10 najboljših metod hekanja, ki bi jih morali poznati

Razvoj internetnih tehnologij je prinesel številne rasti in poslovne priložnosti, pa tudi nove metode vdiranja.

Od zasebnih uporabnikov družbenih omrežij do malih podjetij in velikih korporacij je razpon žrtev za sodobne hekerje ogromen.

Zato je v vašem interesu, da dobite predstavo o možnih nevarnostih, ki prežijo na svetovnem spletu, kot tudi, da imate prave informacije za ublažitev teh varnostnih groženj. Ta objava meče nekaj svetlobe.

Najboljše metode hekanja

Tukaj so najboljše metode hekanja:

1. Socialni inženiring

Socialni inženiring je postopek manipuliranja potencialne žrtve, da razkrije pomembne informacije ali da izvede določena dejanja, ki bodo napadalcu omogočila potreben dostop. Obstaja veliko načinov za pristop k socialnemu inženiringu, na primer klicanje žrtve po telefonu in zahtevanje občutljivih informacij. Ta metoda se imenuje vishing in se pogosto uporablja za zbiranje bančnih podatkov od nič hudega slutečih žrtev, ki verjamejo, da je na drugi strani pravi bančni uslužbenec.

Druga priljubljena metoda je lažno predstavljanje (phishing) , ki tako kot telefonska metoda vključuje lažno predstavljanje. Tukaj gre lahko za lažno bančno spletno mesto, ki je 100 % podobno spletnemu mestu originalne banke. Žrtev prejme e-pošto ali SMS s povezavo do lažnega spletnega mesta, v kateri jo prosijo, naj zaradi varnosti nujno posodobi svoje podatke. Vendar pa napadalec kopira vse podatke, vnesene na lažnem spletnem mestu, in jih uporabi za praznjenje računa žrtve.

Druge metode vključujejo, da se heker spoprijatelji z žrtvijo in postopoma pridobi dostop do potrebnih informacij ali pa se predstavlja kot avtoriteta, kot je vladni uslužbenec, šef ali varnostni agent, da žrtev ustrahuje, da razkrije informacije.

Načini, kako se izogniti temu, da postanete žrtev socialnega inženiringa, vključujejo nezaupanje neznancem, vedno preverjanje, ali ste na pravem spletnem mestu s » https://« , in nikoli ne dajanje svojih gesel ali PIN-kod, ne glede na vse.

2. Prisluškovanje

Druga nevarna metoda vdora je prisluškovanje. Nevarno je, ker obstaja veliko načinov za to in ni omejitev glede količine informacij, ki jih heker lahko pridobi.

Primeri metod vključujejo vohanje omrežnih paketov za pridobivanje informacij z uporabo programske opreme za analizo omrežja, kot je Wireshark . Drug način je namestitev majhne aplikacije na računalnik ali pametni telefon žrtve, ki beleži vsak pritisk tipke ali zajame vso besedilno komunikacijo.

Druge metode prisluškovanja vključujejo napade "človek v sredini", ki hekerju omogočajo posredovanje informacij dvema stranema, medtem ko menita, da komunicirata neposredno. Omrežja GSM se na primer samodejno povežejo z najmočnejšim signalom, tako da se s ponarejanjem stolpa GSM določenega omrežja vsi mobilni telefoni na tem območju samodejno povežejo s hekerjem in posredujejo svoje podatke skozi njegov sistem.

3. Ugrabitev seje in piškotkov

Brskalniki in aplikacije komunicirajo s strežniki prek sej. Za vzpostavitev seje s strežnikom se mora uporabnik najprej identificirati s kombinacijo prijavnega imena/gesla in po možnosti z dvofaktorsko avtentikacijo. Ko je identiteta uporabnika preverjena, strežnik začne sejo z uporabnikovim brskalnikom, med katero ni potrebno nadaljnje preverjanje, dokler se uporabnik ne odjavi.

Ena majhna težava je, da strežnik shrani piškotek na računalnik overjenega uporabnika ali doda ID seje URL-ju in napiše nekaj takega kot ta uporabnik je pripravljen , razumete, kaj mislim. Težava pa je v tem, da če heker ukrade te piškotke ali ID seje, potem dobi dostop do omejenega okolja, v katerega se je morala žrtev overiti. Nato lahko objavlja, nakazuje denar ali počne karkoli drugega, kar mu je všeč.

