مشکل برنامه های وب این است که میلیاردها کاربر اینترنت در معرض آنها قرار گرفته اند!
در اوایل اینترنت ، یکی از متداول ترین روش های حمله نیروی بی رحمانه ساده بود.
ربات ها معمولاً این حملات را انجام می دادند – یا افراد با. وقت آزاد فراوان – که میلیون ها نفر از نام کاربری و رمزعبور را امتحان کرده اند تا زمانی که یکی از مواردی را پیدا کنند که دسترسی به برنامه هدف را فراهم کند.
حملات بی رحمانه به دلیل محدود بودن خط مشی رمز عبور دیگر تهدیدی نیست. تلاش های ورود به سیستم و captcha.
attacks حملات برنامه های وب: چه چیزی است و چگونه باید محافظت شود.
اما مجرمان سایبری دوست دارند فناوری های جدیدی را کشف کرده و از آنها برای انجام انواع جدیدی از حملات استفاده کنند.
روزی روزگاری آنها دریافتند که می توان با وارد کردن متن در آنها ، زمینه های متنی را در برنامه ها یا صفحات وب استفاده کرد که باعث می شود برنامه آنچه را که باید انجام نمی داد را انجام دهد.
بنابراین ، حملات به اصطلاح تزریق
حملات تزریق می تواند استفاده کند نه تنها برای وارد کردن برنامه بدون دانستن نام کاربری و رمز عبور ، بلکه همچنین برای افشای خصوصی ، محرمانه یا حتی برای به دست گرفتن کل سرور.
به همین دلیل این حملات نه تنها برنامه های وب بلکه همچنین کاربرانی که آنها را تهدید می کنند.
تزریق کد
تزریق کد یکی از متداول ترین انواع حملات است.
[19459012اگرمهاجمانیکزبانبرنامهنویسیمیدانند،تور،بانکاطلاعاتییاسیستمعاملمورداستفادهبرنامهوب،آنهامیتوانندکدراازطریقفیلدهایورودیمتنواردکنندتاسروروبراواداربهانجامآنچهگفتهاست
این نوع از حملات تزریق در برنامه هایی که اعتبار ورودی ندارند امکان پذیر است.
اگر قسمت ورودی متن به کاربران امکان می دهد هر آنچه را می خواهند وارد کنند ، برنامه به طور بالقوه می تواند به خطر بیفتد.
برای جلوگیری از حمله به این نوع ، برنامه باید سرکوب کند ناشناس کردن ورودی از کاربران.
برای مثال ، شما باید مقدار داده های مورد انتظار را محدود کنید ، قالب داده را بررسی کنید و مجموعه کاراکترهای مجاز را محدود کنید.
آسیب پذیری های موجود در تزریق کد را می توان با آزمایش ساده ورودی متن در برنامه های وب با انواع مختلف محتوا ، آسان یافت.
آسیب پذیری های کشف شده برای بهره برداری دشوار است. ] اما اگر مهاجمی بتواند از یكی از این آسیب پذیری ها سوء استفاده كند ، این می تواند به از بین بردن محرمانه منجر شود یکپارچگی ، در دسترس بودن یا عملکرد برنامه.
تزریق SQL
مانند حمله کد ، این حمله اسکریپت SQL – زبانی را که اکثر پایگاه داده ها برای انجام عملیات پرس و جو از آن استفاده می کنند – وارد قسمت ورودی متن می کند.
اسکریپت ] به برنامه ارسال می شود ، که آن را مستقیماً در پایگاه داده خود اجرا می کند.
در نتیجه ، یک مهاجم می تواند از طریق صفحه ورود به سیستم یا انجام اقدامات خطرناک تر ، مانند خواندن داده های محرمانه به طور مستقیم از پایگاه داده خود ، تغییر کند.
برنامه های PHP و ASP به دلیل واسط های عملکردی قدیمی خود در برابر حملات تزریق SQL آسیب پذیر هستند.
برنامه های J2EE و ASP.Net معمولاً محافظت می شوند از این حملات.
