Если вы следите за IT-новостями, то регулярно слышите, что обнаруживаются утечки данных клиентов крупных компаний, находятся критические уязвимости в популярных приложениях, а серверы подвергаются атакам.
Безопасность — большая проблема в современном мире. Как жаль, что все эти крупные компании пишут такой плохой код. То ли дело я — мне взлом не страшен. Или страшен?
Почему вообще одни компании взламывают, а у других всё в порядке? Давайте разберёмся, как работают хакеры и как от них защититься.
Алгоритм взлома
Главное — помнить, что не существует систем, которые невозможно взломать. Примите это как аксиому. Вопрос лишь в том, сколько времени уйдёт на то, чтобы вас взломать. Наша задача — сделать так, чтобы хакеры тратили на обход защиты так много времени, чтобы им было попросту невыгодно на вас нападать.
Примерный алгоритм взлома следующий:
- попробовать обойтись без взлома;
- использовать известные способы Взлома сайта недорого;
- задействовать грубую силу;
- создать свой инструмент;
- подойти к задаче с другой стороны и начать сначала.
Давайте вместе пройдём путь хакера и посмотрим, как он всё это делает.
ВАЖНО!
Мы никого не взламываем и вам не советуем. Вся информация в статье предоставлена для того, чтобы вы научились защищать свои сайты и приложения.
Цель взлома
Представим, что хакер планирует доступ к аккаунту одного конкретного пользователя на конкретном сайте.
Шаг первый: социальная инженерия
Лучший взлом — тот, которого не было. А чтобы получить доступ без взлома, нужно, чтобы пользователь сам предоставил вам все данные. Для этого используется социальная инженерия. И вот самые известные способы.
Письма от администрации
Нужно написать письмо человеку, представившись сотрудником компании, которой принадлежит сайт. Для этого можно подменить заголовки письма, чтобы пользователь подумал, что оно действительно пришло от официальных представителей.
Содержание может быть следующим:«Здравствуйте, %юзернейм%! Мы получили информацию, что ваш аккаунт подвергся попытке взлома. Мы успели вовремя ликвидировать угрозу, но нам требуется доступ к вашему личному кабинету для проведения дальнейшего расследования.
Для этого вы должны предоставить логин и пароль от своего аккаунта.
Надеемся на ваше понимание и сотрудничество.
С уважением,
Василий Пупкин,
руководитель отдела безопасности Название-Сайта.РУ»
Когда получаешь такое письмо, в первую очередь начинаешь переживать, что случилось что-то ужасное. И только когда эмоции улягутся, здравый смысл может затрубить о том, что это, скорее всего, мошенники.
Очарование
Вам вдруг пишет человек, который хочет знать о вас всё: откуда вы, чем увлекаетесь, любите ли животных, какая девичья фамилия вашей матери и так далее. Обычно этот человек выглядит как девушка или парень мечты — разве можно не доверять такой очаровашке?
Вы, конечно, поддерживаете беседу, а потом общение вдруг сходит на нет. А через какое-то время вы замечаете, что не можете зайти на сайт. Произошло вот что: взломщик узнал ответ на секретный вопрос, который необходим, чтобы восстановить доступ к аккаунту.
Фишинг
Вы получаете сообщение от друга или знакомого, в котором он просит зайти на сайт и проголосовать в конкурсе. После перехода по ссылке почему-то нужно заново авторизоваться, но, если это сделать, ничего не происходит. Вы закрываете вкладку, но уже слишком поздно.
На самом деле это подставной сайт: у него может быть такой же дизайн и даже адрес как у настоящего, но это всего лишь муляж, который используется, чтобы вы сами ввели свои данные.
ПОЛЕЗНО!
Методы защиты
Чтобы защитить пользователей от взлома методами социальной инженерии, нужно постоянно информировать их о следующих вещах:
- Администрация никогда не запрашивает данные для входа на сайт.
- Никому нельзя сообщать одноразовые пароли или ответы на секретные вопросы.
- Нельзя переходить с вашего сайта на другие и авторизовываться на них. Особенно если ссылку они увидели в комментариях или получили личным сообщением.
Если же в аккаунт пользователя кто-то заходит с другого устройства, отправьте письмо с инструкцией, что нужно делать, если это авторизовался не сам пользователь.
Шаг второй: взлом с помощью известных уязвимостей
Если не удалось выведать пароль у пользователя, то нужно идти дальше и пробовать уязвимости, которым подвержены практически все сайты. Самая известная из них — SQL-инъекция.
SQL устроен так, что за один раз можно отправлять несколько запросов, которые разделяются точкой с запятой.
Например, у вас на сайте есть форма входа, в которую нужно ввести логин и пароль. Чаще всего запрос, который отправляется для проверки пользователей, выглядит так:"SELECT * FROM users WHERE login = ' " . $login . "' AND password = ' " . $password . " ';"
Зная это, хакер может ввести в поле с паролем какую-нибудь команду-инъекцию. Например, такую:qwerty'; UPDATE users SET password = '12345' WHERE login = 'user_login
Тогда общий запрос будет выглядеть так:"SELECT * FROM users WHERE login = ' " . $login . "' AND password = 'qwerty'; UPDATE users SET password = '12345' WHERE login = 'user_login ';"
Здесь уже два запроса: первый пытается найти пользователя с указанными данными, а второй меняет пароль пользователя с логином user_login на 12345. Если инъекция сработает, хакер сможет просто войти, воспользовавшись новым паролем.
Методы защиты
Способов много. Например, можно запретить вводить кавычки, точки с запятой или ключевые слова из SQL. Но самый надёжный способ — передавать данные отдельно от запроса.
Тогда СУБД будет воспринимать инъекцию не как часть запроса, а только как введённый пароль. Подробнее о защите от SQL-инъекций можно почитать здесь.
Шаг третий: грубая сила
Если пока ничего не сработало, хакер может пробовать брутфорс — перебор паролей. Он запустит специальный скрипт, который попытается авторизоваться в вашем аккаунте с помощью случайных паролей.
Обычно сначала в ход идут самые распространённые варианты:
- qwerty;
- 12345;
- 0000;
- password;
- dartvader и прочие.
Методы защиты
Лучшая защита в этом случае — ограничить количество попыток авторизации. О том, как это реализовать, можете почитать в этой статье.
Шаг четвёртый: разработка своих методов взлома
Если ничего из этого не помогло, хакер может попробовать изучить исходный код страниц, чтобы определить, какие уязвимости есть у вашего сайта.
В отдельной группе риска — те, кто пользуется CMS (движки для создания сайтов): взломщик может узнать, на чём работает ваш сайт, установить такой же движок себе и поискать уязвимости изнутри.
Методы защиты
Нужно всегда использовать последние версии движков, в которых уже устранили старые лазейки, а новые ещё никто не нашёл.
Шаг пятый: смена подхода
Если точечный взлом не сработал, то хакер может пойти другим путём. Например, он попытается получить доступ к хостингу, на котором расположен сайт. Для этого он будет использовать все те же шаги, что и раньше, или попробует немного иначе.
Если на сайте есть возможность загрузить аватарку, то взломщик может попытаться передать через неё на сервер какой-нибудь скрипт. Например, файловый менеджер — так он сможет просматривать все файлы, которые есть на сайте. В том числе и те, в которых хранятся данные для подключения к базе данных.