U proteklih 10 godina, hakeri su hakovali skoro pet milijardi naloga na društvenim mrežama iz cijelog svijeta. Podatke je objavio programer Microsoft Security Troy Hunt i on svakodnevno ažurira ove statistike. Često, sam korisnik daje sve podatke sajber kriminalcu, a to ni ne shvaća. Imaju li hakeri etiku, zašto je bolje šutjeti na društvenim mrežama i zašto je mnogo lakše “hakovati” osobu nego kompjuter Učili smo od hakera sa 20 godina iskustva, koji je dao intervju pod uslovom anonimnost.
O etici i crnim provalnicima
Ne volim da me nazivaju hakerom, jer ta riječ nosi istu vještački formiranu negativnu konotaciju kao i riječ "pirat". I uključuje sve - od onih koji krše autorska prava koji zarađuju do samohranih majki koje preuzimaju obrazovne lekcije.
Danas su "laki" hakeri (pomažući programerima da pronađu slabe tačke u programima. - Pribl. ed.) više nego "crno". Ovo je teže i zahtijeva više kvalifikacija. A među „mračnim“ sajber hakerima, ne mogu se svi nazvati kriminalcima.
Svako ima svoj motiv: želju za zaradom, sportski interes ili visoke ciljeve. Možete otvoriti podatke koje bi, po mišljenju neke osobe, definitivno trebalo objaviti objavljivanje prepiske na WikiLeaks-u nije loša stvar.
Ako je haker koristio informacije za ličnu korist, ja imam negativan stav prema njemu. Ja sam više etički haker. Želio bih oživjeti RuLeaks - ovo je analog WikiLeaksa na ruskom jeziku.
Pravi profesionalci hakovanja su mladi momci od 18 godina. Ne jure za profitom, koriste kompjutere od djetinjstva i rade brže od mnogih državnih stručnjaka. Nemaju šta da izgube, nemaju psihološka ograničenja.
O "vlastitoj koži"
Zahvaljujući filmovima, sajber hakera zamišljamo ovakvog: društveno neprikladnog čovjeka sa kapuljačom, duge kose i brade. Ne izgledam drugačije od uobičajenog "kancelarijskog planktona".
Moj službeni rad nije vezano za IT. Nikad ne hakiram kod kuće - sigurnije je to raditi u kancelariji. Kućni Internet Registrujem se kod provajdera koristeći podatke iz pasoša, a firma u kojoj radim sve obrađuje na njeno ime. Kod kuće ću sam otvoriti vrata policiji, koja će mi oduzeti opremu, a u firmi imam vremena da prikrijem tragove. Kod kuće ugrožavam cijelu svoju porodicu, u društvu ugrožavam samo sebe. Moji rođaci ne znaju za moj „hobi“. Narudžbe primam samo preko Darkneta, bez ličnih sastanaka ili prepiske.
O prvom iskustvu - kao o prvom poljupcu
Prva saznanja o IT-u dobio sam iz knjiga “Klasici računarstva” i časopisa “Haker”. Zatim su se pojavili onlajn kursevi sa Coursere, kursevi sa američkih univerziteta i Khan akademije. Informatika se praktično nije predavala u školi.
Radujem se modernim tinejdžerima i zavidim im - uhvatili su eru otvoreni internet sa neograničenim izvorom informacija. Ali vidimo da se ovo doba završava, globalna mreža Sve više ljudi želi da budu gurnuti u granice.
Prije pojavljivanja neograničen internet ljudi povezani sa provajderima sa lokalna mreža i dijeljenje datoteka. Mnogi korisnici su nesvjesno otvorili pristup ličnim mapama, i bio je grijeh ne iskoristiti to. Daljinski sam se povezao sa nečijim računarom, otvorio Notepad na njegovoj radnoj površini i počeo da pišem uputstva „kako da se zaštitiš od hakovanja“. Čovjek je možda bio ogorčen takvim bezobrazlukom, ali mi se onda zahvalio. Stoga je moje prvo hakersko iskustvo bilo vrlo etično.
