بالا بردن امنیت هاست و سایت

[ebrahimgood26]

بالا بردن امنیت هاست و سایت سری اول

سلام خدمت تمام کاربران عزیز انجمن جوملا فارسی من امروز یه آموزش دارم واستون آموزش بالا بردن امنیت سایت و هاست امیدوارم این آموزش براتون جالب باشه بریم سراغ آموزش امنیت هاست و سایت:
هکرها به چند دسته تقسیم میشن عبارتند از:

Hacker: این هکران 1 قصد بیشتر ندارن اونم اینکه نشون بدن سایت شما چقدر ضعف دارد و شما به فکر بهبود اون باشید که میشه گفت هکرانه خوبی هستن

Wacker: این هکر ها بعد اینکه به سیستم یا سایت شما نفوذ میکند تمام اطلاعات شما را کپی میکنن و در بیشتر مواقع باعث تحدید طرفی که هک شده است میشود، یا به قولی همون باج گیری می شود

Preaker: از قدیمی ترین هکران هستند که کلا میشه گفت خطری ترین هکرا هستند این هکرا نیاز به نفوذ به هاست شما ندارن اونا از طریق سیم خط تلفن وای فای اینا نفوذ میکنند

سرور چیست : سرور ها کامپیوتر های معمولا قدرتمند ی هستند که با سرعت بالا به اینترنت وصل هست. هر سرور یک سیستم عامل داره که میتونه Linux یا Windows باشه ویا ... روی هر کدام از این سیستم عامل ها چند تا برنامه سرویس دهنده وصل هست مثل Apache یا Iis.


هاست چیست : به فضای روی وب رو میگن هاست حالا این فضا ها از کجا اومده این فضا ها از جایی نیومده بلکه همان هارد دیسک های روی سرور هستند.


دامین چیست : دامین رو میشه این جوری تعریف کرد که آدرس روی اینرنت رو دامین میگین.هر دامین یک آی پی هست در اصل که ما وقتی آدرس سایت رو وارد مرورگر میکنیم اون رو تبدیل به آی پی میکنه و ما سایت را میبینیم.


لینوکس چیست : لینوکس یه سیستم عامل از خانواده ی یونیکس هست که به خاطر امنیت بالا در بیشتر سرور ها استفاده میشه.

باگ چیست : باگ یعنی حفره ی امنیتی یا مشکل امنیتی که از آن طریق میتوان نفوذ کرد اکثر باگ هام توسط اشتباهات در برنامه نویسی رخ میدهد. ما باگ های زیادی در موارد مختلف داریم که مهمترین آنها در وب محدود میشه به :
XSS Cross site scripting
Sql Injection

Rfi

Lfi

WebAppliction : وب اپلیکیشن به سیستم های مدریت محتوا میگن یعنی مثل Php Nuke و Joomla وVbulletin , ...
Remote : به طور کلی میشه دسترسی از راه دور رو ریموت تعریف کرد.

Local : لوکال را می توان به دسترسی نزدیک و کامل تر از Remote تعریف کرد.

هک شدن روش های مختلفی دارد: مثلا از طریق باگ که شایع ترین باگ هم همون xss است که همون مخفف css هست که یک زبان طراحی صفحات وب است به همین علت کارشناسان به اجبار اسم این این باگ را Xss گذاشتند.یا ممکنه یه فایلو به ایمیل شما بفرستند و با باز کردن اون فایل اطلاعت شما لو میره در پایین سعی میکنم بیشتر توضیح بدم این 2 تای رو که نام بردم شایع ترین روش هک هستن .

اول باگ ها رو بهتون معرفی کنم :

sql injection
mysql
LFI
Xss

1: sql injection :

همان طور که مشاهده کردید sql injection یا تزریق کد یکی از باگ هایی هست که هر سایت ممکنه داشته باشد.
در این حالت هکر با وارد کردن کارکتر های غیر مجاز به دیتابیس باعث به وجود آمدن خطا هایی می شود که هکر با استفاده از این خطا ها می تواند اطلاعات دیتابیس را در آورده و در بعضی مواقع وارد و در بعضی مواقع یک فایل بسازد(Shell)
ما چندین نوع دیتابیس داریم که روش Inject کردن هر کدام با دیگری فرق داره
مانند Mysql , Mssql ,Access,Oracle,db2, و غیره.هر کدوم از این ها هم روی ورژن های مختلف قرار دارند

2: mysql :

همان طور که در بالا ذکر گردید هکر با وارد کردن بعضی کارکتر های غیر مجاز باعث رخ دادن خطا در دیتابیس می شود و اگر برنامه نویس هنگام فرستادن دستورات کاربر به دیتابیس هیچ کنترلی روی کارکتر های ورودی صورت ندهد دیتابیس خطا میده و هکر با استفاده از این خطا ها بدون دسترسی داشتن اطلاعات رو بیرون می کشد.
همان طوری که دوستان اطلاع دارن اطلاعات سایت که با بانک ارتباطی در ارتباط هست در اطلاعات سایت در دیتابیس ذخیره میشه حالا هکر می تواند این اطلاعات را با استفاده از خطا هایی که به وجود میاره بخواند یا وارد کند.

