Mga kahinaan ng mga site. Suriin ang site. Isang programa para sa pag-scan ng isang site para sa isang kahinaan

Ang problema ng seguridad sa website ay hindi kailanman naging mas talamak kaysa noong ika-21 siglo. Siyempre, ito ay dahil sa komprehensibong pamamahagi ng network ng Internet sa halos lahat ng sektor at larangan. Ang bawat araw ng mga hacker at mga eksperto sa seguridad ay nakakahanap ng ilang mga bagong kahinaan ng mga site. Marami sa kanila ay agad na isinara ng mga may-ari at mga developer, at ang ilan ay nananatiling katulad nito. Kaysa at ginagamit ng mga malefactors. Ngunit sa tulong ng isang na-hack na site, maaari kang maging sanhi ng malaking pinsala sa parehong mga gumagamit nito at ang mga server na kung saan ito ay naka-host.

Mga uri ng mga kahinaan sa site

Kapag lumilikha ng mga web page, maraming mga kaugnay na elektronikong teknolohiya ang ginagamit. Ang ilan ay perpekto at nasubok sa oras, ngunit ang ilang mga bago at hindi pa tumakbo-in. Sa anumang kaso, mayroong maraming mga varieties ng mga site na kahinaan:

• XSS. Ang bawat site ay may mga maliliit na form. Sa kanilang tulong, ang mga gumagamit ay nagpasok ng data at tumanggap ng anumang resulta, magsagawa ng pagpaparehistro o magpadala ng mga mensahe. Sa pamamagitan ng pagpapalit ng mga espesyal na halaga sa mga form na ito, posible upang pukawin ang pagpapatupad ng isang tiyak na script, na maaaring humantong sa isang paglabag sa integridad ng site at ang kompromiso ng data.
• SQL iniksyon. Isang pangkaraniwan at epektibong paraan upang ma-access ang kumpidensyal na data. Maaari itong mangyari sa pamamagitan ng address bar o sa pamamagitan ng mga form. Ginagawa ang proseso sa pamamagitan ng pagpapalit ng mga halaga na hindi maaaring ma-filter ng mga script at magsagawa ng mga query sa database. At may tamang kaalaman, ito ay maaaring maging sanhi ng paglabag sa seguridad.

• Mga error sa HTML. Halos kapareho ng XSS, ngunit hindi ito nagpapakilala ng script code, ngunit HTML.
• Ang kahinaan ng mga site na nauugnay sa paglalagay ng mga file at mga direktoryo sa mga default na lokasyon. Halimbawa, alam mo ang istraktura ng mga web page, maaari kang makakuha sa code ng administrative panel.
• Hindi sapat ang pagsasaayos ng seguridad ng operating system sa server. Kung ang isang kahinaan ay naroroon, pagkatapos ang magsasalakay ay makakapag-execute arbitrary code.
• Masamang mga password. Ang isa sa mga pinaka-halatang kahinaan ng mga site ay ang paggamit ng mga mahina na halaga upang protektahan ang iyong account. Lalo na kung may mga karapatan ng administrator.
• Buffer overflow. Ginamit kapag pinapalitan ang data mula sa memory, kaya maaari kang gumawa ng iyong sariling mga pagsasaayos. Nangyayari kapag gumagamit ng hindi perpektong software.
• Kapalit ng mga pahina ng isang web resource. Ang paglikha ng isang eksaktong kopya ng site, sa pamamagitan ng pagpunta sa kung saan ang gumagamit ay hindi maaaring maghinala ng maruming bilis ng kamay at ipasok ang kanyang personal na data, pagkatapos ng ilang oras pagpasa sa magsasalakay.
• Pagtanggi ng serbisyo. Sa pangkalahatan, ang terminong ito ay tumutukoy sa isang pag-atake sa isang server kapag natatanggap nito ang isang malaking bilang ng mga kahilingan na hindi nito maproseso at simpleng "babagsak" o nagiging hindi kaya ng paghahatid ng mga tunay na gumagamit. Ang kahinaan ay ang IP filter ay hindi maayos na naka-configure.

Maghanap ng mga kahinaan sa site

Ang mga espesyalista sa seguridad ay nagsasagawa ng isang espesyal na pag-audit ng mga mapagkukunan ng web sa pagkakaroon ng mga error at mga pagkukulang na maaaring humantong sa pag-hack. Ang ganitong pagpapatunay ng site ay tinatawag na pagbubuhos. Sa proseso, ang source code na ginagamit ng CMS, ang pagkakaroon ng mga mahahalagang module at maraming iba pang mga kagiliw-giliw na mga tseke ay sinusuri.

