🥝 🔽 🍌 Kulhacker। शुरू 👨🏿‍🌾 ♿️ 🙁

सूचना सुरक्षा में शीघ्रता से शामिल होने के बारे में एक छोटी कहानी। एक पुरानी कहानी, एक लंबी शुरुआत, लेकिन शायद मैं शुरू करूँगा ...

एपिसोड 1. परिचय, कैप्चा, कटिंग बॉट्स

मेरे पास एक निजी प्रकृति का एक इंटरनेट प्रोजेक्ट है, इसलिए बोलने के लिए, 2006 में शुरुआत के साथ। परियोजना बहुत व्यक्तिगत है, इसलिए मैं लिंक प्रकाशित नहीं करता हूं, लेकिन मैं उन लोगों को दे सकता हूं जो पीएम में लिंक की इच्छा रखते हैं। फिलहाल, परियोजना धीरे-धीरे मर रही है, यह पहले से ही विकास और समृद्धि के दौर से गुजरी है, ऐसा लगता है कि इसे दफन करने की आवश्यकता है, लेकिन हम अभी भी इस कदम पर फैसला नहीं कर रहे हैं।

2006 में स्थानांतरित किया गया था, यह कोई रहस्य नहीं था - डीएलई, और लगभग एक वर्ष में यह अपने आप पर भारी हो गया था, इतनी अधिक कटौती की कि हमने 2007 से अपडेट करना बंद कर दिया। Saytets, जहां लोग घूमते हैं, लिखते हैं, टिप्पणी करते हैं, विभिन्न ज्वलंत विषयों पर पीएम से संवाद करते हैं।

परियोजना की विशिष्ट विशेषताएं अपने स्वयं के सुधार थे, लेकिन इतना सरल कि कभी-कभी मुझे बहुत आश्चर्य होता था कि दूसरों ने इसके बारे में पहले क्यों नहीं सोचा था। इनमें से एक सुधार कैप्चा से संबंधित है।

जब इस तरह की सभी परियोजनाओं ने बॉट्स से बचाव के लिए कैप्चा को पेश किया, तो एक दोस्त और मैंने कैप्चा को पेश करने का फैसला किया, लेकिन जल्दी से महसूस किया कि हम अपने दर्शकों को बेवकूफ बना रहे थे, और अधिक से अधिक बॉट्स थे और वे स्पैम करना जारी रखते थे। परिणामस्वरूप, कैप्चा बना रहा, लेकिन केवल एक रूलेट के रूप में, गिराए गए नंबर को प्रदर्शित करता है, जो एक टिप्पणी छोड़ने की क्षमता को प्रभावित नहीं करता है - दूसरे शब्दों में, हमने कैप्चा सत्यापन तंत्र को पूरी तरह से काट दिया, लेकिन पीढ़ी और प्रदर्शन को छोड़ दिया। और काफी कम समय के बाद, यह एक चिप बन गया - टिप्पणियों में लोगों को कैप्चा की संख्या से मापा गया, जो बहुत सुंदर हैं, आदि। "जो कुछ भी हो, बच्चे को खुश कर सकते हैं, अगर केवल उसके हाथों से नहीं," हमने सोचा।

लेकिन यदि आप कैप्चा के इतिहास को याद करते हैं, तो इसे उन बॉट्स से बचाने के लिए डिज़ाइन किया गया है, जो इंटरनेट पर बड़े पैमाने पर स्पैम किए गए हैं, और हमने इस सुरक्षा तंत्र को पिया है क्योंकि यह काम नहीं करता था। फिर भी, हम बॉट्स के व्यवहार का विश्लेषण करने में सक्षम थे और सभी को ट्रेस किए बिना काट दिया। एक साइट है, सरल की संभावना है, आसान पर विचार करें, टिप्पणी करें, एसएमएस और पंजीकरण के बिना, कोई कैप्चा नहीं, कोई बॉट नहीं।

यह मेरी ओर से साइट स्क्रिप्ट के लिए POST और GET अनुरोधों के योग्य अनुप्रयोग था।

एपिसोड 2. इंजन अपडेट, कुल्हक जानने के लिए

चूंकि साइट का इंजन अपडेट नहीं किया गया था, समय-समय पर कुछ कमजोरियाँ सामने आईं, और हमारी साइट पर विशिष्ट भेद्यता को लागू करने के कुछ अन्य प्रकरण।

यह अच्छा है अगर हम इस भेद्यता को हमारी साइट पर लागू होने से पहले 0day संसाधनों पर या हमारी इंजन के लिए तकनीकी सहायता के रूप में फिर से सीखते हैं, उस समय तक जब तक यह भेद्यता हमारी साइट पर लागू नहीं होती। लेकिन यह भी हुआ कि हमने साइट स्क्रिप्ट के लिए POST और GET अनुरोधों के विश्लेषण से भेद्यता के बारे में सीखा, या तो वास्तव में, उदाहरण के लिए, साइट के साथ एक दोष, या अन्य जोड़तोड़।