به نکات ذیل توجه کنید :

هکر با استفاده از کارکتر های غیر مجاز مثل (') باعث به وجو امدن خطا میشیم.
هکر از قسمت های مختلفی می تواند اینجکت کنیم مثل آدرس Url که با بانک اطلاعاتی در ارتباط باشه یا لاگین پیج یا هر جایی که باگ داشته باشه!
هکر برای بدست آوردن اطلاعات داخل دیتابیس یا وارد کردن آن باید نام جداول یا فیلد ها رو بداند بعد اطلاعات را به دست یا وارد کند. اسم تیبل و فیلد را نیاز دارد برای اینکه بتواند اطلاعات اونها رو بخواند

3: LFI

همان طور که در بالا توضیح دادم یکی از باگ ها باگ rfi هست.این باگ با بی احطیاتی برنامه نویس در استفاده از توابع Include و ... به وجود میاد.
در اصل این توابع (include , require ... ) فایل یا صفحه ای رو فراخوانی میکنن که اگر روی این درخواست کنترلی نباشه میتونه منجر به باگ Rfi یا حتی Lfi بشه.
هک Lfi یا Local File Inclusion یک نوع دسترسی لوکال به هکر برای مشاهده ی فایل های سرور مورد نظر میده (یعنی به همه چیز روی سایتتون "نه سرورتون" دسترسی پیدا می کنه!). که همانطور که ذکر شد باگ Lfi بیشتر در اشتباهات برنامه نویس در استفاده از توابعی مثل Include ,require() و غیره رخ میده.
با استفاده از این باگ حرکت های زیادی میشه کرد از جمله

1 - تبدیل آن به اجرای دستورات از راه دور با استفاده از لوگ های Apache
2 - خواندن فایل های مهم سیستمی با فایل های config


4:Xss

Xss مخفف Cross Site Scripting است اما مخفف این سه کلمه CSS مشود که یک زبان طراحی صفحات وب است به همین علت کارشناسان به اجبار اسم این این باگ را Xss گذاشتند. این باگ که یکی از فراون ترین باگ های موجود میباشد که طبق آمار 69 درصد وبسایت ها این باگ را دارن. از نظر امنیتی باگ مهمی به حساب نمیاد با استفاده از این باگ میشه روی سیستم قربانی انواع اقسام نفوذ رو انجام داد.(در قسمتی از سایت که باگ دارد شما قادر به اجرا کردن کد های JavaScript هستید که با استفاده از کد های جاوا اسکریپ کار های زیادی میشه انجام دارد!!!) . در حقیقت این باگ کمک می کنه تا هکر به سیستم نفوذ کند و سپس توسط یکی از همین روش هایی که توضیح داده شد (LFI و sql injection) سایت را هک کند.

* استفاده از شل کد :در این روش هکر از یک اسکریپت به نام شل کد استفاده می کند.ابتدا به مثال زیر جهت درک بهتر قدرت "شل" (shell) توجه نمایید:

مثلا شما امنیت سایتتون در حد بینهایت زیاده و هکر کاملا از نفوذ مستقیم به سایت شما نا امید شده.پس تصمیم می گیره که شما رو دور بزنه .به این صورت کار خود را آغاز می کند که با یک جستجوی ساده نام میزبان شما را در می آورد.مثلا میزبان شما شرکت X است.بعد چک می کند و می بیند که میزبان شما علاوه بر سایت شما 100 سایت دیگر را هم میزبانی می کند.خب شروع می کند به جستجو و با کمی جستجو اون 100 سایت را پیدا می کند.حالا نوبت به هک کردن می رسد.منتها این بار نه سایت شما.بلکه سایت همسایه ی شما!اون سایت که احتمالا ادمین آن یادش رفته اصلا حتی پسورد بیشتر از 6 کاراکتر بگذارد به راحتی هک می شود.خلاصه بعد از هک سایت همسایه ی شما ، با یک شل مخصوص که خودش اون رو دی کد کرده (نا خوانا توسط آنتی ویروس) از سرور شما دسترسی روت می گیرد (یعنی به تمام فایل های موجود در کامپیوتر سرور که میزبانی سایت شما و اون 100 سایت دیگر را بر عهده دارد دسترسی پیدا می کند) و سایت شما را هک می کند.

آموزش سری دوم را در پست جدید قرار میدهم امیدوارم مورد توجه همه کاربران عزیز بشه
باتشکر