SQL iniksyon

Tinutukoy ng ganitong uri ng tseke ng site kung sinasala ng script ang mga natanggap na halaga kapag binubuo ang mga query sa database. Maaari mong isagawa nang manu-mano ang pinakasimpleng pagsubok. Paano makahanap ng kahinaan SQL sa isang site? Ngayon ay ituturing na ito.

Halimbawa, may isang site my-site.rf. May isang catalog sa pangunahing pahina nito. Pumunta dito, maaari mong makita sa address bar tulad ng my-site.rf /? Product_id = 1. May posibilidad na ito ay isang kahilingan sa database. Upang mahanap ang mga kahinaan ng site, maaari mo munang subukan na palitan ang isang marka ng panipi sa linyang ito. Sa katapusan, dapat mayroong my-site.rf /? Product_id = 1 '. Kung nakakita ka ng isang mensahe ng error kapag pinindot mo ang "Enter" na key sa pahina, pagkatapos ay mayroong isang kahinaan.

Ngayon ay maaari mong gamitin ang iba't ibang mga pagpipilian para sa pagpili ng mga halaga. Ang mga operator ng pagsasama, mga pagbubukod, mga komento at marami pang iba ay inilalapat.

XSS

Ang ganitong uri ng kahinaan ay maaaring maging ng dalawang uri - aktibo at passive.

Aktibong nagsasangkot ng pagpasok ng isang piraso ng code sa isang database o direkta sa isang file sa server. Siya ay mas mapanganib at hindi mahuhulaan.

Ang passive mode ay nagsasangkot sa pagpapaandar sa biktima sa isang partikular na address ng isang site na naglalaman ng mapaminsalang code.

Paggamit ng XSS, ang isang magsasalakay ay maaaring magnakaw ng cookies. At maaari silang maglaman ng mahalagang data ng user. Kahit na mas kahila-hilakbot na mga kahihinatnan ang pagnanakaw ng sesyon.

Gayundin, maaaring gamitin ng hacker ang script sa site sa isang paraan na ang form, kapag ipinadala ng gumagamit, ay nagbibigay ng impormasyon nang diretso sa mga kamay ng magsasalakay.

Pag-automate ng proseso ng paghahanap

Sa network, maaari kang makahanap ng maraming kawili-wiling site ng kahinaan sa scanner. Ang ilan ay inihatid nang magkahiwalay, ang ilan ay may kasama ng ilang mga katulad na mga at isinama sa isang karaniwang imahe, tulad ng Kali Linux. Susunod, ang isang pangkalahatang-ideya ng mga pinaka-popular na tool para sa automating ang proseso ng pagkuha ng impormasyon tungkol sa mga kahinaan ay ipapakita.

Nmap

Ang pinakasimpleng scanner ng kahinaan ng site, na maaaring magpakita ng mga detalye tulad ng operating system, port at serbisyo na ginamit. Halimbawa ng karaniwang application:

Nmap -sS 127.0.0.1, kung saan sa halip ng lokal na IP, kailangan mong palitan ang address ng aktwal na site sa ilalim ng pagsubok.

Ang output ay magsasabi sa iyo kung aling mga serbisyo ang tumatakbo dito, at kung aling mga port ay bukas sa oras na iyon. Batay sa impormasyong ito, maaari mong subukang gumamit ng nakilala na mga kahinaan.

Narito ang ilang mga nmap na susi para sa isang mas makiling i-scan:

• -A. Aggressive scanning, na kung saan ay magtapon ng maraming impormasyon, ngunit maaari itong tumagal ng isang malaking oras.
• -O. Sinusubukan upang matukoy ang operating system na ginagamit sa server.
• -D. Pinalitan ang mga IP address kung saan isinagawa ang check, kaya kapag tinitingnan ang mga log ng server imposible upang matukoy kung saan nangyari ang atake.
• -p. Saklaw ng port. Sinusuri ang ilang mga serbisyo para sa bukas.
• -S. Pinapayagan kang tukuyin ang ninanais na IP address.

WPScan

Ang program na ito para sa pag-scan ng isang site para sa isang kahinaan ay kasama sa pamamahagi ng Kali Linux. Ito ay naglalayong suriin ang mga mapagkukunan ng web sa pamamahala ng nilalaman na sistema ng WordPress. Ito ay nakasulat sa Ruby, kaya nagsisimula ito tulad nito:

Ruby ./wpscan.rb --help. Ipapakita ng utos na ito ang lahat ng magagamit na mga susi at titik.

