este guia compartilhará as técnicas de hacking de sites mais comuns para ajudá-lo a se preparar para ataques maliciosos.

a natureza lucrativa da Internet levou a um aumento significativo no número de técnicas de hacking de sites.

os cibercriminosos usam muitas ferramentas e técnicas diferentes para obter acesso às informações confidenciais encontradas online. Eles geralmente atacam sites e recursos de rede em um esforço para extorquir dinheiro ou roubar ativos de organizações.

para proteger você e sua empresa contra cibercriminosos, é importante estar ciente de como as técnicas de hacking de sites funcionam.

SQL Injection attacks

SQL Injection attack é a técnica de hacking de sites mais comum. A maioria dos sites usa linguagem de consulta estruturada (SQL) para interagir com bancos de dados.O SQL permite que o site crie, recupere, atualize e exclua registros de banco de dados. Ele é usado para tudo, desde o registro de um usuário no site até o armazenamento de detalhes de uma transação de comércio eletrônico.

um ataque de injeção SQL coloca o SQL em um formulário da web na tentativa de fazer com que o aplicativo o execute. Por exemplo, em vez de digitar texto simples em um campo de nome de usuário ou senha, um hacker pode digitar ' OR 1=1.

se o aplicativo anexar essa string diretamente a um comando SQL projetado para verificar se um usuário existe no banco de dados, ele sempre retornará true.Isso pode permitir que um hacker tenha acesso a uma seção restrita de um site. Outros ataques de injeção SQL podem ser usados para excluir dados do banco de dados ou inserir novos dados.

Hackers às vezes usam ferramentas automatizadas para realizar injeções de SQL em sites remotos. Eles examinarão milhares de sites, testando muitos tipos de ataques de injeção até que sejam bem-sucedidos.

ataques de injeção SQL podem ser evitados filtrando corretamente a entrada do Usuário. A maioria das linguagens de programação tem funções especiais para lidar com segurança com a entrada do usuário que será usada em uma consulta SQL.

o que é cross-site scripting (XSS)?

Cross-Site scripting é uma grande vulnerabilidade que é frequentemente explorada por hackers para hacking de sites. É uma das vulnerabilidades mais difíceis de lidar por causa da maneira como funciona.

alguns dos maiores sites do mundo lidaram com ataques XSS bem-sucedidos, incluindo Microsoft e Google.

a maioria dos ataques de hackers de sites XSS usa scripts Javascript maliciosos incorporados em hiperlinks. Quando o usuário clica no link, Ele pode roubar informações pessoais, sequestrar uma sessão da web, assumir uma conta de usuário ou alterar os anúncios que estão sendo exibidos em uma página.

os Hackers geralmente inserem esses links maliciosos em fóruns da web, sites de mídia social e outros locais proeminentes onde os usuários clicam neles.

para evitar ataques XSS, os proprietários de sites devem filtrar a entrada do Usuário para remover qualquer código malicioso.

o que é negação de serviço (DoS/DDoS)?

um ataque de negação de serviço inunda um site com uma enorme quantidade de tráfego na Internet, fazendo com que seus servidores fiquem sobrecarregados e travem.

a maioria dos ataques DDoS é realizada usando computadores que foram comprometidos com malware. Os proprietários de computadores infectados podem nem estar cientes de que sua máquina está enviando solicitações de dados para o seu site.

ataques de negação de Serviço podem ser evitados por:

• taxa limitando o roteador do seu servidor web.
• adicionando filtros ao seu roteador para soltar pacotes de fontes duvidosas.
• soltando pacotes falsificados ou malformados.
• definindo tempos limite mais agressivos nas conexões.
• usando firewalls com proteção DDoS.
• usando software de mitigação de DDoS de terceiros da Akamai, Cloudflare, VeriSign, Arbor Networks ou outro provedor.

o que é falsificação de solicitação entre sites (CSRF ou XSRF)?

