أفضل 10 طرق اختراق يجب عليك معرفتها

لقد جلب تطور تكنولوجيا الإنترنت العديد من النمو وفرص الأعمال، فضلاً عن أساليب القرصنة الجديدة التي تتناسب معها.

من مستخدمي وسائل التواصل الاجتماعي الخاصة إلى الشركات الصغيرة والمؤسسات الكبرى، فإن نطاق الضحايا للقراصنة المعاصرين واسع.

لذا، من مصلحتك أن تكون على دراية بالمخاطر المحتملة الكامنة على شبكة الإنترنت، وأن تحصل على المعلومات الصحيحة للحد من تلك التهديدات الأمنية. تُلقي هذه المقالة الضوء على هذه المخاطر.

أفضل طرق الاختراق

فيما يلي أفضل طرق الاختراق:

1. الهندسة الاجتماعية

الهندسة الاجتماعية هي عملية التلاعب بضحية محتملة لحملها على كشف معلومات حساسة أو اتخاذ إجراءات معينة تمنح المهاجم الوصول المطلوب. تتعدد أساليب الهندسة الاجتماعية، منها الاتصال بالضحية هاتفياً وطلب معلومات حساسة. تُعرف هذه الطريقة بالتصيد الصوتي ، وتُستخدم غالباً لجمع معلومات مصرفية من ضحايا غير مدركين، يعتقدون أن موظفاً حقيقياً في البنك على الطرف الآخر من الخط.

من الأساليب الشائعة الأخرى التصيّد الاحتيالي ، ومثل أسلوب الاتصال الهاتفي، يتضمن انتحال الشخصية. قد يكون الموقع المزيف موقعًا مصرفيًا مطابقًا تمامًا للموقع الأصلي. يتلقى الضحية بريدًا إلكترونيًا أو رسالة نصية تحتوي على رابط للموقع المزيف، تطلب منه تحديث بياناته بشكل عاجل لأسباب أمنية. مع ذلك، يقوم المهاجم بنسخ جميع المعلومات المُدخلة على الموقع المزيف واستخدامها لسحب جميع أموال الضحية.

وتشمل الأساليب الأخرى أن يصبح المخترق صديقًا للضحية ويتمكن تدريجيًا من الوصول إلى المعلومات المطلوبة، أو انتحال شخصية ذات سلطة، مثل موظف حكومي أو رئيس أو وكيل أمن لتخويف الضحية وإرغامه على الكشف عن المعلومات.

تشمل طرق تجنب الوقوع ضحية للهندسة الاجتماعية عدم الثقة بالغرباء، والتحقق دائمًا من أنك على الموقع الإلكتروني الصحيح الذي يحتوي على " https://"، وعدم إعطاء كلمات المرور أو رموز PIN الخاصة بك أبدًا، مهما كان الأمر.

2. التنصت

هناك طريقة أخرى خطيرة للاختراق وهي التنصت. وهي خطيرة لأن هناك العديد من الطرق للقيام بذلك ولا يوجد حد لكمية المعلومات التي يمكن للمخترق الحصول عليها.

تتضمن بعض الطرق الشائعة مراقبة حزم بيانات الشبكة لاستخراج المعلومات باستخدام برامج تحليل الشبكة مثل Wireshark . وهناك طريقة أخرى تتمثل في تثبيت تطبيق صغير على جهاز الكمبيوتر أو الهاتف الذكي الخاص بالضحية لتسجيل كل ضغطة مفتاح أو التقاط جميع الرسائل النصية.

وتتضمن أساليب التنصت الأخرى هجمات الوسيط التي تسمح للمخترق بنقل المعلومات إلى طرفين، بينما يعتقدان أنهما يتواصلان بشكل مباشر. على سبيل المثال، ترتبط شبكات GSM تلقائيًا بأقوى إشارة، وبالتالي من خلال انتحال برج GSM لشبكة معينة، ترتبط جميع الهواتف المحمولة في تلك المنطقة تلقائيًا بالمخترق وتمرر معلوماتها عبر نظامه.