Kada je internet postao dostupan, milioni, uglavnom tinejdžeri, shvatili su kako bi bilo super znati tajne prijatelja i ljubavnika.
Prijedlozi da „hakujem Svetinu stranicu“ slali su mi na desetine puta svaki dan. U to vrijeme davali su dobre pare za hakovanje. Koristio sam ga. Prošle su godine, a takvi zahtjevi se i dalje primaju, ali od ljudi od 40-50 godina. Ne usuđujem se - nije zanimljivo.
O ljudskoj naivnosti
Ne želim da pričam detaljno o svojoj prvoj ozbiljnoj narudžbi iz bezbednosnih razloga. Ukratko, bilo je potrebno dobiti bazu podataka o zaposlenima jedne kompanije. Biznismeni skupljaju prljavštinu jedni na druge na način da jednog dana unište konkurenta, a zatim preuzmu i „obnove finansijsku poziciju“ kompanije.
Nisu bile sve informacije otvoreni pristup, ali sam pronašao uposlenika koji je dostavio opći imenik, u njemu su bili kontakti koji su mi bili potrebni, a oni su već “procurili” u bazu podataka.
Kompanije troše mnogo novca na sajber sigurnost, ali ne razumiju da su glavna rupa zaposleni. Menadžment ne mari za osoblje, snižava im plate i zapravo ih tjera da rade nešto prljavo.
Hakeri to iskorištavaju. Dovoljno je da se predstavite kao zaposlenik drugog odjela, razgovarate, izvršite pritisak - to je to, osoba će vam reći i poslovnu tajnu i lične podatke. Ova metoda se naziva "socijalni inženjering" (kontrola nečijih postupaka na osnovu slabosti njenog karaktera. - Ed.).
O snimljenim web kamerama
Redovni korisnik možda neće dodatno zaštititi vaš računar i gadžete. Hakera ne zanima obična osoba, osim da se smije. Ali neki idu do tačke apsurda i prekrivaju web kameru trakom, iako je logičnije zatvoriti poklopac laptopa. Ali ne biste trebali zanemariti svoj antivirus. U najmanju ruku, obavijestit će vas da je bolje ukloniti fleš disk i ne uhvatiti virus.
O metodama zaštite
Lako je hakirati račun i ne košta više od čaše kafe i kolačića, čak i ako osoba koristi dvostruka autentifikacija(prva prijava je unos vaše prijave i lozinke, druga je rezervni kod ili odgovor na pitanje. - Pribl. ed.). Čovjek je, ne znajući, objavio savjete negdje na internetu. Češće mijenjajte lozinke, smišljajte složene kombinacije slova i brojeva, ali ne s datumom rođenja. Nemojte koristiti generatore lozinki, usluge skladištenja ili ih zapisivati na papir. Imajte na umu - haker neće prodrijeti tamo.
Još jedna prilika da te hakujem - koristeći Wi-Fi V na javnim mestima. Na zahtjev Roskomnadzora, pristup mreži kontroliraju vlasnici prodajnih mjesta i oni lako mogu „procuriti“ informacije.
Dobar primjer- Internet u metrou. Nikada nemojte koristiti internet u metrou. Kao da si tamo gol.
Siguran sam da niko ne čita ugovor prilikom instaliranja aplikacija ili registracije na web-stranici, radije svi čekiraju okvir. Pročitajte ako nemate povjerenja u resurs, jer možda pristajete na prijenos podataka o vama trećim stranama.
Ali najviše efikasnu zaštitu od hakovanja - razmislite svojom glavom svaki put kada nešto objavite na internetu. Ljudi se izlažu kada pričaju o životu.
Ovo pitanje postavlja se mnogim momcima tokom njihovog prvog istraživanja mreža, programa i algoritama. Ako razmišljate o kako postati haker, a ovo je ozbiljno, da vam se rukujem - vaš istraživački pristup je respektabilan!
