知っておくべきハッキング手法トップ 10
ハッカーの危険性を心配していますか? 主なハッキング方法とその危険性を以下に示します。
インターネット技術の発展は、多くの成長とビジネス チャンスをもたらし、それに対応する新しいハッキング手法ももたらしました。
個人のソーシャル メディア ユーザーから中小企業や大企業まで、現代のハッカーの被害者は多岐にわたります。
したがって、World Wide Web に潜む可能性のある危険を把握し、それらのセキュリティの脅威を軽減するための適切な情報を入手することは、ユーザーの最善の利益になります。 この投稿は、いくつかの光を当てます。
目次
隠す
トップハッキング方法
主なハッキング方法は次のとおりです。
ソーシャル エンジニアリングとは、潜在的な被害者を操作して、重要な情報を漏らしたり、攻撃者に必要なアクセスを許可する特定のアクションを実行したりするプロセスです。 被害者に電話をかけたり、機密情報を要求したりするなど、ソーシャル エンジニアリングへのアプローチには多くの方法があります。 このメソッドは呼び出されます ヴィッシング また、本物の銀行員が相手だと信じている無防備な被害者から銀行情報を収集するためによく使用されます。
別の一般的な方法は、 フィッシング詐欺、および電話方法と同様に、なりすましが含まれます。 ここでは、元の銀行の Web サイトと 100% そっくりの偽の銀行 Web サイトである可能性があります。 被害者は偽のサイトへのリンクが記載された電子メールまたはテキストを受け取り、セキュリティ上の目的で詳細を早急に更新するように要求します。 ただし、偽のサイトに入力されたすべての情報は攻撃者によってコピーされ、被害者のアカウントを空にするために使用されます。
その他の方法としては、ハッカーが被害者と友達になり、必要な情報に徐々にアクセスできるようにしたり、公務員、上司、警備員などの権威者になりすまして被害者を威嚇して情報を漏らしたりする方法があります。
ソーシャル エンジニアリングの被害者にならないようにする方法には、見知らぬ人を信用しないこと、正しい Web サイトにアクセスしていることを常に確認することが含まれます。https://” 何があっても、パスワードや PIN コードは絶対に教えないでください。
2.盗聴
もう XNUMX つの危険なハッキング方法は盗聴です。 ハッカーが取得できる情報量に制限がなく、方法がたくさんあるため危険です。
方法の例には、ネットワークのパケットをスニッフィングして、 Wiresharkの. もう XNUMX つの方法は、被害者のコンピューターまたはスマートフォンに小さなアプリをインストールして、すべてのキーストロークを記録するか、すべてのテキスト通信をキャプチャすることです。
他の盗聴方法には、ハッカーが直接通信していると信じている間に、XNUMX つの当事者に情報を中継させる中間者攻撃が含まれます。 たとえば、GSM ネットワークは自動的に最強の信号にリンクするため、特定のネットワークの GSM タワーをスプーフィングすることで、そのエリア内のすべての携帯電話が自動的にハッカーにリンクし、ハッカーのシステムを介して情報を渡します。
ブラウザとアプリは、次を使用してサーバーと通信します セッション。 サーバーとのセッションに入るには、ユーザーは最初にログインとパスワードの組み合わせ、場合によっては 2 要素認証を使用して自分自身を識別する必要があります。 ユーザーの身元が確認されると、サーバーはユーザーのブラウザとのセッションを開始します。この間、ユーザーがログオフするまでそれ以上の確認は必要ありません。
ここでの小さな問題の XNUMX つは、サーバーが クッキー 認証されたユーザーのマシンで、またはセッションIDをURLに追加して、次のように言います このユーザーは大丈夫です、ドリフトを取得します。 しかし、問題は、ハッカーがそれらの Cookie やセッション ID を盗むことができれば、被害者が入るために認証を必要とする制限された環境にアクセスできることです。 その後、彼は投稿を作成したり、送金したり、好きなことをしたりできます。
現在、これを達成するには多くの方法があります。