To lahko dosežete na več načinov:

1. XSS ali skriptiranje med spletnimi mesti – To vključuje pretentanje žrtve, da klikne povezavo do zakonitega mesta, vendar to vključuje kodo JavaScript, ki ukrade njegove piškotke za to zakonito mesto in jih pošlje hekerjevemu mestu.
2. Vohanje seje – Heker lahko uporabi omrežne vohače, kot je Wireshark, da prestreže informacije o sejah in piškotkih.
3. Fiksacija seje – Napadalec žrtvi pošlje povezavo, ki vsebuje ID seje. Če se žrtev prijavi in ​​sistemu ne uspe ustvariti novega ID-ja seje, lahko heker uporabi isti ID seje tudi za prijavo. Rešitev tukaj je, da sistem po vsaki prijavi vedno ustvari nov ID seje.
4. Donacija seje – Heker se prijavi na zakonito spletno mesto, nato žrtvi pošlje povezavo s podatki o seji in jo prosi, naj posodobi podatke. Žrtev bo videla, da je prijavljen in če ne bo opazil, da to ni njegov račun, lahko vnese občutljive podatke, ki jih lahko heker pozneje ukrade. Ena od rešitev je, da se vedno odjavite, ko končate.

4. XSS in CSRF

Kot že omenjeno zgoraj, XSS pomeni Cross-Site Scripting, medtem ko CSRF pomeni Cross-Site Request Forgery. Tukaj morate upoštevati, da XSS presega običajno krajo piškotkov, saj gre za izvajanje skripta na strani, ki ji žrtev zaupa, medtem ko se povezuje z drugimi, manj zaupanja vrednimi spletnimi mesti.

Žrtvi ni treba biti prijavljena, preverjena ali ukrepati, da bi padla na napad XSS, ki je običajno samodejen. Za CSRF pa mora biti žrtev prijavljena na določeni spletni strani in dodatno ukrepati, na primer klikniti gumb.

Vzemimo za primer, da je žrtev Bob prijavljena na spletno stran svoje banke, nato pa jo nekaj zmoti in pristane na spletni strani, ki ponuja brezplačne počitnice v Macauu. Vse, kar mora storiti, je, da klikne gumb. Ko pa klikne, spletna stran pošlje zahtevo za nakazilo denarja njegovi banki in ker ima aktivno sejo z banko, bi lahko šlo za prenos denarja.

Vse, kar mora napadalec na spletnem mestu, je ustvariti obrazec, namenjen banki, s pravimi polji, kot so:

5. Hotspot Honeypot

Ste kdaj uporabljali brezplačen WiFi za dostop do spleta? Upam, da ste uporabili VPN (navidezno zasebno omrežje), da bi se zaščitili, sicer bi lahko bili žrtev honeypota.

Shema gre takole: heker vzpostavi brezplačno dostopno točko WiFi z vohačem paketov v zakulisju, da brezplačno zbira gesla in druge dragocenosti tistih, ki brskajo po spletu. Nekateri celo vzpostavijo lažne dostopne točke podjetij, kot jih najdete v kavarnah, na letališčih in v restavracijah.

Da bi se izognili takšnim vdorom, se preprosto izogibajte brezplačnim dostopnim točkam ali uporabite VPN, če morate uporabljati javna omrežja WiFi.

6. Surova sila

Napad s surovo silo je poskus prijave v račun žrtve s preizkušanjem vseh možnih kombinacij uporabniškega imena in gesla. Lahko se nanaša tudi na razbijanje algoritma s poskusom čim več ključev.

Kali Linux , priljubljen hekerski operacijski sistem, je opremljen z orodji za grobo silo, kot so John the Ripper , ncrack in Hydra . Na voljo so tudi seznami besed, ki pomagajo pri napadih s slovarjem. Ti vsebujejo seznam najpogostejših gesel in besed iz slovarja, kot so monkey, 12345, mysecretpassword, 00000 in tako naprej.

Metode za izogibanje napadom na silo vključujejo dodajanje captcha na stran za prijavo, omejevanje števila poskusov prijave in uveljavljanje uporabe varnih gesel – 8 znakov ali več, s kombinacijo simbolov, številk ter velikih in malih črk pisma.