3. اختطاف الجلسة وملفات تعريف الارتباط

تتواصل المتصفحات والتطبيقات مع الخوادم باستخدام الجلسات. للدخول إلى جلسة مع خادم، يجب على المستخدم أولاً التحقق من هويته باستخدام اسم المستخدم وكلمة المرور، وربما المصادقة الثنائية. عند التحقق من هوية المستخدم، يبدأ الخادم جلسة مع متصفحه، ولا يتطلب خلالها أي تحقق إضافي حتى يقوم المستخدم بتسجيل الخروج.

إحدى المشكلات البسيطة هنا هي أن الخادم سيخزن ملف تعريف ارتباط على جهاز المستخدم المُصادق عليه أو يُضيف مُعرّف جلسة إلى عنوان URL، ما يعني أن هذا المستخدم مُصرّح له بالدخول ، وهكذا. لكن المشكلة تكمن في أنه إذا تمكن مُخترق من سرقة ملفات تعريف الارتباط أو مُعرّف الجلسة، فسيتمكن من الوصول إلى تلك البيئة المُقيّدة التي كان على الضحية المصادقة للدخول إليها. وبذلك، يُمكنه نشر منشورات، أو تحويل أموال، أو فعل أي شيء آخر يُريده.

والآن، هناك العديد من الطرق لتحقيق ذلك:

1. XSS أو Cross-Site Scripting - يتضمن ذلك خداع الضحية للنقر على رابط لموقع شرعي، لكن هذا يتضمن كود JavaScript لسرقة ملفات تعريف الارتباط الخاصة به لهذا الموقع الشرعي وإرسالها إلى موقع المخترق.
2. شم الجلسة – يمكن للمخترق استخدام برامج مراقبة الشبكة مثل Wireshark لاعتراض معلومات الجلسة وملفات تعريف الارتباط.
3. تثبيت الجلسة – يرسل المهاجم رابطًا إلى الضحية يحتوي على معرف جلسة. إذا قام الضحية بتسجيل الدخول وفشل النظام في إنشاء معرف جلسة جديد، فيمكن للمخترق استخدام معرف الجلسة نفسه لتسجيل الدخول أيضًا. والحل هنا هو أن يقوم النظام دائمًا بإنشاء معرف جلسة جديد بعد كل تسجيل دخول.
4. التبرع بالجلسة – يقوم المخترق بتسجيل الدخول إلى موقع شرعي، ثم يرسل رابطًا ببيانات الجلسة إلى الضحية، ويطلب منه تحديث المعلومات. سيرى الضحية أنه مسجل الدخول وإذا فشل في ملاحظة أن هذا ليس حسابه، فيمكنه إدخال معلومات حساسة، والتي يمكن للمخترق سرقتها لاحقًا. أحد الحلول هو تسجيل الخروج دائمًا عند الانتهاء.

4. XSS وCSRF

كما ذكرنا سابقًا، فإن XSS تعني Cross-Site Scripting، بينما CSRF تعني Cross-Site Request Forgery. يجب أن تلاحظ هنا أن XSS يتجاوز سرقة ملفات تعريف الارتباط العادية، حيث يتعلق الأمر بتشغيل نص برمجي على صفحة يثق بها الضحية أثناء الاتصال بمواقع ويب أخرى أقل ثقة.

لا يحتاج الضحية إلى تسجيل الدخول أو المصادقة أو اتخاذ أي إجراء للوقوع في فخ هجوم XSS، والذي يكون عادةً تلقائيًا. ومع ذلك، في حالة هجوم CSRF، يتعين على الضحية تسجيل الدخول إلى موقع ويب معين واتخاذ إجراء إضافي، مثل النقر فوق زر.

لنفترض، على سبيل المثال، أن الضحية (بوب) كان مسجلاً دخوله إلى موقع بنكه الإلكتروني، ثم انشغل بشيء ما، فوصل إلى موقع يعرض عطلة مجانية إلى ماكاو، وكل ما عليه فعله هو النقر على الزر. بمجرد النقر، يرسل الموقع طلب تحويل أموال إلى بنكه، وبما أنه لا يزال يستخدم حسابه البنكي، فقد تتم العملية بنجاح.

