı okuyarak yap.

CTF, lab ve bug bounty hangi sırayla gelmeli?

Doğru sıra rehberli lab, sonra CTF ve wargame, sonra rehbersiz makine, en son VDP ve bug bounty'dir. Her basamak bir öncekinde kazandığın özgüveni ister.

VDP, yani açık bildirim programı, bir şirketin dışarıdan gelen güvenlik bildirimlerini kabul ettiği resmî kanaldır. Çoğu zaman para ödülü yoktur, karşılığında teşekkür ya da onur listesi verilir. Kapsamı ve kuralları yine yazılıdır. Bug bounty ise aynı mantığın ödüllü hâlidir.

Bug bounty'yi en sona koymanın iki nedeni var. Birincisi, gerçek bir şirketin gerçek sistemine dokunursun. Kapsamın dışına çıkmak hem programdan atılma hem de TCK 243 riski demektir. İkincisi, platformların kendi kuralları var. HackerOne'ın belgelerine göre bug bounty programına rapor göndermeden önce kimlik doğrulaması zorunlu. Bunun için 18 yaşını doldurmuş olmak gerekiyor. VDP'ler ise kimlik doğrulaması istemeden herkese açık. 18 yaşından küçüksen VDP iyi bir başlangıç kapısıdır.

Beklentini de gerçekçi tut. Bugcrowd'un 2024 Inside the Mind of a Hacker raporunda hackerların %59'u haftada 14 saatten az çalışıyor. Yani çoğu için bu iş tam zamanlı değil, yan uğraş. Aynı rapora göre katılımcıların %61'i hacking becerisinin iş bulmalarına yardım ettiğini söylüyor. Gelir tarafını bug bounty ile para kazanmak yazısı ayrıntılı anlatır.

Bir çözüm notunda neler olmalı?

İyi bir çözüm notu, başka biri okuduğunda aynı sonuca aynı yoldan varabileceği kadar açık olmalıdır. Bu alışkanlık ileride bug bounty raporunun ve iş başvurusundaki portfolyonun temeli olur.

Her lab ya da CTF sorusundan sonra şu beş başlığı doldur:

1. Hedef ve kapsam. Neye dokunmana izin vardı, neye yoktu?
2. Keşif. Hangi bilgiyi nereden buldun, ilk ipucu neydi?
3. Çıkmaz sokaklar. Ne denedin ve neden işe yaramadı?
4. Kök neden. Açık neden vardı, geliştirici hangi varsayımı yanlış yaptı?
5. Savunma. Bu açık nasıl kapatılır, hangi log onu yakalardı?

Üçüncü başlığı çoğu kişi boş bırakır. Oysa en çok şeyi orada öğrenirsin. Beşinci başlık ise seni yalnız saldıran biri olmaktan çıkarır. Rapor yazımını derinleştirmek istersen Rapor yazımı ve yasal çerçeve dersine bak.

Hack öğrenirken en sık hangi hatalar yapılıyor?

En sık hata, araç çalıştırmayı hack öğrenmek sanmaktır. Hemen ardından izinsiz "küçük denemeler" gelir.

• Aracı anlamadan kullanmak. Bir tarayıcının ne gönderdiğini bilmezsen sonucu da yorumlayamazsın.
• "Kendi okulumun sitesi" bahanesi. Okulun, işyerinin ya da arkadaşının sistemi sana ait değildir. Yazılı izin yoksa suçtur.
• Hazır "hack programı" indirmek. Bu dosyalar 245/A riski taşır. Üstelik kaynağı belirsiz bir programı kendi cihazında çalıştırmış olursun.
• Kapsamı okumamak. Bug bounty'de kapsam dışı bir alt alan adı, izinsiz bir sistemdir.
• Not tutmamak. Üç ay sonra aynı soruya takılırsın ve ilk seferi hatırlamazsın.

Yeni başlayanların hatalarını daha geniş anlatan yeni başlayanların yaptığı 5 ölümcül hata yazısı da iyi bir ayna. Bugün atacağın adım net. Önce etik ve yasal sınır dersini bitir, sonra Saha'daki "İlk Kapı" görevini aç. Temeller bitince Kırmızı Takım yoluna geç.

Kaynaklar

• Türk Ceza Kanunu (5237), mevzuat.gov.tr
• Meta Bug Bounty, program kapsamı
• HackerOne, ID Verification
• Bugcrowd, Inside the Mind of a Hacker: 2024 Edition
• PortSwigger Web Security Academy
• OWASP Juice Shop
• Carnegie Mellon CyLab, picoCTF 2026
• RFC 1392, Internet Users' Glossary