ez az útmutató megosztja a leggyakoribb webhely-hackelési technikákat, amelyek segítenek felkészülni a rosszindulatú támadásokra.
az internet jövedelmező jellege a weboldal-hackelési technikák számának jelentős növekedéséhez vezetett.
a kiberbűnözők számos különböző eszközt és technikát használnak, hogy hozzáférjenek az interneten található érzékeny információkhoz. Gyakran támadnak weboldalakat és hálózati erőforrásokat annak érdekében, hogy pénzt kicsikarjanak vagy eszközöket lopjanak a szervezetektől.
ahhoz, hogy megvédje magát és vállalkozását a kiberbűnözőkkel szemben, fontos, hogy tisztában legyen azzal, hogyan működnek a weboldal hackelési technikái.
SQL injekciós támadások
az SQL injekciós támadás a leggyakoribb weboldal-hackelési technika. A legtöbb webhely strukturált lekérdezési nyelvet (SQL) használ az adatbázisokkal való interakcióhoz.
az SQL lehetővé teszi a webhely számára adatbázisrekordok létrehozását, letöltését, frissítését és törlését. Mindenre használják, a felhasználó bejelentkezésétől a weboldalra az e-kereskedelmi tranzakció részleteinek tárolásáig.
az SQL injekciós támadás az SQL-t egy webes űrlapba helyezi, hogy megpróbálja az alkalmazást futtatni. Például ahelyett, hogy egyszerű szöveget írna be egy felhasználónév vagy jelszó mezőbe, a hacker beírhatja a ' OR 1=1parancsot.
ha az alkalmazás ezt a karakterláncot közvetlenül egy SQL parancshoz fűzi, amelynek célja annak ellenőrzése, hogy van-e Felhasználó az adatbázisban, akkor mindig true értéket ad vissza.
ez lehetővé teszi a hackerek számára, hogy hozzáférjenek egy webhely korlátozott részéhez. Más SQL injekciós támadások felhasználhatók adatok törlésére az adatbázisból vagy új adatok beszúrására.
a hackerek néha automatizált eszközöket használnak SQL-injekciók végrehajtására távoli webhelyeken. Több ezer weboldalt fognak átvizsgálni, sokféle injekciós támadást tesztelnek, amíg sikeresek nem lesznek.
az SQL injekciós támadások megelőzhetők a felhasználói bevitel megfelelő szűrésével. A legtöbb programozási nyelvnek speciális funkciói vannak az SQL lekérdezésben használt felhasználói bevitel biztonságos kezelésére.
mi az a cross-site scripting (XSS)?
a webhelyek közötti szkriptek egy jelentős biztonsági rés, amelyet a hackerek gyakran kihasználnak a webhelyek feltörésére. Ez az egyik legnehezebb sebezhetőség, amelyet a működése miatt kell kezelni.
a világ legnagyobb weboldalai közül néhány sikeres XSS támadással foglalkozott, beleértve a Microsoftot és a Google-t is.
a legtöbb XSS webhely hackelési támadása rosszindulatú Javascript szkripteket használ, amelyek hiperhivatkozásokba vannak ágyazva. Amikor a felhasználó rákattint a linkre, ellophatja a személyes adatokat, eltérítheti a webes munkamenetet, átveheti a felhasználói fiókot, vagy megváltoztathatja az oldalon megjelenő hirdetéseket.
a hackerek gyakran beillesztik ezeket a rosszindulatú linkeket webes fórumokba, közösségi média webhelyekre és más prominens helyekre, ahol a felhasználók rájuk kattintanak.
az XSS támadások elkerülése érdekében a webhelytulajdonosoknak szűrniük kell a felhasználói bevitelt a rosszindulatú kódok eltávolításához.
mi a szolgáltatásmegtagadás (dos/DDoS)?
egy szolgáltatásmegtagadási támadás hatalmas mennyiségű internetes forgalmat áraszt el egy webhelyen, aminek következtében a szerverek túlterheltek és összeomlanak.
a legtöbb DDoS támadást olyan számítógépekkel hajtják végre, amelyeket rosszindulatú programok veszélyeztettek. A fertőzött számítógépek tulajdonosai nem is tudják, hogy gépük adatkéréseket küld az Ön webhelyére.
szolgáltatásmegtagadási támadások megelőzhetők:
- sebesség korlátozza a webszerver router.
- szűrők hozzáadása az útválasztóhoz a kétes forrásokból származó csomagok eldobásához.
- hamis vagy hibás csomagok eldobása.
- agresszívebb időkorlátok beállítása a kapcsolatokon.
- tűzfalak használata DDoS védelemmel.