7. DoS in DDoS

DoS je kratica za napad zavrnitve storitve (Denial of Service) , DDoS pa za porazdeljeni napad zavrnitve storitve (Disabled Denial of Service) . Cilj je preobremeniti računalniški sistem, na primer strežnik, s toliko zahtevami, da ni več sposoben izpolniti nadaljnjih zahtev – preide v stanje brez povezave.

DoS prihaja iz enega samega stroja in ga je enostavno opaziti in blokirati. DDoS na drugi strani prihaja iz več računalnikov in to je lahko botnet, ki je razširjen po vsem svetu in pogosto izvira iz računalnikov, okuženih z zlonamerno programsko opremo.

Upoštevati morate, da za razliko od večine drugih metod na tem seznamu namen napadov DDoS ni ukrasti ali izvesti zlonamerne kode v računalniku žrtve. Namesto tega se uporabljajo za obleganje poslovnih strežnikov, saj ta podjetja ne morejo nadaljevati svojih storitev, dokler ni plačana odkupnina.

DDoS napadom se najenostavneje izognete z uporabo spletnega gostitelja, ki v ponujenem paketu vključuje DDoS zaščito.

8. Ciljni in neciljani napadi na spletna mesta

Ciljni napad je napad, ki je usmerjen posebej na spletno mesto žrtve, medtem ko se neciljani napad zgodi na spletnem mestu, ker je napadalec izkoristil splošno šibkost programske opreme.

Spletna mesta WordPress so na primer nagnjena k neciljanim napadom, zlasti tista, ki delujejo na starejših, neposodobljenih različicah. Napadalec odkrije izkoriščanje, ki deluje z določeno platformo, različico ali razvojnim okvirom, nato zažene izkoriščanje prek seznama naslovov spletnih mest, ki uporabljajo platformo, da vidi, kateri se zlomijo.

Pri ciljno usmerjenih napadih bo heker porabil nekaj več časa za spoznavanje spletnega mesta žrtve, kar lahko traja od nekaj dni do več mesecev. Ciljni napadi so običajno bolj nevarni in so lahko katastrofalni, zlasti za velika podjetja.

9. Vbrizgavanje SQL

Ko je LulzSec leta 2011 vdrl v strežnike Sony PlayStation Network in ukradel milijon gesel, so operacijo opisali kot preprost vdor z SQL injekcijo.

Vbrizgavanje SQL je dejanje dodajanja direktiv jezika SQL v naslov zahteve spletnega mesta v upanju, da programer ni očistil takšnih potencialno škodljivih vnosov. In ko SQLi deluje, heker pogosto pridobi skrbniški dostop do baze podatkov, kot se je zgodilo pri Sonyju.

Preprečevanje vbrizgavanja SQL je mogoče z uporabo najnovejših različic priljubljenih platform in ogrodij. Vendar pa se bodo tisti, ki gradijo sami, morali osredotočiti na pravilno preverjanje vnosa, uporabo pripravljenih stavkov, shranjenih procedur in skeniranje ranljivosti.

10. Ranljivosti vtičnikov

Poleg osnovnih varnostnih težav s priljubljenimi platformami, kot je WordPress, ki se jim je pogosto mogoče izogniti z nadgradnjo na najnovejše različice programske opreme, lahko vtičniki na drugi strani ustvarijo veliko grožnjo vdora.

V ekosistemu WordPress je več kot 50,000 vtičnikov in vsak predstavlja potencialno varnostno tveganje, saj večina trenutnih vdorov v WordPress izvira iz teh ranljivosti vtičnikov.

Čeprav tukaj ni mogoča 100-odstotna varnost, lahko vseeno izboljšate obrambo spletnega mesta pred ranljivostjo vtičnikov tako, da izberete samo vtičnike najvišje kakovosti z visokimi ocenami. Nato redno izvajajte posodobitve osnovnega sistema in vtičnikov ter se izogibajte uporabi starih tem ali kakršnih koli razširitev.

zaključek

Našteli smo 10 najboljših načinov hekerjev in videli ste njihove vzroke in možne metode preprečevanja. Kot ste verjetno že ugotovili, je vdiranje del računalniškega sveta, zato je treba vedno upoštevati grožnje vdora. 

Če pa se zavedate teh groženj in po potrebi uporabite ustrezne zaščitne ukrepe, lahko tudi vi drastično zmanjšate tveganje za vdor.