- XSS またはクロスサイト スクリプティング – これには、犠牲者を騙して正当なサイトへのリンクをクリックさせることが含まれますが、その正当なサイトの Cookie を盗んでハッカーのサイトに送信する JavaScript コードが含まれています。
- セッションスニッフィング – ハッカーは、Wireshark などのネットワーク スニファを使用して、セッションおよび Cookie 情報を傍受できます。
- セッション固定 – 攻撃者は、セッション ID を含むリンクを被害者に送信します。 被害者がログインし、システムが新しいセッション ID の生成に失敗した場合、ハッカーは同じセッション ID を使用してログオンすることもできます。 ここでの解決策は、システムがログインのたびに常に新しいセッション ID を生成することです。
- セッション寄付 – ハッカーが正規のサイトにログインし、セッション データを含むリンクを被害者に送信して、情報を更新するように求めます。 被害者は自分がログインしていることを確認し、それが自分のアカウントではないことに気付かなかった場合、ハッカーが後で盗む可能性のある機密情報を入力できます。 XNUMX つの解決策は、完了したら常にログアウトすることです。
4.XSSとCSRF
前述のように、XSS は Cross-Site Scripting を表し、CSRF は Cross-Site Request Forgery を表します。 ここで、XSS は通常の Cookie の窃盗を超えたものであることに注意してください。これは、被害者が他の信頼性の低い Web サイトに接続しているときに信頼するページでスクリプトを実行することがすべてであるためです。
被害者は、通常は自動的に行われる XSS 攻撃に陥るために、ログインしたり、認証を受けたり、何らかのアクションを実行したりする必要はありません。 ただし、CSRF の場合、被害者は特定の Web サイトにログインし、さらにボタンをクリックするなどのアクションを実行する必要があります。
たとえば、Victim-Bob が自分の銀行の Web サイトにログオンしているときに、何かに気を取られて、 マカオへの無料休暇、 ボタンをクリックするだけです。 しかし、彼がクリックすると、ウェブサイトは彼の銀行に送金リクエストを送信します。彼は銀行とアクティブなセッションを行っているため、送金が完了する可能性があります。
攻撃者の Web サイトに必要なのは、次のような適切なフィールドを備えた銀行向けのフォームを作成することだけです。
5.ホットスポットハニーポット
無料の WiFi を使用して Web にアクセスしたことがありますか? VPN (仮想プライベート ネットワーク) を使用して身を守っていただければ幸いです。
スキームは次のようになります。ハッカーは、無料の Wi-Fi ホットスポットを設定し、背後でパケット スニファーを使用して、無料で Web を閲覧しているユーザーからパスワードやその他の貴重品を収集します。 コーヒー ショップ、空港、レストランなどに見られるような偽の会社のホットスポットを設定する人さえいます。
このようなハッキングを避けるには、無料のホットスポットに近づかないようにするか、公共の WiFi を使用する必要がある場合は VPN を使用してください。
6.ブルートフォース
ブルート フォース攻撃とは、考えられるすべてのユーザー名とパスワードの組み合わせを試して、被害者のアカウントにログインしようとする試みです。 また、できるだけ多くのキーを試行することによってアルゴリズムを解読することを指す場合もあります。
カリLinux、人気のあるハッカー オペレーティング システムには、次のようなブルート フォース ツールが付属しています。 John the Ripperは, ひび割れ, および ハイドラ. 辞書攻撃に役立つ単語リストもあります。 これらには、辞書からの最も一般的なパスワードと単語のリストが含まれています。 サル, 12345, mysecretpassword, 00000, などがあります。
ブルート フォース攻撃を回避する方法には、ログイン ページにキャプチャを追加する、ログイン試行回数を制限する、安全なパスワード (記号、数字、大文字と小文字を組み合わせた 8 文字以上) の使用を強制することが含まれます。文字。
