راه های نفوذ به یک سایت و روش ها و دلایل هک کردن سایت ها

راه های نفوذ به سایت

راه های نفوذ به سایت

راه های نفوذ به سایت

 
به همان اندازه که وب رشد کرده است ، جای تعجب است که چیزهای زیادی در نحوه هک شدن وب سایت ها تغییر نکرده است.

مهمترین کاری که می توانید در امنیت وبسایتها و بازدیدکنندگان خود انجام دهید این است که این حقایق تغییرناپذیر را درک کرده و آنها را انجام دهید

مقیاس وب سایت های هک شده را در نظر بگیرید
1. 2 میلیارد سایت،شبکه جهانی وب امروز را تشکیل می دهند . با فرض زمان لود 3 ثانیه،فقط دیدن هر سایت بیش از 160 سال طول می کشد.

این یک فضای عظیم بزرگ است و مراقبت از آن غیرممکن است.مرور ایمن گوگل سعی دارد تا کاربران را در مورد وب سایت های ناامن مطلع کند و به آن ها هشدار دهد.در حال حاضر روزانه حدود 3 میلیون هشدار از طرف گوگل به سایت ها داده می شود.

وب سایت ها همیشه هدف هکرها خواهند بود. و تأثیر هک می تواند برای یک تجارت ویرانگر باشد.

اگرچه تهدید بزرگ ، مداوم و مضر است ، اما آگاهی از چگونگی هک شدن تا حد زیادی شما را قانع میکند که سایت شما ایمن نیست.

چگونه وب سایت ها هک می شوند؟

هک ها تقریباً همیشه به سه دسته تقسیم می شوند:

کنترل دسترسی
آسیب پذیری های نرم افزار
ادغام شخص ثالث
فرقی نمی کند شما یک شرکت بزرگ باشید یا کوچک، نحوه نزدیک شدن هکرها به یک هدف بسیار مشابه به نظر می رسد.

چه می تواند متفاوت باشد این است که چگونه یک کسب و کار اجازه خود را تبدیل بهره برداری در وهله اول :

قبل از بررسی مشخصات هر نوع هک ، بیایید مروری بر نحوه کار وب داشته باشیم:

هر وب سایت متکی به یک سری سیستم های بهم پیوسته است که به صورت هم صدا کار می کنند.
اجزایی مانند Domain Name System (DNS) وجود دارد – چیزی که به درخواست ها می گوید کجا باید بروند. یک وب سرور واقعی وجود دارد که فایلهای مختلف وب سایت را در خود جای داده و درخواستها را پردازش می کند. و زیرساخت هایی وجود دارد که وب سرورهای مختلفی را در خود جای داده و آنها را به اینترنت وصل می کند.

بسیاری از گره های منفرد توسط ارائه دهندگان خدمات تخصصی ارائه می شوند. و حتی اگر تعدادی از آنها را توسط یک ارائه دهنده تهیه کنید ، هنوز قسمتهای زیادی وجود دارد که عملکرد منحصر به فردی دارند. این شبیه چیزی است که یک اتومبیل مدرن از بیرون به نظر می رسد،ساده و محکم است ، اما دارای انواع مختلفی از قطعات متحرک است که زیر کاپوت مشغول کار هستند.

هک به وسیله ی کنترل دسترسی

کنترل دسترسی به طور خاص در مورد فرآیند احراز هویت و مجوز صحبت می کند. به زبان ساده ، نحوه ورود به سیستم

منظورم فراتر از ورود کاربر وب سایت شماست. همانطور که در بخش قبلی توضیح داده شد، تعدادی از ورودهای متصل به هم وجود دارد که در پشت صحنه به هم متصل شده اند.

در اینجا چند زمینه وجود دارد که باید هنگام ارزیابی کنترل دسترسی به آنها فکر کنید :

چگونه وارد پنل میزبانی خود می شوید؟
چگونه وارد سرور خود می شوید؟ (به عنوان مثال ، FTP ، SFTP ، SSH)
چگونه وارد وب سایت خود می شوید؟ (به عنوان مثال ، WordPress ، D rupal ، Magento )
چگونه وارد کامپیوتر خود می شوید؟
چگونه وارد انجمن های رسانه های اجتماعی خود می شوید؟
مدارک خود را برای همه این موارد چگونه ذخیره می کنید؟

کنترل دسترسی به راحتی فراموش می شود ، اما هر نقطه می تواند دسترسی به کل سیستم را فراهم کند.مانند شخصی که درب ورودی خود را قفل می کند اما پنجره ها را باز می گذارد. اگر کسی بخواهد وارد شود ، یک درب ورودی مطمئن خیلی مهم نخواهد بود.

هک به وسیله ی حدس زدن نام کاربری

تلاش مهاجم حدس زدن نام کاربری و رمز عبور ترکیبی از در تلاش برای ورود به عنوان کاربر است.
تلاش های مهندسی اجتماعی در حال شیوع است.هکرها صفحات فیشینگ را ایجاد می کنند که به منظور فریب کاربر برای وارد کردن شناسه / نام کاربری و ترکیب رمز عبور طراحی شده است.
حملات Cross-Site Scripting (XSS) یا Cross-Site Request Forgery (CSRF) مستلزم رهگیری اعتبار کاربر از طریق مرورگر خودشان است.
حملات Man in the Middle (MITM) نیز بسیار رایج است ، جایی که هنگام کار از طریق شبکه های ناامن نام کاربری و رمز عبور شما رهگیری می شود.
Keylogger ها و بدافزارهای دیگر نظارت بر ورودی های کاربر را ردیابی می کنند و آنها را به منبع آلودگی گزارش می دهند.
صرف نظر از سبک حمله ، هدف یکسان است: دسترسی مستقیم از طریق ورود به سیستم.