هنگامی که آسیب پذیری های تزریق SQL کشف شد – و به راحتی می توانید آنها را پیدا کنید – دامنه حملات احتمالی فقط با توانایی و تخیل مهاجم محدود خواهد شد.
بنابراین ، تأثیر بدون شک حملات با استفاده از تزریق SQL بسیار عالی هستند.
دستورات تزریق [19659030] این حملات نیز ممکن است ، عمدتاً به دلیل عدم تأیید ورودی کافی.
آنها در حملات تزریق کد متفاوت هستند زیرا یک مهاجم به جای قطعات برنامه برنامه یا اسکریپت ، دستورات سیستم را وارد می کند. ] بنابراین ، هکر نیازی به دانستن زبان برنامه نویسی که برنامه در آن مستقر است یا زبانی که از این پایگاه داده استفاده می شود نیست.
اما وی باید سیستم عامل مورد استفاده سرور میزبان را بشناسد.
دستورات سیستم توسط سیستم عامل میزبان با امتیازات برنامه هایی که می توانند دسترسی به محتویات پرونده های دلخواه مستقر در سرور ، نمایش ساختار دایرکتوری سرور ، تغییر رمزهای عبور کاربر و غیره را فراهم کنند.
این حملات توسط مدیر سیستم قابل پیشگیری است. با محدود کردن سطح دسترسی به سیستم برنامه های وب در حال اجرا بر روی سرور.
اسکریپت Crossite
هر وقت یک برنامه به کاربر اجازه می دهد تا بدون بررسی یا رمزگذاری آن ، خروجی تولید شده خود را وارد کند. یک مهاجم برای ارسال کد مخرب به کاربر نهایی است.
حملات اسکریپت های متقاطع (XSS) از این ویژگی ها سوء استفاده می کنند تا اسکریپت های مخرب را به وب سایتهای قابل اعتماد تزریق کنند که در نهایت برای سایر کاربران برنامه ارسال شده که قربانی یک مهاجم می شوند ، ارسال می شوند. مرورگر قربانی اسکریپتی مخرب را اجرا می کند بدون اینکه به آن اعتماد کرد.
بنابراین ، مرورگر به آن اجازه می دهد تا به نشانه های جلسه ، کوکی ها یا اطلاعات محرمانه ذخیره شده در مرورگر دسترسی پیدا کند.
با یک برنامه صحیح اسکریپت ها حتی می توانند محتوای یک فایل HTML را بازنویسی کنند.
حملات XSS معمولاً به دو دسته ذخیره شده و دفع می شوند.
در XSS- ذخیره شده. اسکریپت مخرب به طور مداوم در سرور هدف ، در استخر پیام ، پایگاه داده ، در بازدید از سایت و غیره قرار دارد.
قربانی آن را دریافت می کند وقتی مرورگر اطلاعات ذخیره شده را درخواست می کند.
در حملات XSS دافع ، یک اسکریپت مخرب در یک پاسخ که شامل ورودی است که به سرور ارسال می شود ، منعکس می شود.
این به عنوان مثال می تواند یک پیام خطا یا نتیجه جستجو باشد.
XPath injection
این نوع حمله هنگامی امکان پذیر است که برنامه وب از اطلاعات ارائه شده توسط کاربر استفاده کند ، برای ایجاد یک درخواست XPath برای داده های XML.
این حمله بطور مشابه با تزریق SQL عمل می کند: مهاجمین برای تحقق این که چگونه داده های XML ساختار یافته است ، اطلاعات تحریف شده را به برنامه می فرستند و دوباره برای دستیابی به این داده ها دوباره حمله می کنند.
XPath یک زبان استاندارد است که با آن ، مانند SQL ، می توانید ویژگی های مورد نظر خود را پیدا کنید.
برای جستجوی داده های XML ، برنامه های وب از ورودی کاربر استفاده می کنند تا الگویی را که باید مطابقت داشته باشد تنظیم کنند.
با ارسال ورودی نادرست ، این الگوی ممکن است به عملیاتی تبدیل شود که یک مهاجم بتواند از آن استفاده کند.