Upang magpatakbo ng isang simpleng pagsubok, maaari mong gamitin ang command:

Ruby ./wpscan.rb --url some-site.ru

Sa pangkalahatan, WPScan ay isang medyo madaling gamitin na utility para masuri ang iyong site sa WordPress para sa mga kahinaan.

Nikto

Sinusuri ng programa ang site para sa isang kahinaan, na matatagpuan din sa pamamahagi ng Kali Linux. May isang mayaman na pag-andar para sa lahat ng pagiging simple nito:

• Pag-scan sa pamamagitan ng HTTP at HTTPS protocol;
• Pagbababa ng maraming built-in na mga tool sa pagtuklas;
• Maramihang pag-scan ng port, kahit na sa di-karaniwang hanay;
• Suporta para sa paggamit ng mga proxy server;
• May pagkakataon na ipatupad at ikonekta ang mga plug-in.

Upang magpatakbo ng nikto, kailangan mong magkaroon ng perl na naka-install sa iyong system. Ang pinakasimpleng pagsusuri ay ang mga sumusunod:

Perl nikto.pl -h 192.168.0.1.

Ang programa ay maaaring "feed" ng isang text file, na naglilista ng mga address ng mga web server:

Perl nikto.pl -h file.txt

Ang utility na ito ay hindi lamang makakatulong sa mga propesyonal sa seguridad na magsagawa ng mga pagpapalaki, kundi mga network administrator at mapagkukunan upang mapanatili ang pag-andar ng mga site.

Burp Suite

Napakalakas na tool para sa pagsuri hindi lamang sa mga site, ngunit pagsubaybay sa anumang network. May built-in na function na baguhin ang mga kahilingan na ipinadala sa server sa ilalim ng pagsubok. Smart scanner, na may kakayahang awtomatikong maghanap ng ilang mga uri ng mga kahinaan nang sabay-sabay. Posible upang i-save ang resulta ng kasalukuyang aktibidad, at pagkatapos ay ipagpatuloy ito. Kakayahang umangkop, na nagpapahintulot sa hindi mo lamang gamitin ang mga third-party na plug-in, ngunit din upang isulat ang iyong sarili.

Ang utility ay may sariling graphical na interface, na walang alinlangan na maginhawa, lalo na para sa mga gumagamit ng baguhan.

SQLmap

Marahil ang pinaka-maginhawa at mahusay na tool para sa paghahanap ng SQL at XSS kahinaan. Ang listahan ng mga merito nito ay maaaring ipahayag bilang mga sumusunod:

• Suporta para sa halos lahat ng uri ng mga sistema ng pamamahala ng database;
• Ang kakayahang gumamit ng anim na pangunahing paraan upang tukuyin at ilapat ang SQL injections;
• Mode para sa enumerating mga user, kanilang mga hash, mga password at iba pang data.

Bago gamitin ang SQLmap, kadalasan ay unang natagpuan ang isang madaling maapektuhan na site sa pamamagitan ng mga search engine, mga query sa paghahanap na makakatulong upang pansamantalang alisin ang mga kinakailangang mapagkukunan ng web.

Pagkatapos ay ang address ng mga pahina ay ililipat sa programa, at ito ay sumusuri. Kung ang kahinaan ay matagumpay na nakita, ang utility ay maaaring gamitin ito at makakuha ng ganap na access sa mapagkukunan.

Webslayer

Ang isang maliit na utility na nagbibigay-daan sa iyo upang magsagawa ng isang atake sa pamamagitan ng malupit na puwersa. Maaari "brutfors" ang anyo ng mapagkukunan, ang session, ang mga parameter ng site. Sinusuportahan nito ang multithreading, na kung saan ay mabuti para sa pagganap. Maaari rin itong recursively piliin ang mga password sa naka-embed na mga pahina. Mayroong proxy support.