Prvi put sam razmišljao o tome kako da postanem haker kada sam imao 17 godina, ne sećam se šta me je navelo da unesem ovaj zahtev u pretraživač, ali pretpostavljam da moje misli nisu bile najčistije... Od tada je prošlo mnogo godina, promijenio sam se, a i moje težnje. Sada me zanima programiranje i kreiranje ozbiljnih web projekata. Tim koji je kreirao ovaj sajt se raspao... A sam koncept sajta je pretrpeo promene.
Pretražujući internet stranice i forume o temama sličnim našoj stranici, vrlo često nailazim na sljedeća pitanja i zahtjeve: “ recite mi gdje mogu dobiti proxy?», « gdje mogu dobiti proxy za Brute?» , « neko objavi radne proksije" itd. Zapravo, to me je dijelom potaklo da napišem članak o tome kako možete na svoju ruku,bez ičije pomoći,traži ove "ozloglašene" proxy...
Šta je XSS?
XSS, prema legendi drevnih Hakera, prevodi se kao cross-site scripting (Cross Site Scripting). Pažljivi čitalac će primijetiti te skraćenice XSS I CSS donekle se razlikuju jedni od drugih, a evo s čime je to povezano.
Mnogo prije otkrića takve metode napada kao što je XSS(Do najmanje prije XSS počeo se zvati upravo tako), uveli su web dizajneri CSS standard (Cascading Style Sheets), koji im je pomogao da se pokažu i učine svoje stranice drugačijima od drugih, koristeći iste, zapravo, html oznake. Stoga, prilikom klasifikacije XSS napadima, odlučeno je da se prvo slovo u riječi Križ zamijeni sa X („Krist“ je također preveden kao „Krist“) Pogledajte detalje Kupite sadnice ribizle na našoj web stranici. . I tako je krenulo.
Da biste pravilno razumjeli materijal, morate imati barem najmanje poznavanje jezika za označavanje hiperteksta i općenito grubo razumijevanje komunikacije između pretraživača i web servera. Reći ću i to ovu metodu Napad u cjelini nije komplikovan i prilično je podnošljivo predstavljen u okviru jednog članka. Ako se nešto "ne razumije", znači ili nemate dovoljno mozga, ili nemate dovoljno piva. Ako još možeš bez prvog, onda ne znam ni bez drugog... Zavisi od koga. =)
Često se dešava da nam je od vitalnog značaja da pronađemo osobu na internetu, znajući minimum informacija o njoj. Takva se želja može opravdati žarkom ljubavlju, žeđom za osvetom itd. Poteškoća, po pravilu, leži u činjenici da vidljiva jedinstvenost pojedinca koja nam je potrebna možda i ne postoji.
Mislim, moglo bi biti milion ljudi pod korisničkim imenom Alex. A pronaći tog istog Aleksa nije lako, iako je moguće.
Po pravilu, svaki dan, a zapravo više puta, moramo se suočiti s potrebom korištenja sredstava tražilice, za sve informacije. Jeste li ikada pomislili da se web stranice i forumi u mnogim slučajevima pokvare uz pomoć pretraživanja? Od čega vlasnik portala želi da se sakrije radoznale oči, često ostaje otvoren za radoznali bot za pretraživanje. I njegovi podaci postaju javno poznati. Kako hakirati web stranicu koristeći google.com, i koliko je to realno, sada ćemo detaljnije pogledati... U teoriji i praksi.
Dana 5. oktobra 2016. godine, na jednom od meda koji pripada istraživačkoj grupi Rapidity Networks, sumnjiv saobraćaj. Po svemu sudeći, činilo se da je još jedan Mirai klon upao u zamku - simptomi infekcije su izgledali slični. Međutim, nakon detaljnijeg pogleda, postalo je jasno: istraživači se bave nečim fundamentalno novim.