تعبیه دستورات پستی
از این روش حمله می توان برای سرورهای پستی و برنامه هایی که عبارت IMAP یا SMTP با ورودی کاربر معتبر درست ایجاد می کنند.
بعضی مواقع سرورهای IMAP و SMTP از محافظت قابل اعتماد در برابر حملات برخوردار نیستند ، مانند این مورد در بیشتر سرورهای وب ، و بنابراین می تواند آسیب پذیرتر باشد.
مهاجمان می توانند در هنگام دسترسی به سرور نامه ، محدودیت هایی مانند captcha ، تعداد محدودی درخواست و غیره را دور بزنند. .
اگر سرور آسیب پذیر باشد ، به درخواست های مخرب پاسخ می دهد ، به آنها اجازه می دهد ، برای مثال ، محدودیت های سرور را نادیده بگیرند و از خدمات خود برای ارسال اسپم استفاده کنند.
CRLF injection
درج کاراکترها و ترجمه یک خط – ترکیبی که با نام CRLF شناخته می شود – به قسمت های ورودی فرم وب یک روش حمله به نام تزریق CRLF است.
این شخصیت های نامرئی نشانگر پایان یک خط یا پایان یک دستور هستند. در بسیاری از پروتکل های سنتی اینترنتی مانند HTTP ، MIME یا NNTP.
به عنوان مثال ، قرار دادن CRLF در یک درخواست HTTP و به دنبال آن کد HTML خاص ، می تواند صفحات وب کاربر را برای بازدید کنندگان وب سایت ارسال کند.
این حمله می تواند روی برنامه های وب آسیب پذیر که استفاده نمی کنند انجام شود. فیلتر مناسب برای ورودی کاربر.
این آسیب پذیری در را برای انواع دیگر حملات تزریق مانند XSS و تزریق کد باز می کند.
تزریق سرصفحه میزبان
سرورهای میزبان وب سایت های مختلف یا برنامه های وب ، عنوان برای تعیین اینکه کدام یک از وب سایتهای ساکن یا برنامه های وب که هرکدام به عنوان میزبان مجازی شناخته می شوند ، لازم است سایت درخواست ورودی را پردازش کند.
مقدار هدر را اطلاع می دهد. به سرور میزبان مجازی برای ارسال درخواست.
وقتی سرور یک هدر میزبان نامعتبر را دریافت می کند ، معمولاً آن را به اولین میزبان مجازی در لیست منتقل می کند.
این آسیب پذیری است که مجرمان سایبری می توانند از آن سوء استفاده کنند [ویرایشعنوانهایمیزبانخودسرانهبهاولینمیزبانمجازیرویسرور
تزریق LDAP
LDAP پروتکل است که به منظور تسهیل جستجوی منابع (دستگاه ها ، پرونده ها ، کاربران) در شبکه طراحی شده است.
برای اینترانت بسیار مفید است ، و هنگامی که به عنوان بخشی از یک سیستم ورود به سیستم واحد استفاده می شود ، می تواند از آن برای ذخیره نام کاربری و کلمه عبور استفاده شود.
از نمایش داده شد LDAP شخصیت هایی که بر مدیریت وی تأثیر می گذارند
اگر مهاجمان بتوانند شخصیتهای کنترل را در آن وارد کنند ، مهاجمان می توانند رفتار مورد نظر یک درخواست LDAP را تغییر دهند. اینترنت.
مسئولیت جلوگیری از این حملات بین توسعه دهندگان برنامه ها و سرورهای سرور مشترک است.
توسعه دهندگان برنامه باید خطرات مرتبط با تأیید نادرست کاربر را درک کنند. ورودی و یادگیری بهترین روشها برای تمیز کردن ورودی کاربر به منظور جلوگیری از خطرات.
سرورها باید به طور دوره ای سیستم های خود را بررسی کنند تا آسیب پذیری ها را شناسایی کرده و در اسرع وقت برطرف کنند.
گزینه های بسیاری برای انجام این ممیزی ها ، چه به صورت درخواست و چه به صورت خودکار وجود دارد.