- az Akamai, Cloudflare, VeriSign, Arbor Networks vagy más szolgáltató harmadik féltől származó DDoS-enyhítő szoftverének használata.
mi az a webhelyközi kérelemhamisítás (CSRF vagy XSRF)?
a webhelyek közötti kérelemhamisítás a webhelyek gyakori rosszindulatú kihasználása. Ez akkor fordul elő, ha jogosulatlan parancsokat továbbítanak egy olyan felhasználótól, amelyben egy webalkalmazás megbízik.
a felhasználó általában be van jelentkezve a weboldalra, így magasabb szintű jogosultságokkal rendelkezik, lehetővé téve a hacker számára, hogy pénzeszközöket utaljon át, számlainformációkat szerezzen vagy hozzáférjen az érzékeny információkhoz.
a hackerek számos módon továbbíthatják a hamis parancsokat, beleértve a rejtett űrlapokat, az Ajaxot és a képcímkéket. A felhasználó nem tudja, hogy a parancs elküldésre került, és a webhely úgy véli, hogy a parancs egy hitelesített felhasználótól származik.
a fő különbség az XSS és a CSRF támadás között az, hogy a felhasználónak be kell jelentkeznie és megbíznia kell egy webhelyen ahhoz, hogy a CSRF webhely Hacker támadása működjön.
a webhelytulajdonosok megakadályozhatják a CSRF támadásokat a HTTP fejlécek ellenőrzésével, hogy ellenőrizzék, honnan érkezik a kérés, és ellenőrizzék a CSRF Tokeneket a webes űrlapokban. Ezek az ellenőrzések biztosítják, hogy a kérelem a webes alkalmazáson belüli oldalról, nem pedig külső forrásból származik.
mi a DNS-hamisítás (DNS-gyorsítótár-mérgezés)?
ez a webhely-hackelési technika sérült domain-rendszeradatokat injektál a DNS-feloldó gyorsítótárába, hogy átirányítsa a webhely forgalmát. Gyakran használják forgalom küldésére a törvényes webhelyekről rosszindulatú webhelyekre, amelyek rosszindulatú programokat tartalmaznak.
a DNS-hamisítás arra is használható, hogy információkat gyűjtsön az átirányított forgalomról. A legjobb módszer a DNS-hamisítás megakadályozására a rövid TTL-idők beállítása és a helyi gépek DNS-gyorsítótárainak rendszeres törlése.
Social engineering technikák
egyes esetekben a webhely biztonsági rendszerének legnagyobb gyengesége az, hogy az emberek használják. A Social engineering igyekszik kihasználni ezt a gyengeséget.
a hacker meggyőzi a weboldal felhasználóját vagy rendszergazdáját, hogy adjon ki néhány hasznos információt, amely segít nekik kihasználni a weboldalt. A social engineering támadásoknak számos formája létezik, többek között:
adathalászat
a webhely felhasználóinak csalárd e-maileket küldenek, amelyek úgy néznek ki, mintha a webhelyről származnának. A felhasználót arra kérjük, hogy adjon meg néhány információt, például bejelentkezési adatait vagy személyes adatait. A hacker ezeket az információkat felhasználhatja a weboldal veszélyeztetésére.
csali
ez egy klasszikus társadalmi mérnöki technika, amelyet először az 1970-es években használtak. a hacker elhagyja az eszközt az Üzleti hely közelében, esetleg olyan címkével, mint a “munkavállalói fizetések”.
az egyik alkalmazott lehet, hogy vegye fel, és helyezze be a számítógép kíváncsiságból. Az USB stick tartalmaz malware, amely megfertőzi a számítógépes hálózatok és veszélyezteti a honlapon.
egy hacker kapcsolatba lép Önnel, az egyik ügyfelével vagy egy alkalmazottjával, és úgy tesz, mintha valaki más lenne. Érzékeny információkat fognak követelni, amelyeket az Ön webhelyének veszélyeztetésére használnak.
a social engineering támadások kiküszöbölésének legjobb módja az alkalmazottak és az ügyfelek oktatása az ilyen típusú támadásokról.
nem célzott webhely-hackelési technikák
sok esetben a hackerek nem kifejezetten az Ön webhelyét célozzák meg. Tehát milyen weboldal-hackelési technikákat használnak akkor?
általában egy tartalomkezelő rendszer, plugin vagy sablon biztonsági rését célozzák meg.
például kifejleszthettek néhány webhely-hackelési technikát, amelyek a WordPress, a Joomla vagy egy másik tartalomkezelő rendszer egy adott verziójának sebezhetőségét célozzák meg.
automatizált botokat használnak a kérdéses tartalomkezelő rendszer ezen verzióját használó webhelyek megtalálásához, mielőtt támadást indítanának. A biztonsági rést arra használhatják, hogy adatokat töröljenek a webhelyéről, bizalmas információkat lopjanak el, vagy rosszindulatú szoftvereket helyezzenek be a szerverre.
a legjobb módja annak, hogy elkerüljük a webhely Hacker támadásait, hogy biztosítsuk a tartalomkezelő rendszerünket, a pluginjeinket és a sablonjainkat.