10 parimat häkkimismeetodit, mida peaksite teadma

Interneti-tehnoloogiate areng on toonud kaasa palju kasvu ja ärivõimalusi, aga ka uusi häkkimismeetodeid.

Kaasaegse häkkeri ohvrite hulk on eraisikust sotsiaalmeedia kasutajatest väikeettevõtete ja suurkorporatsioonideni suur.

Seetõttu on teie huvides saada ülevaade veebis varitsevatest võimalikest ohtudest, samuti omada õiget teavet nende turvaohtude leevendamiseks. See postitus heidab veidi valgust.

Populaarseimad häkkimismeetodid

Siin on populaarseimad häkkimismeetodid:

1. Sotsiaaltehnika

Sotsiaalne manipuleerimine on potentsiaalse ohvri manipuleerimise protsess, mille käigus ta avaldab olulist teavet või teeb teatud toiminguid, mis annavad ründajale vajaliku juurdepääsu. Sotsiaalseks manipuleerimiseks on palju võimalusi, näiteks helistada ohvrile ja küsida tundlikku teavet. Seda meetodit nimetatakse vishimiseks ja seda kasutatakse sageli pangandusteabe kogumiseks pahaaimamatutelt ohvritelt, kes usuvad, et teisel pool on päris pangatöötaja.

Teine populaarne meetod on andmepüük ja sarnaselt telefonimeetodile hõlmab see kellegi teisena esinemist. Siin võib tegemist olla võltsitud pangaveebisaidiga, mis näeb välja 100% sarnane algse panga veebisaidiga. Ohver saab e-kirja või tekstisõnumi lingiga võltsitud saidile, kus palutakse tal turvalisuse huvides oma andmeid kiiresti uuendada. Ründaja kopeerib aga kogu võltsitud saidile sisestatud teabe ja kasutab seda ohvri konto tühjendamiseks.

Teised meetodid hõlmavad seda, et häkker saab ohvriga sõbraks ja omandab järk-järgult juurdepääsu vajalikule teabele või kehastab end autoriteetse tegelasena, näiteks valitsuse töötaja, ülemuse või turvatöötajana, et hirmutada ohvrit teavet avaldama.

Sotsiaalse manipuleerimise ohvriks langemise vältimise viiside hulka kuuluvad võõraste inimeste mitte usaldamine, alati õige veebisaidi kontrollimine „ https://” abil ning oma paroolide või PIN-koodide mitte kunagi jagamine, ükskõik mis.

2. Pealtkuulamine

Teine ohtlik häkkimisviis on pealtkuulamine. See on ohtlik, kuna selle lahendamiseks on palju võimalusi ja häkker saab hankida piiramatu teabe hulk.

Näidete hulka kuulub võrgupakettide nuusutamine teabe saamiseks võrguanalüsaatori tarkvara (nt Wireshark) abil . Teine võimalus on installida ohvri arvutisse või nutitelefoni pisike rakendus, mis logib iga klahvivajutuse või jäädvustab kogu tekstisuhtluse.

Teised pealtkuulamismeetodid hõlmavad rünnakuid, mis võimaldavad häkkeritel teavet kahele osapoolele edastada, samal ajal kui nad usuvad, et suhtlevad otse. Näiteks ühenduvad GSM-võrgud automaatselt kõige tugevama signaaliga, nii et konkreetse võrgu GSM-torni võltsimisel lingivad kõik selles piirkonnas olevad mobiiltelefonid automaatselt häkkeriga ja edastavad oma teabe läbi tema süsteemi.

3. Seansi ja küpsiste kaaperdamine

Brauserid ja rakendused suhtlevad serveritega seansside kaudu. Serveriga seansi loomiseks peab kasutaja kõigepealt end identifitseerima sisselogimise/parooli kombinatsiooni ja võimalusel kaheastmelise autentimise abil. Kui kasutaja identiteet on kinnitatud, alustab server seanssi kasutaja brauseriga, mille jooksul pole edasist kinnitamist vaja enne, kui kasutaja välja logib.

Üks väike probleem on see, et server salvestab autentitud kasutaja arvutisse küpsise või lisab URL-ile seansi ID, öeldes midagi sellist nagu „kasutaja on valmis minema“ , saate aru. Aga probleem on selles, et kui häkker suudab need küpsised või seansi ID varastada, saab ta juurdepääsu piiratud keskkonnale, kuhu ohver pidi sisenemiseks autentima. Seejärel saab ta postitusi teha, raha üle kanda või teha mida iganes tahab.