Na godišnjoj konferenciji kompanije Check Point U Beču smo se sastali sa šefom istraživačkog odjela kompanije Yanivom Balmasom. Yaniv je Hackeru ispričao kako interni istraživači pomažu Check Pointu da bude u toku s novim prijetnjama, a također je otkrio detalje nedavnog hakovanja WinRAR-a, koji se dogodio pod njegovim vodstvom.
Trojanci sa ugrađenim keyloggerom i funkcijama za krađu kritičnih podataka jedan su od najstarijih vrsta zlonamjernog softvera. U ovom članku ćemo pogledati najpoznatije predstavnike komercijale špijunski softver i razgovarati o zaštitnim mjerama.
U ovom materijalu ćete naučiti kako, uz pomoć post-eksploatacijskih uslužnih programa za Linux servere, hakeri prodiru unutar zaštićenog korporativnog perimetra, zaobilaze desetke firewall-a i honeypota, manipuliraju sistemom, dajući sebi root prava i na kraju propuštaju sve podaci.
Specijalisti iz Google Project Zero je pronašao nekoliko opasnih ranjivosti u Ghostscript-u, popularnoj implementaciji PostScript-a. Dobro oblikovana datoteka može dozvoliti izvršavanje proizvoljnog koda na ciljnom sistemu. Biblioteka Pillow, koja se često koristi u Python projektima, uključujući i web, također je ranjiva. Kako ga koristiti? Hajde da to shvatimo.
Kao što znate, operativne sisteme razvijaju ljudi. Neki ljudi su, međutim, sigurni da su Android kreirali reptili: in mobilna platforma Google je danas otkrio mnoge greške koje se mogu koristiti za neovlašteni pristup sistem podataka pametnog telefona i za distribuciju zlonamjernog softvera.
U prethodnim člancima upoznali smo se s dvije glavne vrste hakerskih alata: disassembler i debugger. Prvi je za statičko učenje softvera, dok je drugi za dinamičko učenje. U trećem članku iz serije nastavit ćemo proučavati duboko bušenje koda drugih ljudi.
Sigurno ste barem jednom primili e-mail sa linkom do sumnjive arhive. Autori ovakvih pisama čine sve da nepažljivi korisnik klikne na link i dozvoli zarazu svog računara. Slično pismo je stiglo i mom prijatelju, pa je on postao jedna od žrtava. A o kakvom se malveru radilo, otkrićemo zajedno.
Najbolja praksa Zaštita mobilnih aplikacija je prijenos koda koji je odgovoran za kriptografiju, pohranjivanje ključeva za API-je i provjeru integriteta sistema u izvorne biblioteke. Ovo značajno povećava kompleksnost analize sigurnosti aplikacije, postavljajući sve više zahtjeva pred istraživača. Ali da li je to zaista tako?
Tokom rutinskog testiranja mobilna aplikacija Odjednom se pokazalo da možete instalirati program na uređaj sa Androidom 6.0 tako da se ne može ukloniti redovnim sredstvima. Momci iz Google-a ne smatraju ovu grešku kritičnom i čini se da nemaju nikakve planove da je poprave, pa hajde da shvatimo kako radi za sebe.
Vrijeme je da u arhivu povijesti pošaljemo staru šalu da zlonamjerni softver za Linux prvo mora biti kompajliran iz izvora, uvjerite se da sistem ima sve potrebne biblioteke, a tek nakon toga pokušajte da ga pokrenete, nakon što ste mu prvo dali root prava. Sada je tržište puno pametnih uređaja sa Linuxom, i oni su postali jedna od omiljenih meta kreatora virusa. Na čemu se zasniva ovaj interes i kako funkcionišu takvi malveri?
U GitHub klijentu za macOS prije verzije 1.3.4 beta 1, bilo je moguće pozvati daljinsko izvršenje proizvoljne komande jednostavnim klikom na posebno generiranu vezu. U ovom članku ću govoriti o uzrocima i metodama iskorištavanja ove ranjivosti.