Mga Mapagkukunan ng Pag-verify

Ang network ay may ilang mga tool para sa pagsubok ng kahinaan ng mga online na site:

• Coder-diary.ru. Isang simpleng site para sa pagsubok. Ito ay sapat na upang ipasok ang address ng sinubukan mapagkukunan at i-click ang "Suriin". Ang paghahanap ay maaaring tumagal ng mahabang panahon, kaya posibleng tukuyin ang iyong email address upang kapag natapos ang tseke, ang resulta ay direktang ipinadala sa mailbox. Ang database ay may mga 2500 kilalang kahinaan.
• Https://cryptoreport.websecurity.symantec.com/checker/. Online na serbisyo para sa pag-check para sa mga sertipiko ng SSL at TLS mula sa Symantec. Kinakailangan lamang ang address ng mapagkukunang pag-check.
• Https://find-xss.net/scanner/. Sinusuri ng proyekto ang isang hiwalay na file ng mga PHP site sa kahinaan o ang kanilang archive sa ZIP format. Maaari mong tukuyin ang mga uri ng mga file na ma-scan at ang mga character na kung saan ang data sa script ay nakatanaw.
• Http://insafety.org/scanner.php. Scanner para sa mga site ng pagsubok sa platform na "1C-Bitrix." Simple at madaling gamitin na interface.

Algorithm para sa pagsubok ng kahinaan

Anumang eksperto sa seguridad ng network ay gumaganap ng isang simpleng pagsusuri ng algorithm:

1. Una, ito nang manu-mano o sa tulong ng mga automated na tool ay pinag-aaralan kung mayroong anumang mga kahinaan sa site. Kung gayon, tinutukoy nito ang kanilang uri.
2. Depende sa iba't ibang mga kahinaan kasalukuyan, ito ay bumuo ng karagdagang gumagalaw. Halimbawa, kung kilala ang CMS, pagkatapos ay piliin ang naaangkop na paraan ng pag-atake. Kung ito ay isang SQL injection, pagkatapos ay ang mga query ay pinili sa database.
3. Ang pangunahing gawain ay upang makakuha ng privileged access sa administrative panel. Kung hindi ito maaaring makamit, maaaring ito ay nagkakahalaga ng sinusubukan ang form at palsipikasyon ng address sa pagpapakilala ng isang script dito, na sinusundan ng isang paglipat sa biktima.
4. Kung ang anumang atake o pagtagos magtagumpay, pagkatapos ay ang koleksyon ng mga data ay nagsisimula: kung may mga pa rin kahinaan, kung ano ang mga flaws ay naroroon.
5. Batay sa natanggap na data, ipinaalam ng espesyalista sa seguridad ang may-ari ng site tungkol sa mga umiiral na problema at ang mga paraan ng kanilang pag-aalis.
6. Ang mga kahinaan ay inalis sa pamamagitan ng kanyang mga kamay o sa tulong ng mga third-party masters.

Ilang tip sa kaligtasan

Ang mga bumuo ng kanilang sariling website ay nakikinabang ay makikinabang mula sa simpleng payo at rekomendasyon.

Dapat na salain ang papasok na data upang ang mga script o query ay hindi maaaring magsimula nang autonomously o magbalik ng data mula sa database.

Gumamit ng mga kumplikado at paulit-ulit na mga password upang pumasok sa administrative panel upang maiwasan ang posibleng bruteforce.

Kung ang site ay binuo batay sa anumang CMS, kailangan mong i-update ito nang mas madalas hangga't maaari at gamitin lamang ang napatunayan na mga plug-in, mga template at mga module. Huwag sobra-sobra ang site na may hindi kinakailangang mga bahagi.

Mas karaniwan na suriin ang mga log ng server para sa mga kahina-hinalang pangyayari o mga pagkilos.

Suriin ang iyong site gamit ang ilang mga scanner at serbisyo.

Ang wastong pagsasaayos ng server ay isang garantiya ng matatag at ligtas na operasyon nito.

Kung maaari, dapat kang gumamit ng isang sertipiko ng SSL. Pipigilan nito ang pagharang ng personal at kompidensyal na data sa pagitan ng server at ng user.

Mga tool sa seguridad. May katuturan na i-install o ikonekta ang software upang maiwasan ang mga pag-uusig at panlabas na pagbabanta.

Konklusyon

Ang artikulo ay naging napakalaking, ngunit kahit na ito ay hindi sapat upang ilarawan nang detalyado ang lahat ng aspeto ng seguridad sa network. Upang makayanan ang gawain ng pagprotekta ng impormasyon, kailangan mong matutunan ang maraming mga materyales at mga tagubilin. At din master ng grupo ng mga tool at teknolohiya. Maaari kang humingi ng payo at tulong mula sa mga propesyonal na kumpanya na espesyalista sa pagsasagawa ng mga pentula at pag-awdit ng mga mapagkukunan ng web. Kahit na ang mga serbisyong ito ay magbubuhos sa isang mahusay na halaga, ang seguridad ng site ay maaaring maging mas mahal parehong matipid at reputasyon.