Nüüd on selle saavutamiseks palju võimalusi:

1. XSS või saidiülene skriptimine – See hõlmab ohvri meelitamist klõpsata õigustatud saidile viival lingil, kuid see sisaldab JavaScripti koodi, et varastada selle seadusliku saidi küpsised ja saata need häkkeri saidile.
2. Seansi nuusutamine – Häkker saab seansi ja küpsiste teabe pealtkuulamiseks kasutada võrgu nuusutajaid, nagu Wireshark.
3. Seansi fikseerimine – Ründaja saadab ohvrile lingi, mis sisaldab seansi ID-d. Kui ohver logib sisse ja süsteem ei suuda uut seansi ID-d genereerida, saab häkker kasutada sama seansi ID-d ka sisselogimiseks. Siin on lahendus selles, et süsteem genereerib pärast iga sisselogimist alati uue seansi ID.
4. Seansi annetamine – Häkker logib sisse seaduslikule saidile ja saadab seejärel ohvrile seansiandmetega lingi, paludes tal teavet värskendada. Ohver näeb, et ta on sisse logitud ja kui ta ei märka, et see pole tema konto, saab ta sisestada tundlikku teavet, mille häkker võib hiljem varastada. Üks lahendus on alati välja logida, kui olete lõpetanud.

4. XSS ja CSRF

Nagu eespool juba viidatud, tähistab XSS sõnu Cross-Site Scripting, CSRF aga Cross-Site Request Forgery. Peaksite siinkohal märkima, et XSS läheb kaugemale tavalisest küpsiste vargusest, kuna see seisneb skripti käivitamises lehel, mida ohver usaldab teiste vähem usaldusväärsete veebisaitidega ühenduse loomisel.

Ohver ei pea olema sisse logitud, autentitud ega midagi ette võtma, et langeda XSS-i rünnaku alla, mis tavaliselt on automaatne. CSRF-i jaoks peab ohver aga olema konkreetsele veebisaidile sisse logitud ja lisaks tegema toiminguid, näiteks klõpsama nuppu.

Näiteks, kui Ohver-Bob on oma panga veebisaidile sisse logitud, siis miski tema tähelepanu hajutab ja ta satub veebisaidile, mis pakub tasuta puhkust Macau'sse. Tal on vaja vaid nupule klõpsata. Kui ta aga nupule klõpsab, saadab veebisait tema pangale rahaülekande taotluse ja kuna tal on pangaga aktiivne seanss, võib see õnnestuda.

Ründaja veebisaidil on vaja ainult luua pangale suunatud vorm, millel on õiged väljad, näiteks:

5. Hotspot Honeypot

Kas olete kunagi kasutanud veebi pääsemiseks tasuta WiFi-ühendust? Loodetavasti kasutasite enda kaitsmiseks VPN-i (virtuaalne privaatvõrk), vastasel juhul oleksite võinud olla meepoti ohver.

Skeem näeb välja selline: häkker loob kulisside taga tasuta WiFi-leviala koos paketinuusutajaga, et koguda veebis surfajatelt tasuta paroole ja muud väärtuslikku. Mõned isegi loovad võltsitud ettevõtte levialasid, nagu näiteks kohvikutes, lennujaamades ja restoranides.

Selliste häkkide vältimiseks hoidke lihtsalt tasuta levialadest eemal või kasutage VPN-i, kui peate kasutama avalikke WiFi-sid.

6. Toores jõud

Brute force rünnak on katse logida sisse ohvri kontole, proovides kõiki võimalikke kasutajanime ja parooli kombinatsioone. See võib viidata ka algoritmi murdmisele, proovides võimalikult palju võtmeid.

Kali Linux , populaarne häkkerite operatsioonisüsteem, on varustatud jõhkra jõu tööriistadega nagu John the Ripper , ncrack ja Hydra . Samuti on olemas sõnaloendid, mis aitavad sõnastikurünnakutes. Need sisaldavad nimekirja sõnastiku populaarseimatest paroolidest ja sõnadest, näiteks ahv, 12345, minu salajane parool, 00000 jne.

Meetodid jõhkra jõu rünnakute vältimiseks hõlmavad captcha lisamist sisselogimislehele, sisselogimiskatsete arvu piiramist ja turvaliste paroolide (8 või enama tähemärgi pikkuse) kasutamist koos sümbolite, numbrite ning suur- ja väiketähtede kombinatsiooniga.