Jedi različiti pristupi na analizu sigurnosti aplikacija, ali prije ili kasnije sve se svodi na proučavanje interakcije programa sa API-jem. Upravo ova faza pruža najviše informacija o radu aplikacije, korištenim funkcijama i prikupljenim podacima. Ali šta ako je aplikacija zaštićena SSLPinningom i zaštita je implementirana na sloju? Hajde da vidimo šta se može učiniti u ovom slučaju.
U ovom članku moramo savladati dug lanac prepreka na putu do željenog korijena. Na putu smo unutra različite opcije Otkrit ćemo ranjivosti kao što su LFI, RCE i eskalacija privilegija. A mi ćemo vježbati na virtuelnoj mašini ch4inrulz: 1.0.1 dobijenoj od VulhHub-a.
U OFFZONE-u je bio niz zadataka na pametnoj kartici sa ISO/IEC 7816 interfejsom. su u stanju da to urade.” Uspjeli smo to učiniti, a iz ovog članka ćete saznati kako.
Ranjivost vezana za deserializaciju PHP-a otkrivena je u poznatom forumskom mehanizmu phpBB. Kao rezultat netačna provjera podešavanja, napadač može sačuvati fajl sa proizvoljnim sadržajem na ciljnom sistemu i na taj način dobiti izvršenje proizvoljnih komandi i kompromitovati server. Ovdje ću detaljno analizirati svaki aspekt otkrivenog problema i pokazati kako ga iskoristiti.
Generisanje korisnog tereta je sastavni dio rada. Kada koristite Metasploit module, teret se generiše automatski, samo odaberite tip i postavite neke varijable. U ovom članku ćemo pokušati razumjeti ulogu enkodera u binarnom radu i pogledati nekoliko stvarni primjeri kodiranje na borbenim podvizima.
IN moderne verzije Microsoft Kancelarijski dokumenti po defaultu se čuvaju u formatu zasnovanom na Office Open XML, ali Microsoft ne prati sve otvoreni standard. Microsoftova verzija se često naziva MOX, Microsoft Open XML. Sadrži neke slobode koje stvaraju sigurnosne rizike. Danas ćemo detaljno ispitati jedan od njih - još uvijek nije zatvoren u vrijeme pisanja.
U ruterima koji su smatrani među najboljima i koji se često koriste u industrijske svrhe, ozbiljne ranjivosti se iznenada otkrivaju jedna za drugom. U ovom članku ćemo pogledati najnovije ozbiljne rupe, potražiti razloge za njihovu pojavu i reći vam kako se zaštititi.
Svaki obrnuti inženjering, analitičar virusa i jednostavan istraživač na kraju razvije uspostavljeni skup uslužnih programa koje stalno koristi za analizu, raspakivanje ili razbijanje. U ovoj recenziji ću podijeliti svoju verziju. Ovo će biti korisno svima koji još nisu nabavili vlastiti set i tek počinju proučavati ovu temu. Međutim, čak i iskusan reverser bi trebao biti znatiželjan šta koriste kolege u radnji.
Ne sumnjam da ste čuli za uslugu kreiranja i čuvanja Evernote bilješke. IN klijentska aplikacija Evernote za Windows ima pohranjenu XSS ranjivost koja može dozvoliti proizvoljno izvršavanje koda na korisnikovom ciljnom sistemu.
Osim rastavljanja, postoji još jedan način proučavanja programa - otklanjanje grešaka. Otklanjanje grešaka je prvobitno značilo izvršavanje koda korak po korak, koje se naziva i praćenje. Danas su programi toliko nabrekli da je njihovo praćenje besmisleno - interaktivni rastavljač (na primjer, IDA) je učinkovitiji u proučavanju algoritma programa.
Uspjeh penetracijskih testova u velikoj mjeri ovisi o kvaliteti profila žrtve. Koje usluge i softver koristi? Na kojim portovima i protokolima ima otvorene veze? Sa kim i kako komunicira? Veliki dio ovih informacija može se dobiti od otvoreni izvori. Hajde da vidimo šta treba da se uradi za ovo.