Cross-Site request forgery é uma exploração maliciosa comum de sites. Ocorre quando comandos não autorizados são transmitidos de um usuário em que um aplicativo da web confia.

o usuário geralmente está logado no site, portanto, eles têm um nível mais alto de privilégios, permitindo que o hacker transfira fundos, obtenha informações da conta ou obtenha acesso a informações confidenciais.

existem muitas maneiras de os hackers transmitirem comandos forjados, incluindo formulários ocultos, AJAX e tags de imagem. O Usuário não está ciente de que o comando foi enviado e o site acredita que o comando veio de um usuário autenticado.

a principal diferença entre um ataque XSS e CSRF é que o Usuário deve estar logado e confiável por um site para que um ataque de hacking de site CSRF funcione.Os proprietários de sites podem impedir ataques CSRF verificando cabeçalhos HTTP para verificar de onde a solicitação está vindo e verificar tokens CSRF em formulários da web. Essas verificações garantirão que a solicitação tenha vindo de uma página dentro do aplicativo da web e não de uma fonte externa.

o que é spoofing DNS (envenenamento por Cache DNS)?

esta técnica de hacking de site injeta dados corrompidos do sistema de domínio no cache de um resolvedor de DNS para redirecionar para onde o tráfego de um site é enviado. É frequentemente usado para enviar tráfego de sites legítimos para sites maliciosos que contêm malware.

a falsificação de DNS também pode ser usada para coletar informações sobre o tráfego que está sendo desviado. A melhor técnica para prevenir a falsificação de DNS é definir tempos TTL curtos e limpar regularmente os caches DNS das máquinas locais.

técnicas de engenharia Social

em alguns casos, a maior fraqueza no sistema de segurança de um site são as pessoas que o usam. A engenharia social procura explorar essa fraqueza.

um hacker convencerá um usuário ou administrador do site a divulgar algumas informações úteis que os ajudam a explorar o site. Existem muitas formas de ataques de engenharia social, incluindo:

Phishing

os usuários de um site recebem e-mails fraudulentos que parecem ter vindo do site. O Usuário é solicitado a divulgar algumas informações, como seus detalhes de login ou informações pessoais. O hacker pode usar essas informações para comprometer o site.

Baiting

esta é uma técnica clássica de engenharia social que foi usada pela primeira vez na década de 1970. um hacker deixará um dispositivo perto do seu local de trabalho, talvez marcado com um rótulo como “salários dos funcionários”.

um de seus funcionários pode pegá-lo e inseri-lo em seu computador por curiosidade. O stick USB conterá malware que infecta suas redes de computadores e compromete seu site.

Pretexting

Um hacker irá contactá-lo, um de seus clientes, ou um funcionário e fingir ser outra pessoa. Eles exigirão informações confidenciais, que eles usam para comprometer seu site.

a melhor maneira de eliminar ataques de engenharia social é educar seus funcionários e clientes sobre esses tipos de ataques.

técnicas de hacking de sites não direcionados

em muitos casos, os hackers não direcionam especificamente seu site. Então, que tipo de técnicas de hacking de sites eles estão usando?

eles geralmente têm como alvo uma vulnerabilidade que existe para um sistema de gerenciamento de conteúdo, plug-in ou modelo.Por exemplo, eles podem ter desenvolvido algumas técnicas de hacking de sites que visam uma vulnerabilidade em uma versão específica do WordPress, Joomla ou outro sistema de gerenciamento de conteúdo.

eles usarão bots automatizados para encontrar sites usando esta versão do sistema de gerenciamento de conteúdo em questão antes de iniciar um ataque. Eles podem usar a vulnerabilidade para excluir dados de seu site, roubar informações confidenciais ou inserir software malicioso em seu servidor.

a melhor maneira de evitar ataques de hacking de sites é garantir que seu sistema de gerenciamento de conteúdo, plug-ins e modelos estejam atualizados.