और फिर वह दिन आया जब साइट इंजन का संस्करण इतना पुराना हो गया कि इस इंजन और इस संस्करण के बारे में संदेश केवल 0 संसाधनों पर दिखाई देना बंद हो गए, यह उल्लेख करने के लिए कि पिछले 5 वर्षों में टीपी फोरम पर इंजन के हमारे संस्करण के बारे में बस कोई नई पोस्ट नहीं है दिखाई दिया।

और फिर वह प्रकट होता है - एक कुल्हक।

मैं इस बारे में बात नहीं करूंगा कि यह कौन है, मैं आपको उस मज़ा के बारे में बताऊंगा जो हमें मिला था। यह सब इस तथ्य से शुरू हुआ कि साइट के मालिक को एक संदेश मिला कि साइट हैक हो गई है, टोपी का पीछा करें, अन्यथा सभी खान। पहले पत्र में, बिटकॉइन में 100K रूबल की राशि की घोषणा की गई थी।

ये समय है, हमने सोचा, और विश्लेषण के लिए नीचे उतरे। पहले, हैकिंग के परिणाम का पता लगाना आवश्यक था। एक स्क्रिप्ट जल्दी मिल गई थी जो साइट इंजन से संबंधित नहीं थी, लेकिन हमारे इंजन के लिए एक विशिष्ट स्क्रिप्ट के रूप में प्रच्छन्न थी, और संशोधित साइट स्क्रिप्ट भी मिली - साइट में खराबी थी। कार्य स्तर - कुल्हैकर, सर्वर से प्राप्त करना संभव नहीं था।

सरल जोड़तोड़ के माध्यम से, साइट पर संपूर्ण POST और GET अनुरोधों का विश्लेषण नई स्क्रिप्ट के नाम के लिए किया गया था, और निश्चित रूप से, साइट के लिए POST अनुरोध में पारित पैरामीटर पाए गए थे, जिसके परिणामस्वरूप एक भेद्यता पाई गई थी, एक हमला वेक्टर निर्धारित किया गया था, और एक कमजोर सामने की ओर पाया गया था एक चर, और निश्चित रूप से, भेद्यता को बंद कर दिया गया था, और साइट इंजन के लिए "रोलबैक टू सेफ" राज्य बनाया गया था। कुल्हक के लिए एक अतिरिक्त अवलोकन स्थापित किया गया था - अचानक वह अभी भी जानता है कि हम क्या नहीं जानते हैं, और जनता में व्यावहारिक रूप से कोई अज्ञात जानकारी नहीं है, और हमारे मामले का स्पष्ट रूप से कहीं भी वर्णन नहीं किया गया था।

प्रकरण 3. कुल्हक वापस हमला, सौदेबाजी

कुछ समय बाद, फिर से पत्र, इस बार यह कहते हुए कि हम बुरे लोग हैं, कि वह हमें इसके लिए माफ नहीं करेगा, कि यदि हम टोपी का भुगतान नहीं करते हैं, तो हमें फिर से बधाई नहीं दी जाएगी।

ये दो हैं, हमने सोचा, और फिर से पत्र को नजरअंदाज कर दिया। कुछ दिनों के बाद, हमें कैप का भुगतान करने की आवश्यकता के साथ एक वेबसाइट दोष प्राप्त हुआ। हमने फिर से POST और GET अनुरोधों का विश्लेषण किया, फिर से हमला वेक्टर पाया, सामने के छोर पर एक नए कमजोर चर की खोज की, भेद्यता को फिर से बंद कर दिया, और फिर से एक "सुरक्षित करने के लिए रोलबैक" स्थिति बनाई।

हम पहले ही समझ गए थे कि कुल्हैकर को हम पर संदेह करना शुरू कर देना चाहिए कि हम उनके ज्ञान का उपयोग अपने हित में कर रहे हैं, और यह कि हम उनके पास पैसे का थैला लेकर नहीं चल रहे हैं, इसलिए एक निश्चित सचिव सचिव से हमारे "ग्राहक" को पत्र लिखने का निर्णय लिया गया। जो यह नहीं समझता है कि दांव पर क्या है, और उसे क्या करने की आवश्यकता है, और इससे भी अधिक वह यह नहीं समझता है कि बिटकॉइन क्या हैं। हमें उम्मीद थी कि यह एक प्रकार से, हमारे कुल्हैकर के हित को बढ़ावा देगा, जो उसे हमारे इंजन की कमजोरियों को कुछ और बार प्रदर्शित करेगा, अगर उसके पास कोई बचा हो।

