Bezpieczeństwo - Ataki na witryny World Wide Web

  • Dodano: .Net
  • Data dodania: 20.06.2008
  • Ostatnia zmiana: 23 czerwca 2011, 10:02 przez .Net
  • Odsłony: 5694
Zdawaliście sobie kiedyś takie pytania?

Zastanawialiście się kiedyś czy wasze forum jest bezpieczne?
Czy możemy zabezpieczyć swoje forum w stu procentach?
Po co hakerzy włamują się na nasze fora i strony?
Co mogę zrobić aby utrudnić włamanie się hakera?
Co wykorzystują hakerzy włamując się na nasze forum lub serwer?

Jeśli zadawaliście sobie kiedyś któreś z tych pytań, postaram się na nie odpowiedzieć.

NIE! Wasze forum nie jest bezpieczne.
Nie jesteśmy w stanie się zabezpieczyć w stu procentach. Za każdym razem gdy programiści łatają dziury oraz tworzą nowe zabezpieczenia, hakerzy zagłębiają się w kod wyszukując nowych luk i starają się złamać następny algorytm zabezpieczeń. Powody tego są różne, od czystej satysfakcji przez chęć zdobycia informacji aż wręcz do protestu. Przykładem protestu jest atak którego celem padł jeden z największych porno serwisów, było to wyrażenie sprzeciwu wobec twardej erotyki w Internecie, przeprowadziła go turecka grupa NetDevilz (Turkish Cyber Terrorists)

Co wykorzystują hakerzy włamując się na nasze forum lub serwer?
Co mogę zrobić aby utrudnić włamanie się hakera?

Zacznijmy może od nagłośnionych przypadków włamania sie do skryptu phpBB
? ... Celem ataku padły open-source?owe aplikacje phpBB ? niedawno atak typu SQL injection zainfekował ponad 4000 stron internetowych bazujących na technologiach Microsoft ASP i .NET. ... ?

? ...Nieautoryzowany dostęp prawdopodobnie ma związek z opublikowaniem 29 czerwca expliota dla phpBB 2.0.15 umożliwiającego zdalne wykonywanie kodu poprzez plik viewtopic.php....?

? ...Dziś rano forum dyskusyjne magazynu Hakin9, znanego pisma dotyczącego bezpieczeństwa teleinformatycznego zostało po raz drugi zhackowane. Grupie SSH-2 po raz kolejny udało się uzyskać dostęp do forum phpBB prawdopodobnie przy użyciu gotowych eksploitów... ?

Więcej na temat zhakowania Skryptu phpBB możecie przeczytać TU

W większości artykułów zauważycie zdanie ?Zalecamy natychmiastowy upgrade do wyższej wersji phpBB?

Parę ogólnych informacji:

Moduły PHP są pisane w języku programowania C, zatem moduły PHP mają takie same możliwości jak inne programy pisane w C, zatem skrypty PHP (np. phpBB) mogą używać opcji dostępnych dla C. Wiec za pomocom skryptu php można na przykład uruchomić aplikacje na serwerze lub wykorzystując słabe strony przeglądarek internetowych uruchomić aplikacje na naszym komputerze, z tond wzięło się powiedzenie. ? Internet Explorer jest twoim oknem do przeglądania zasobów sieci?? Dla hakerów jest on oknem do twojego komputera!!?

Oprócz bezpośredniego ataku na twoje forum lub stronę, możesz paść ofiarom ataku na serwer twojego providera. Hakerzy wykorzystując darmowe okresy testowe serwerów, które dają dostęp fizyczny do serwera przez konto ftp. Gdzie również wykorzystują poczciwe php.
Przykładowo tworząc plik z rozszerzeniem ?.php? w którym użyje się funkcji ?exec? i ?shell_exec? zwrócą one wynik do zmiennej której zadaniem będzie wydrukowanie na ekranie hakera przydatnych informacji.

Cytat z podręcznika ? Szkoła Hakerów ? ?Za udany atak będziemy uważać przeczytanie pliku użytkowników systemu (/etc/passwd/) i poznanie wersji systemu za pomocą wykonania komendy uname -a?

Po przeczytaniu pliku z hasłami osoby trzecie maja dostęp do konta ftp, naszego oraz innych użytkowników tego providera, bez bezpośrednich ataków na naszą stronę/forum.

Najważniejsze co możemy zrobić to wybranie profesjonalnego providera (darmowe serwery odpadają na przedbiegach) Serwer powinien posiadać szyfrowanie SSL (ang. Secure Socket Layer )
Następnie bardzo ważne jest to aby robić upgrade wraz z pojawieniem się nowych wersji skryptu. W nowych wersjach powinny się znaleźć łaty na wcześniej pominięte luki, dzięki tej operacji zamykamy kolejne drzwi hakerom.
Obecnie najnowszą stabilną wersją phpBB jest dostępna w naszym dziale Download)
Tworzenie zapasowych kopi bazy danych ? daje nam możliwość przywrócenia danych po ewentualnym ataku.

Jeśli tak zrobiliście to możecie spać spokojnie, a jak by się zdarzyło że ktoś będzie na tyle uparty aby włamać sie na wasze forum to przywracamy bazę z ostatnie kopij i w takim przypadku proponował bym wymuszenie zmiany haseł przez użytkowników. Hasła do których miał dostęp włamywacz będą już nieaktualne (Hasła użytkowników, moderatorów i administratorów skryptu phpBB są zapisywane w bazie danych w formie szyfrowanej - lecz i to można rozszyfrować)


Źródła z których korzystałem pisząc ten artykuł to: Portal hacking.pl, Poradnik ?Szkoła hakerów?, Wikipedia

Komentarze

  • Autor: aga2021
  • Dodano: 01 września 2014, 09:30
Chyba nie da się zabezpieczyć forum na sto procent ale zawsze można utrudnić wejście nie powołanym osobom. W każdym bądź razie bardzo ciekawy artykuł. http://agencjainfernal.pl