كل ما يحتاجه موقع المهاجم هو إنشاء نموذج موجه إلى البنك بالحقول الصحيحة، مثل:

5. نقطة اتصال هوت سبوت

هل سبق لك استخدام شبكة واي فاي مجانية للوصول إلى الإنترنت؟ نأمل أنك استخدمت VPN (شبكة افتراضية خاصة) لحماية نفسك، وإلا لكانت ضحيةً لخدعة.

تسير الخطة على هذا النحو: يقوم أحد القراصنة بإنشاء نقطة اتصال واي فاي مجانية مع برنامج لتتبع الحزم خلف الكواليس لجمع كلمات المرور وغيرها من الأشياء الثمينة من أولئك الذين يتصفحون الويب مجانًا. حتى أن البعض يقومون بإنشاء نقاط اتصال وهمية للشركات، مثل تلك التي تجدها في المقاهي والمطارات والمطاعم.

لتجنب مثل هذه الاختراقات، ابتعد ببساطة عن نقاط الاتصال المجانية، أو استخدم VPN إذا كان عليك استخدام شبكات WiFi العامة.

6. القوة الغاشمة

هجوم القوة الغاشمة هو محاولة تسجيل الدخول إلى حساب الضحية من خلال تجربة كل مجموعات اسم المستخدم وكلمة المرور الممكنة. ويمكن أن يشير أيضًا إلى اختراق خوارزمية من خلال محاولة استخدام أكبر عدد ممكن من المفاتيح.

يأتي نظام التشغيل كالي لينكس ، وهو نظام تشغيل شائع بين المخترقين، مزودًا بأدوات اختراق قوية مثل John the Ripper و ncrack و Hydra . كما يتضمن قوائم كلمات تساعد في هجمات القاموس، تحتوي على قائمة بأكثر كلمات المرور والكلمات شيوعًا، مثل monkey و12345 و mysecretpassword و00000 وغيرها.

تتضمن طرق تجنب هجمات القوة الغاشمة إضافة رمز التحقق إلى صفحة تسجيل الدخول، والحد من عدد محاولات تسجيل الدخول، وفرض استخدام كلمات مرور آمنة - 8 أحرف أو أكثر، مع مزيج من الرموز والأرقام والأحرف الكبيرة والصغيرة.

7. الحرمان من الخدمة و الحرمان من الخدمة الموزع

يشير مصطلح DoS إلى هجوم حجب الخدمة ، بينما يشير DDoS إلى هجوم حجب الخدمة الموزع . والهدف من هذا النوع من الهجمات هو إغراق نظام حاسوبي، مثل خادم، بكم هائل من الطلبات، مما يجعله عاجزًا عن تلبية المزيد من الطلبات - أي يصبح غير متصل بالإنترنت.

يأتي هجوم الحرمان من الخدمة من جهاز واحد ومن السهل اكتشافه وحظره. من ناحية أخرى، يأتي هجوم الحرمان من الخدمة من أجهزة كمبيوتر متعددة وقد يكون عبارة عن شبكة روبوتات منتشرة في جميع أنحاء العالم، وغالبًا ما تنشأ من أجهزة كمبيوتر مصابة ببرامج ضارة.

يجب أن تلاحظ أنه على عكس معظم الطرق الأخرى في هذه القائمة، لا تهدف هجمات الحرمان من الخدمة الموزعة إلى سرقة أو تنفيذ تعليمات برمجية ضارة على جهاز كمبيوتر الضحية. بل تُستخدم هذه الهجمات لإبقاء خوادم الشركات تحت الحصار، حيث لا تستطيع هذه الشركات الاستمرار في تقديم خدماتها إلا بعد دفع فدية.

الطريقة الأسهل لتجنب هجمات DDoS هي استخدام مضيف ويب يتضمن حماية DDoS في الحزمة المقدمة.