हमने पहले और दूसरे आक्रमण वैक्टर का विश्लेषण भी किया, साइट इंजन की सामान्य कमजोरी का निर्धारण किया, और फिर उपयुक्त चर के लिए सभी लिपियों का विश्लेषण किया जो कमजोरियों के लिए कमजोर पाए गए थे। जल्दी से कुछ और अड़चनें बंद कीं।

कुल्हैकर की प्रतिक्रिया आने में लंबे समय तक नहीं थी, फिर से एक खतरा था कि हम बुरा महसूस करेंगे, साइट फिर से खराब हो गई थी, लेकिन अब आवश्यकताओं का योग 10 गुना कम हो गया है, जिससे हमें यह धारणा मिली कि हमारे वार्ड के विचार समाप्त हो गए हैं, जिसका अर्थ है अगली बार वह हमारे पास नहीं आएगा।

साइट के लिए अनुरोधों के विश्लेषण के साथ मानक जोड़तोड़, एक नया हमला वेक्टर, चर का एक नया सेट, कमजोरियों को बंद करना, "एक सुरक्षित करने के लिए रोलबैक"।

प्रकरण 4. विदाई

जैसा कि अपेक्षित था, हैकिंग के कोई नए मामले नहीं थे, लेकिन हमारे क्लाइंट का एक नया पत्र था जिसमें कहा गया था कि हम मूल हैं, कि हमने बहुत ही अनपेक्षित रूप से व्यवहार किया, और यह कि हम अपने इंजन की कमजोरियों को दिखाने के लिए कम से कम कैप का भुगतान कर सकते हैं। ।

हमने संपर्कों का आदान-प्रदान किया, 0 जानकारी के साथ कई बंद समुदायों को पाया, जहां हमारे इंजन के लिए इस समय अज्ञात कमजोरियां प्रकाशित हुई थीं - वे सुखद आश्चर्यचकित थे। उन्होंने कुलभास्कर को धन्यवाद कहा और फोन पर पैसे फेंके जिनकी संख्या उन्होंने हमें नहीं बताई;)

एपिसोड 5. वर्किंग मोमेंट्स

नई कंपनी, नए कार्य। मेरे कान के बाहर मैं इस तथ्य के बारे में आईटी इंजीनियरों की बातचीत सुनता हूं कि कंपनी के मुख्य स्थल को ओम्प्थेनहवीं बार हैक कर लिया गया है, कि कई साल पहले साइट को विकसित करने वाली कंपनी इंजन को अपडेट करने और कमजोरियों को बंद करने के लिए पैसा चाहती है, मैं क्या करूं, लेकिन जल्द ही वे झंडे फाड़ना शुरू कर देंगे। मैं खुद को एक बातचीत में ढालता हूं, मैं मदद की पेशकश करता हूं।

क्लासिक है, फिर भी, पागलपन के बिंदु पर सरल है, सभी कुल्हकार इसके साथ शुरू होते हैं। शुरू करने के लिए, मैं POST अनुरोधों के विश्लेषण को सक्षम करने का प्रस्ताव करता हूं, जैसा कि GET लॉग में यह खाली है जो तार्किक है। कुछ घंटों के बाद, मुझे एक उत्तर मिलता है कि होस्टर ने कहा कि यह असंभव है, कि वे इस तरह के लॉग नहीं रखते हैं, कि यदि आप POST इकट्ठा करना चाहते हैं, तो इसे स्वयं इकट्ठा करें। लोग परेशान हैं।

ये तीन हैं, मैंने सोचा, और बताया कि सभी साइट स्क्रिप्ट से POST अनुरोधों के संग्रह को कैसे मजबूर किया जाए। अगले दिन, एक हमले के वेक्टर की खोज की गई, भेद्यता को तुरंत बंद कर दिया गया, और आईटी इंजीनियरों ने स्थिति का विश्लेषण करने में अमूल्य अनुभव प्राप्त किया, जिसका वे शायद आज भी उपयोग करते हैं। कंपनी में आईएस नहीं था।

निष्कर्ष

यदि आप सूचना सुरक्षा की मूल बातें सीखना चाहते हैं, तो कुल्हकिंग से शुरू करें। यदि दिशा दिलचस्प हो जाती है - अगले चरण के लिए कदम। हैकिंग के तरीकों के बारे में जितना अधिक आप जानते हैं, उतना ही आप हमलावरों का मुकाबला कर सकते हैं।

और हां, जब आप व्यक्ति तक पहुंच का चयन करते हैं, तो आप सक्षम आईएस नियमों को तैयार करना शुरू कर सकते हैं।

"बॉट्स के बारे में क्या?" - तुम पूछो। और मैं आपको जवाब दूंगा: "व्यवहार का विश्लेषण करें, हमले के वेक्टर, पैटर्न और सामान्य बिंदु खोजें - आप उनसे निपट सकते हैं!" - वास्तव में सुरक्षा सुनिश्चित करने के लिए सामान्य दृष्टिकोण के समान। निवारक उपाय केवल अनुभव पर आधारित हैं।