آسیب پذیری های نرم افزار

بر اساس مالک معمولی سایت ، من می گویم که 95٪ قادر به رسیدگی به آسیب پذیری های نرم افزار امروز نیستند.

یک ارتباط فلسفی ذاتی بین افرادی که سایت ایجاد می کنند و کسانی که آنها را هک می کنند وجود دارد . سازندگان.اکثر مردم از ابزارهایی استفاده می کنند که برای استفاده طراحی شده اند. اما چشم انداز هکرها به دنبال راه هایی برای استفاده از موارد فراتر از کاربرد آنها است.

اشکالی که ممکن است به هیچ وجه بر تجربه کاربر مورد نظر تأثیر نگذارد ، می تواند به طور بالقوه مورد سو استفاده قرار گیرد تا نرم افزار کاری متفاوت از آنچه را که در نظر گرفته شده انجام دهد.

با استفاده از یك یكدستگاه منبع یكنواخت (URL) یا POST Header ناقص ، یك هكر حملات زیادی را انجام می دهد.

چند مثال اصلی:

اجرای کد از راه دور (RCE) امکان کنترل کامل سیستم و سایت مورد نظر از راه دور را فراهم می کند.
گنجاندن پرونده از راه دور / محلی (R / LFI) از زمینه های ورودی ارائه شده توسط کاربر برای بارگذاری پرونده های مخرب در سیستم استفاده می کند.
SQL Injection (SQLi) زمینه های ورود متن را با کد مخربی که توالی حمله را به سرور می فرستد ، دستکاری می کند و این اواخر بسیار رایج بوده است!

اکثر سایت های مدرن از ترکیبی از برنامه های افزودنی شخص ثالث مانند طرح زمینه ها و افزونه ها استفاده می کنند .هر یک از آنها را باید یک نقطه بالقوه نفوذ دانست.

ادغام / خدمات شخص ثالث

این موارد به صورت تبلیغات از طریق شبکه های تبلیغاتی شکل می گیرند که منجر به حملات هکرها می شوند .

می تواند شامل خدماتی باشد که شما بطور خاص در سایت و میزبانی آن از آن استفاده می کنید ، از جمله مواردی مانند شبکه های توزیع محتوا.

چگونه از وب سایت خود محافظت کنیم؟

توصیه های اصلی من برای جلوگیری از هک شدن سایت شما:

از اصول دفاع در عمق استفاده کنید. این به معنای ایجاد لایه های امنیتی مانند یک پیاز است:هر عمل امنیتی باعث می شود هکرها نتوانند به سیستم شما نزدیک تر شوند.
آنچه را که ورود هر کاربر می تواند به آن دسترسی پیدا کند فقط به آنچه نیاز دارد محدود کنید.
در هر کجا که امکان دارد احراز هویت چند مرحله ای و دو مرحله ای ایجاد کنید.
از فایروال وب سایت استفاده کنید.این امر در محدود کردن بهره برداری از آسیب پذیری های نرم افزار معجزه می کند.
برنامه پشتیبان گیری منظم را انجام دهید.

از موتورهای جستجوگر چشم انداز بگیرید. Google Search Console و Bing Webmaster Tools هر دو گزارشاتی درباره نمای خود درباره امنیت سایت شما ارائه می دهند.

به یاد داشته باشید که امنیت مربوط به کاهش خطر است نه از بین بردن خطر.

هیچ چیزی به عنوان راه حل 100٪ برای حفظ امنیت وجود ندارد. تقریباً تمام ابزارهایی که در محیط خود به کار می گیرید ، می توانند وضعیت کلی خطر را کاهش دهند،خواه اسکن مداوم باشد یا رویکرد فعالانه تری مانند کاهش حملات ورودی.

امنیت یک رویداد یا اقدام منفرد نیست ، بلکه یک سری اقدامات ترکیبی است.

 

چرا هکرها ، به سایت ها نفوذ می کنند؟

1 برای سرگرمی: هکرها عاشق هک کردن هستند. این یک بازی است.انجام این کار بسیار هیجان انگیز است. ممکن است آنها تصور کنند که خنده دار است کل یک سایت را از بین ببرند و آنچه را انجام داده اند به جهانیان نشان دهند.

2 برای چالش:حل مشکلات و شکستن کدهای مخفی.هکرها عاشق یک چالش هستند. به آنها بگویید آنها نمی توانند کاری انجام دهند  و سپس می فهمند که چگونه آن را انجام دهند.اخلاقی یا غیراخلاقی. قانونی یا غیرقانونی مهم نیست هک برای آن ها تا حدی سرگرم کننده است.

3 برای سرمایه:در واقع برای تأمین هزینه هک می کنند. این کار برای خودشان باشد یا برای شرکت هایی مانند بانک ، ارتش و شرکت های بزرگ. این وظیفه آنها است که وارد وبسایت ها شوند.

4 برای سئو: بسیاری از شرکتهای سئو وجود دارند که با سئو کلاه سیاه درگیر درگیرند تا بتوانند سایت خود را در رتبه ی یک گوگل قرار دهند آن ها با هک تعداد زیادی وبسایت و قرار دادن لینک سایت خود در آن ها بدون آنکه صاحب سایت متوجه شود باعث بهبود رتبه ی سایت خود می شوند و یا سایت های رقیب خود را از بین می برند که به آن سئو منفی گفته می شود.

 

دیدگاهتان را بنویسید

نشانی ایمیل شما منتشر نخواهد شد. بخش‌های موردنیاز علامت‌گذاری شده‌اند *