Sai cosa mi colpisce circa un sacco di hack che abbiamo visto ultimamente? Sembra semplicemente troppo facile . Voglio dire che stiamo vedendo un gran numero di attacchi (un numero senza precedenti, da alcune figure) e troppo spesso l'autore del reato è un bambino.Non voglio dire che, in un senso relativo a me stesso man mano che invecchio, voglio dire,letteralmente un bambino .
Il problema, naturalmente, è che molti di questi "hack" sono diventate semplice punto e affari scattare utilizzando strumenti liberamente disponibili. Nel caso di SQL injection, strumenti come Havij significa che, anche se non si conoscono gli indici ai tuoi regole di confronto o le UDF dai tuoi DMV, fintanto che è possibile copiare e incollare un URL che può essere un istante "hacker" .
In realtà mi sa che è così facile che anche il mio 3 anni può essere un hacker di successo. E 'venuto fuori che non è troppo lontano dalla verità:
Vedi come è facile? Andiamo avanti e lascia che ti dia un po 'di contesto in giro per la facilità e la prevalenza di questi attacchi. In primo luogo, ricordare che l'iniezione rimane nella posizione numero uno nella OWASP Top 10 . Ciò che rende particolarmente pericoloso SQLI è che è classificato come sia "facile" da sfruttare (e credo che ora possiamo tutti d'accordo) e con un impatto di "gravi".
Quanto è grave? Come nell'esempio precedente, SQLI può essere facilmente utilizzato per accedere alle credenziali archiviate in un sito vulnerabile e anche se queste sono state salate e hash, faranno facilmente cadere vittima di un attacco di forza bruta . L'anno scorsoè stato SQLI che ha portato verso il basso Sony Pictures ed è stato anche presumibilmente SQLI che era dietro violazione LinkedIn quest'anno . E 'molto, molto diffusa.
Un rapido sguardo attraverso YouTube e vedrete tutorial come SQL iniettando Havij che si distingue non per il suo contenuto , ma piuttosto per il suo presentatore . Così come il ragazzo che suona come se fosse di circa 15 anni, è anche chiaro che ha un'idea molto poco di quello che è un database SQL o anche come Havij funziona realmente. Questa non è una critica del ragazzo di per sé, è semplicemente un'osservazione su come gli strumenti accessibili come Havij sono. YouTube è piena di esempi simili.
Ora tenere a mente che Havij è uno strumento che "aiuta penetration tester" e in effetti ITSecTeam chi rende il prodotto è una società di sicurezza legittimo. Ma - e questo è un grande "ma" - fare una rapida ricerca su YouTube e non troverete troppi video di test di penetrazione e non troverete molti commenti da parte di persone con una più ampia vocab di Ari. No, questi sono i ragazzi solo in cerca di distruggere e prendere tutto il possibile da siti web vulnerabili.
Naturalmente Havij non è l'unico strumento di questo tipo, prodotti come sqlMap sono estremamente popolari e in questo caso, anche open source. A differenza Havij è puramente riga di comando basata (probabilmente un po 'più complicato per un anno 3 anni che non è in grado di leggere ancora), e anche a differenza Havij il pubblico commentando il via YouTube e altri forum è un po' più, beh, maturo.
E 'interessante osservare il modus operandi di come questi strumenti vengono utilizzati. In questo video su Come utilizzare Havij stiamo prima volta mostrato come sbloccare la versione Pro con una chiave di cracking poi come l'autore ha una lista di "Dorks" - chiaramente Dorks Google - con modelli di URL potenzialmente vulnerabili. Ciò equivale a niente di più che gli URL con una stringa di query chiamato "ID". Questi ragazzi sono semplicemente pesca a strascico Internet, che punta a Havij URL potenzialmente vulnerabili e dando un colpo. Quando non funziona faranno solo passare a quella successiva.
E questo è l'ultimo bit di comprensione vi lascio con, essendo un obiettivo non significa essere una grande multinazionale o di sostenere una causa che non si concilia con hacktivisti Né significa che presenta una sorta di rialzo finanziaria a coloro che può rompere la vostra sicurezza. No, essendo un obiettivo significa essere su Internet. Fine della storia.
Nessun commento:
Posta un commento