7. DoS ja DDoS

DoS tähistab teenusetõkestusrünnakut (Denial of Service Attack) ja DDoS tähistab hajutatud teenusetõkestusrünnakut ( DDoS). Selle eesmärk on arvutisüsteemi, näiteks serverit, üle koormata nii paljude päringutega, et see ei suuda enam edasisi päringuid täita – läheb võrgust välja.

DoS pärineb ühest masinast ning seda on lihtne märgata ja blokeerida. Teisest küljest pärineb DDoS mitmest arvutist ja see võib olla üle maailma levinud robotvõrk, mis sageli pärineb pahavaraga nakatunud arvutitest.

Pange tähele, et erinevalt enamikust teistest selles loendis olevatest meetoditest ei ole DDoS-i rünnakute eesmärk ohvri arvutis pahatahtliku koodi varastamine või käivitamine. Pigem kasutatakse neid äriserverite piiramise all hoidmiseks, kuna need ettevõtted ei saa oma teenuseid kuni lunaraha maksmiseni jätkata.

Lihtsaim viis DDoS-i rünnakute vältimiseks on kasutada veebimajurit, mis sisaldab pakutavas paketis DDoS-kaitset.

8. Sihitud ja mittesihitud veebisaitide rünnakud

Sihitud rünnak on rünnak, mis on suunatud konkreetselt ohvri veebisaidile, samas kui mittesihitud rünnak toimub veebisaidi vastu, kuna ründaja kasutas ära üldist tarkvara nõrkust.

Näiteks WordPressi veebisaidid on altid mittesihitud rünnakutele, eriti need, mis töötavad vanematel, värskendamata versioonidel. Ründaja avastab ärakasutamise, mis töötab konkreetse platvormi, versiooni või arendusraamistikuga, ja seejärel käivitab ärakasutamise platvormi kasutavate veebisaitide aadresside loendi kaudu, et näha, millised neist purunevad.

Sihitud rünnakute korral kulutab häkker veidi rohkem aega ohvri veebisaidi tundmaõppimisele ja see võib ulatuda mõnest päevast mitme kuuni. Sihitud rünnakud on tavaliselt ohtlikumad ja võivad olla katastroofilised, eriti suurtele ettevõtetele.

9. SQL-i süstimine

Kui LulzSec 2011. aastal Sony PlayStation Networki serveritesse sisse murdis ja miljon parooli varastas, kirjeldasid nad operatsiooni lihtsa SQL-süstimise häkkimisena.

SQL-i süstimine on SQL-keele direktiivide lisamine veebisaidi päringuaadressile, lootuses, et programmeerija ei puhastanud selliseid potentsiaalselt kahjulikke sisendeid. Ja kui SQLi töötab, saab häkker sageli andmebaasile administraatori juurdepääsu, nagu juhtus Sony puhul.

SQL-i süstimist saab vältida populaarsete platvormide ja raamistike uusimate versioonide abil. Ent need, kes ise ehitavad, peavad keskenduma õigele sisendi valideerimisele, ettevalmistatud avalduste kasutamisele, salvestatud protseduuridele ja haavatavuse skannimisele.

10. Pistikprogrammi haavatavused

Lisaks populaarsete platvormide (nt WordPress) peamistele turbeprobleemidele, mida saab sageli vältida tarkvara uusimatele versioonidele üleminekuga, võivad pistikprogrammid tekitada suure häkkimisohu.

WordPressi ökosüsteemis on üle 50,000 XNUMX pistikprogrammi ja igaüks neist kujutab endast potentsiaalset turvariski, kuna suurem osa praegustest WordPressi häkkidest tulenevad nendest pistikprogrammide haavatavusest.

Kuigi 100% turvalisus pole siin võimalik, saate siiski parandada veebisaidi kaitset pistikprogrammide haavatavuse vastu, valides ainult kõrge reitinguga tippkvaliteediga pistikprogrammid. Seejärel värskendage regulaarselt põhisüsteemi ja pistikprogramme ning vältige vanade teemade või mis tahes laienduste kasutamist.

Järeldus

Oleme loetletud 10 parimat häkkerite meetodit ning olete näinud nende põhjuseid ja võimalikke ennetusmeetodeid. Nagu olete ka järeldanud, on häkkimine osa arvutimaailmast, seega tuleb häkkimisohtudega alati arvestada. 

Olles nendest ohtudest teadlik ja rakendades vajadusel õigeid kaitsemeetmeid, saate ka teie häkkimise ohtu drastiliselt vähendada.