Dešava se da morate da se povežete na Wi-Fi a da ne znate lozinku - recimo, kada sedite u kafiću i stidite se da pitate, ili, na primer, kada ste angažovani da sprovedete pentest mreže organizacije. WPS tehnologija već dugo pomaže hakerima u oba. U ovom članku ćemo pogledati kako samostalno implementirati napad na osnovu slabosti WPS algoritama za generiranje PIN-a.
Ako zamislite da Sjeverna Koreja ima oko tri kompjutera, na jednom od kojih Kim Jong-un igra League of Legends, a na drugom odmara noge, onda se varate. Sjevernokorejski hakeri su sada u vijestima za velike hakere, zajedno s Rusima i Kinezima, a njihovi uspjesi su impresivni.
Antivirusne baze podataka sadrže milione potpisa, ali trojanci i dalje ostaju u hakerskom arsenalu. Čak i javne i dobro poznate varijante Metasploit korisnih podataka, RAT varijanti i kradljivaca mogu ostati neotkrivene. Kako? Hvala zamagljivanju! Čak se i PowerShell skripta može sakriti od znatiželjnih očiju antivirusa.
U ovom članku ćemo govoriti o nekoliko ranjivosti na serveru aplikacija Oracle WebLogic, napisane u Javi. Ovaj proizvod je nevjerovatno popularan u poslovnom okruženju i stalno se nalazi na perimetru različite kompanije od malih do velikih. Ranjivosti su kritične i omogućavaju napadaču da izvrši proizvoljan kod na ciljnom sistemu.
Prije petnaest godina, epsko djelo Chrisa Kasperskyja Osnove hakiranje" je bila referentna knjiga za svakog istraživača početnika u ovoj oblasti kompjuterska sigurnost. Urednici "Hakera" pokušali su da ažuriraju ovaj obimni rad i da ga pomjere iz vremena Windows 2000 i Visual Studio 6.0 in Windows vremena 10 i Visual Studio 2017.
Danas ćemo hakovati virtuelne mašine sa VulnHub-a - resursa koji pruža slike operativni sistemi sa uslugama u kojima su ranjivosti „očvršćene“. Stvorena je da bi svi mogli da prime praktično iskustvo u oblasti digitalna sigurnost i mrežnu administraciju. Sve što trebate učiniti je preuzeti sliku virtualne mašine, ispravno konfigurirati mrežu i pokrenuti je.
Ujutro 14. avgusta, grupa Anonymous International preuzela je Tviter nalog ruskog premijera Dmitrija Medvedeva. Ovo je daleko od prvog i sigurno nije poslednji slučaj kada stranci dobiju pristup vašem računu poznata osoba na društvenoj mreži. Iako se to dešava prilično često, malo ljudi zna tačno kako napadači postižu svoj cilj. Look At Me je otkrio koje metode hakera hakeri najčešće koriste.
Za hakere, hakovanje naloga je jedna od najuzbudljivijih aktivnosti, koja im daje ogroman prostor za kreativnost. Mnogi to rade kako bi testirali svoje vještine, drugi traže finansijsku dobit. Štaviše, nije uvijek potrebno nešto hakovati. Bez obzira koliko se članaka pojavi o tome koliko je važno odabrati jaka lozinka, bezbednosna kultura na Internetu je generalno niska. Korisnici interneta biraju isto jednostavno kodne riječi za različite stranice, slijedite sumnjive veze iz neželjene pošte i u osnovi odbijajte upravitelje lozinki. Napadači obično koriste sljedeće metode:
Phishing. Korisnik je namamljen na sajt koji se pretvara da je stvaran i od njega se traži da unese lozinku, koja „procuri“ do napadača;
Zlonamjerno softver(malware). Takav softver se postavlja na hakovane sajtove ili šalje na nedovoljno zaštićene sisteme;
Društveni inženjering. Ponekad se lozinka može otkriti, a posebno lakovjerni korisnici mogu je sami reći napadaču: na tome je izgrađen čitav sloj sistema za prevaru na Internetu;
Odabir lozinke. Sa korisničkim informacijama koje je lako pronaći na društvenim mrežama, možete pokušati pogoditi lozinku. Također možete automatski sortirati velika količina opcije, koristeći asocijativnu bazu podataka ili tehniku napada iz rječnika, kada su kombinacije koje nisu riječi isključene, a verbalne kombinacije se modificiraju na način na koji većina ljudi voli - zamjenjujući slova sličnim brojevima.