8. هجمات المواقع المستهدفة وغير المستهدفة

الهجوم المستهدف هو هجوم يستهدف موقع الويب الخاص بالضحية على وجه التحديد، في حين أن الهجوم غير المستهدف يحدث لموقع الويب لأن المهاجم كان يستغل ضعفًا عامًا في البرنامج.

على سبيل المثال، تكون مواقع الويب التي تعمل بنظام WordPress عرضة للهجمات غير المستهدفة، وخاصة تلك التي تعمل على إصدارات أقدم وغير محدثة. يكتشف المهاجم ثغرة أمنية تعمل مع منصة أو إصدار أو إطار تطوير معين، ثم يقوم بتشغيل الثغرة عبر قائمة بعناوين مواقع الويب التي تستخدم المنصة، لمعرفة أي منها قد تعطل.

بالنسبة للهجمات المستهدفة، سيقضي المخترق وقتًا أطول قليلاً في التعرف على موقع الضحية، وقد يستغرق ذلك من بضعة أيام إلى عدة أشهر. وعادةً ما تكون الهجمات المستهدفة أكثر خطورة وقد تكون كارثية، وخاصة بالنسبة للشركات الكبيرة.

9. حقن SQL

عندما اخترقت مجموعة LulzSec خوادم شبكة Sony PlayStation Network في عام 2011 وسرقت مليون كلمة مرور، وصفوا العملية بأنها عملية اختراق بسيطة تعتمد على حقن SQL.

حقن SQL هو عملية إضافة توجيهات لغة SQL إلى عنوان طلب موقع ويب، على أمل ألا يقوم المبرمج بتنظيف مثل هذه المدخلات الضارة المحتملة. وعندما يعمل SQLi، غالبًا ما يحصل المخترق على حق الوصول إلى قاعدة البيانات كمشرف، كما حدث في شركة Sony.

من الممكن منع حقن SQL باستخدام أحدث إصدارات المنصات والأطر الشائعة. ومع ذلك، سيتعين على أولئك الذين يقومون بالبناء بأنفسهم التركيز على التحقق من صحة الإدخالات بشكل صحيح، واستخدام العبارات المعدة مسبقًا، والإجراءات المخزنة، وفحص الثغرات الأمنية.

10. نقاط ضعف المكونات الإضافية

وبعيدًا عن مشكلات الأمان الأساسية مع المنصات الشهيرة مثل WordPress، والتي يمكن تجنبها غالبًا عن طريق الترقية إلى أحدث إصدارات البرامج، فإن المكونات الإضافية، من ناحية أخرى، يمكن أن تشكل تهديدًا كبيرًا للاختراق.

يوجد أكثر من 50,000 مكون إضافي في نظام WordPress البيئي، وكل منها يشكل خطرًا أمنيًا محتملاً، حيث تأتي غالبية عمليات اختراق WordPress الحالية من ثغرات المكونات الإضافية هذه.

على الرغم من أن الأمان بنسبة 100% غير ممكن هنا، فلا يزال بإمكانك تحسين دفاع موقع الويب ضد نقاط ضعف المكونات الإضافية من خلال اختيار المكونات الإضافية عالية الجودة فقط ذات التقييمات العالية. ثم قم بتحديث النظام الأساسي والمكونات الإضافية بانتظام، وتجنب استخدام السمات أو الإضافات القديمة من أي نوع.

خاتمة

لقد قمنا بإدراج أفضل 10 طرق يستخدمها المتسللون، وقد رأيت أسبابها وطرق الوقاية الممكنة منها. وكما يجب أن تكون قد استنتجت أيضًا، فإن الاختراق جزء من عالم الكمبيوتر، لذا فإن تهديدات الاختراق يجب أن تؤخذ في الحسبان دائمًا. 

ومع ذلك، من خلال الوعي بهذه التهديدات، وتطبيق تدابير الحماية الصحيحة عند الضرورة، يمكنك أيضًا تقليل خطر تعرضك للاختراق بشكل كبير.