7. DoS & DDoS
DoS は サービス拒否 攻撃、DDoS は略 分散サービス妨害 攻撃。 ここでの目的は、サーバーなどのコンピューター システムを非常に多くの要求で圧倒し、それ以上の要求を実行できなくなり、オフラインにすることです。
DoS は XNUMX 台のマシンから発生し、簡単に特定してブロックできます。 一方、DDoS は複数のコンピューターから発生します。これは、マルウェアに感染したコンピューターから発生することが多く、世界中に広がるボットネットである可能性があります。
このリストにある他のほとんどの方法とは異なり、DDoS 攻撃は被害者のコンピューターで悪意のあるコードを盗んだり実行したりすることを目的としていないことに注意してください。 むしろ、これらの企業は身代金が支払われるまでサービスを継続することは不可能であるため、ビジネス サーバーを包囲するために使用されます。
DDoS 攻撃を回避する最も簡単な方法は、提供されたパッケージに DDoS 保護が含まれている Web ホストを使用することです。
8. 標的型および非標的型 Web サイト攻撃
標的型攻撃は、特に被害者の Web サイトを狙った攻撃です。一方、非標的型攻撃は、攻撃者が一般的なソフトウェアの弱点を悪用したために、Web サイトに対して発生します。
たとえば、WordPress Web サイトは、特に更新されていない古いバージョンで実行されているものなど、非標的型攻撃を受けやすい傾向があります。 攻撃者は、特定のプラットフォーム、バージョン、または開発フレームワークで機能するエクスプロイトを発見し、プラットフォームを使用する Web サイト アドレスのリストを介してエクスプロイトを実行し、どれが壊れているかを確認します。
標的型攻撃の場合、ハッカーは被害者の Web サイトを知るためにもう少し時間を費やしますが、これには数日から数か月かかる場合があります。 通常、標的型攻撃はより危険であり、特に大企業の場合は悲惨な結果になる可能性があります。
9 SQLインジェクション
日時 LulzSec は 2011 年に Sony PlayStation Network のサーバーに侵入し、1 万のパスワードを盗みました。
SQL インジェクションは、プログラマーがそのような潜在的に有害な入力を一掃しないことを期待して、Web サイトの要求アドレスに SQL 言語ディレクティブを追加する行為です。 また、SQLi が機能している場合、ハッカーは多くの場合、Sony で起こったように、データベースへの管理者アクセスを取得します。
一般的なプラットフォームとフレームワークの最新バージョンを使用することで、SQL インジェクションを防ぐことができます。 ただし、自分で構築する場合は、適切な入力の検証、準備済みステートメントの使用、ストアド プロシージャ、および脆弱性スキャンに集中する必要があります。
10. プラグインの脆弱性
WordPress などの一般的なプラットフォームの主要なセキュリティ問題は別として、最新のソフトウェア バージョンにアップグレードすることで回避できることがよくありますが、一方で、プラグインは重大なハッキングの脅威を生み出す可能性があります。
WordPress エコシステムには 50,000 を超えるプラグインがあり、現在の WordPress ハッキングの大部分はこれらのプラグインの脆弱性に起因しているため、それぞれが潜在的なセキュリティ リスクをもたらします。
ここで 100% の安全性を確保することはできませんが、評価の高い最高品質のプラグインのみを選択することで、プラグインの脆弱性に対する Web サイトの防御を改善することができます。 次に、コア システムとプラグインの更新を定期的に行い、古いテーマや拡張機能を使用しないようにします。
結論
ハッカーの手口トップ 10 をリストアップし、その原因と考えられる防止方法を見てきました。 あなたも結論付けているように、ハッキングはコンピューターの世界の一部であるため、ハッキングの脅威は常に考慮に入れなければなりません。
ただし、これらの脅威を認識し、必要に応じて適切な保護手段を適用することで、ハッキングされるリスクを大幅に減らすことができます.
関連記事