Vladimir Ivanov
Zamjenik šefa operativnog odjela u Yandexu
Napadači sve više počinju koristiti lažne stub stranice kontrolisane mreže WiFi
Kada su u pitanju ciljani napadi - oni u kojima je žrtva javna ličnost ili ima pristup osjetljivim informacijama - može se koristiti mehanizam koji se naziva pojilo. Žrtva je namamljena na njemu poznato mjesto, ali koristeći različite metode. Recimo da se može povezati javna mreža Wi-Fi pod kontrolom napadača. U njemu se korisnik automatski usmjerava na phishing stranicu, sličnu poznatoj društvenoj mreži, ili jednostavno na stranicu sa zlonamjernim kodom, koja se, na primjer, može postaviti na stranicu dobrodošlice za prijavu na Wi-Fi mrežu. Sve više napadači počinju da koriste lažne stub stranice u kontrolisanim Wi-Fi mreže: Ruski korisnici Oni su već navikli da vide poruku “Sajt je blokiran na zahtjev nadležnih” i ne sumnjaju da je malver instaliran uz njegov prikaz.
Neiskusni korisnici često koriste istu lozinku na nekoliko stranica ili u nekoliko programa. U ovom slučaju, hakiranjem jedne baze podataka lozinki ili krađom lozinke sa jednog sajta, napadač dobija pristup drugom, možda vrednijem resursu. Pored samog hakovanja naloga, mogu postojati situacije u kojima lozinka nije kompromitovana, ali napadači i dalje mogu da deluju u ime korisnika. Sigurno su mnogi naišli na priliku da se „prijave na stranicu“ koristeći Facebook, Twitter ili VKontakte. Klikom na takvo dugme, korisnik se nalazi na stranici društvene mreže na kojoj ga se pita da li veruje ovom sajtu treće strane. Ponekad je među radnjama za koje stranica treće strane traži da dozvolite objavljivanje novih poruka u ime korisnika. Kao rezultat toga, napadači ne moraju hakovati Twitter, na primjer, da bi objavili tvitove.
Ponekad hakeri iskoriste greške ili nedostatke na web stranicama. Dakle, prije nekog vremena na Twitteru je objavljena ranjivost: zaštita od grube sile nije uključena u Firehorse API, metodu koju koriste Twitter partneri za preuzimanje velikih količina tvitova. Nisam siguran da li je ranjivost u trenutno, ali ova priča ilustruje mogućnost grešaka programera koje i dalje dozvoljavaju napadačima da efikasno pretvore lozinke. Vjerujem da ovdje ne možemo govoriti o nedjelotvornom algoritmu koji su lukavi napadači uspjeli zaobići, već o administrativnoj grešci zbog koje algoritam jednostavno nije funkcionirao.
IN savremeni svet Prijava na društvenu mrežu može biti važnija od prijave putem e-pošte. Poštanski sistemi stekli su veliko iskustvo u borbi protiv uljeza, a korisnici više vremena provode u interfejsu društvenih mreža nego u pošti. Dakle, sve zavisi od situacije: da li napadač napadne platformu zasnovanu na email za oporavak lozinke, hakovanje poštansko sanduče može izgledati poželjnije (malo je vjerovatno da će to učiniti direktno - grubo prisiljavanje lozinki je trenutno djelotvorno samo za male web stranice). Međutim, društvena mreža može biti vrijedna sama po sebi, a napad na e-poštu može biti skuplji od napada na društvenu mrežu, telefon ili računar korisnika. Naravno, pametan napadač će izabrati najpristupačniji cilj.
Osim ako niste šef vlade neke države, važno je da vaša lozinka bude dovoljno složena da napadači izaberu drugu metu. Ali ako posjedujete važna informacija ili samo poznata ličnost, uvijek je bolje da među ljudima koji vas štite ne budu samo oštri strijelci, već i iskusni stručnjak za informacijsku sigurnost.”
90% svih "hakovanja" u svakom trenutku su banalni društveni inženjering i greške korisnika. Na primjer, phishing je imitacija dobro poznate web stranice ili eksfiltracija podataka radi povrata lozinke u osobnoj komunikaciji.
Što se tiče čistih softverskih hakova, postoje napadi koji se odnose na globalne greške u softveru, na primjer, značajni nedostaci u standardnoj C biblioteci povezani sa prepunjavanjem bafera stringova i izvršavanjem proizvoljnog koda. Ovo je bilo jako popularno prije dvadeset godina, skoro svi su patili od toga, ali sada je teško pronaći. Najpoznatija je DCOM RPC greška u Windows NT-u, koja je zahvatila skoro sve računare korporativne mreže- ovo je kraj 90-ih. Obično se koristio ovako: pronašli su ranjivi računar na mreži, instalirali softversku grešku, a zatim iz njegovih podataka izvukli lozinke i kripto ključeve. elektronski novčanici. Sada je skoro nemoguće koristiti ovako nešto, osim ako korisnik ne instalira takvu grešku dobrovoljno i samostalno - podlegnuvši reklamni poziv, ili nešto slično.
Slična greška - SQL jnjection, koja vam omogućava da izvučete proizvoljne podatke iz baza podataka - praktički se nikada ne nalazi u savremena praksa, jer su čak i djeca naučena da se zaštite od toga. Sad sistemske greške V standardne biblioteke Gotovo da ne postoji nijedan koji bi se mogao primijeniti na uobičajeni softver putem jednog. Jedna od ozbiljnih opasnosti su MITM napadi, kada se haker korisniku čini serverom, a serverom korisnikom, i ne samo da sluša podatke, već ih može proizvoljno iskriviti.
Generalno, savremeni hakeri nikada ne napadaju specifične svrhe- lakše je obraditi ovaj cilj koristeći metode socijalni inženjering- i pogodili su područje. Svijet je pun korisnika sa starim softverom, samo glupih, neiskusnih ljudi koji se dobrovoljno pokrenu malware- od njih se "krema" skuplja apsolutno automatski način rada. Programeri ovih „mašina“ obično ostaju u senci, prodajući gotov kompleks rizičnijim ljudima putem hakerskih partija. Naravno, uglavnom su uhvaćeni korisnici, a programeri godinama poboljšavaju svoje sisteme. Najlakši način da se zaštitite je da izvršite samo one radnje u koje ste sigurni, ali ne i one koje nude nerazumljive stranice, skenirajte dolazne datoteke antivirusom - barem ugrađenim u glavne mailere, glavna stvar je imati rezervna kopija sve na rezervnom disku ili u oblaku.
Moramo imati na umu da kompjuter ne samo da se može hakovati, već se može i fizički ukrasti ili razbiti – to je najčešće lakše, brže i jeftinije. Sve dok niste milijarder ili predsjednik države, mjere predostrožnosti protiv krađe su dovoljne za zaštitu od hakovanja. Lično ne koristim specijalni antivirusi Prošlo je deset godina i nisam imao nikakvih problema: nema stranih fleš diskova, instaliranje programa samo iz zvaničnih izvora - i malo je verovatno da će neki haker moći da vam spoji računar automatskim hakom.
Da li je moguće progutati osu (pčelu), ako može, da li može da ubode u tijelo i ako može, šta će se dogoditi s osobom?
