Безопасность Web ресурса и Google на службе у хакера [Защити свой интернет ресурс]…

  
    Каждый пользователь интернета задавался вопросом, как Anonymous'ам  и другим представителям хак-сообщества удается похищать данные или выводить из строя крупнейшие веб-сайты, принадлежащие крупнейшим в мире организациям? Благодаря свободному распространению в интернете инструментов для взлома каждый пользователь может почувствовать себя гуру взлома....
    В данной статье мы решили показать насколько легко и просто это сделать.
    В то время как Анонимусы и другие интернет-хактивисты выбирают свои цели в знак протеста, мы подберем любой сайт, который имеет уязвимость.
    Шаг №1: Определение цели
     Для начала воспользуемся поисковой системой Google для поиска "жертвы", (вся мощь данной поисковой системы позволяет нам находить уязвимости, проводить поиск по определенному типу данных, и многое другое). Данный вариант использования поисковика называется Google Hacking, а уязвимость, по которой будем искать, называется Dork.

        /* В хакерском мире Гуглю называют ОРАКУЛОМ ... Судите сами супер поиск, новомодные фишки почты,турбоускорители интернета, нет рекламы... К гуглю обращаются милионы пользователей на разных языках за помощью, на них работают самые мощные программисты.  */ (комментарий пользователя Sten:  на форуме http://dama-pik.ru/forum/)

    В интернете существуют списки данных дорков, поэтому изобретать что-то новое не приходится….
    Примеры Dork'ов для поиска интернет магазинов:
shop.php?id= 
shop.php?pid= 
product_id= 
product.php?id=

    Пример текста который должен присутствовать на сайте:
    intext:"We accept the following credit cards"
    Также можем отсеять поиск только для сайтов определенной страны, для этого указываем в строке поиска ключевое слово site: например
    site:.uk
    Например меня интересует сайт подходящий под данные условия…
    inurl:"ID=" & intext:"We accept visa" & site:.us
    Собственно что мы имеем… Google выдал нам буржуйские сайты, на которых присутствует система оплаты visa :) в адресе которых имеется параметр ID=
    В данном случае ID указывает скрипту номер страницы, которую необходимо показать пользователю.
    Если верить обсуждениям на различных тематических форумах, то некоторым особо талантливым хацкерам, удается похищать реквизиты платежных карт (находятся сайты которые хранят такие данные в незашифрованном виде хотя хранить их на сайте запрещено)…
   
    Шаг №2: Проверка  на наличие уязвимостей
    Работа с данными, хранящимися в базе данных сайта, осуществляется посредством структурного языка запросов SQL.
Проверим данный сайт на уязвимость, поставим вместо  ID=1
    ID=1'
   
     Появилась ошибка… Это свидетельствует о том что данные в скрипте page.php не проверяются и у злоумышленника есть возможность похитить базу данных сайта путем добавления своего кода. Так называемая SQL-инъекция – техника внедрения в исходный SQL-запрос определенного кода, не нарушающего структуры самого запроса, с целью получения доступа к данным, содержащимся в БД.
    Для автоматизации этих действий будет использована программа Havij
   
    Если учесть тот факт, что некоторые пользователи, на различных сайтах, используют один и тот-же адрес почтового ящика и пароль, то взломщик похитивший базу данных пользователей получает в распоряжение почтовый ящик с перепиской, сможет получить привязанные к ним учетные записи от Skype, ICQ, сайтов знакомств и т. д. (или продаст валидные ящики спамерам:).
    Если хакером изначально был выбран какой-то конкретный сайт, и сложно определить уязвим данный ресурс или нет, злоумышленник воспользуется сканером уязвимостей, самый популярный называется Acunetix.
    Acunetix, была разработана британской компанией и до сих пор используется как инструмент для веб-разработчиков для тестирования сайтов, которые они создают. Однако хакерское сообщество взяло данный инструмент на вооружение и использует его для выявления существующих уязвимых мест.
     А теперь, перейдем к методам защиты сайта
     от SQL-инъекции: 

     1. Проверяйте, данные которые вводит пользователь,  на наличие в них вредоносного кода. Для этого необходимо ограничивать длину полей там, где это возможно. Обрабатывайте специальными функциями все данные, получаемые от пользователя методами POST, GET, также возможно Cookies и Header. При использовании PHP функции mysql_real_escape_string() (экранирует слешами запрещенные символы типа ‘, ”), Htmlspecialchars() (преобразует запрещенные html дескрипторы). Проверяйте запросы к базе данных на наличие пользовательских SQL-конструкций.
     Также здесь можно проверять тип вводимых значений, например, с помощью intval() для численных значений.
     2. Ограничивайте пользователей в правах на доступ к базе данных. Чем меньше прав будет у пользователя, тем меньше вреда будет в случае внедрения SQL-инъекции.
    …+ минимально что должен выполнить администратор сайта, это установить надежный пароль от FTP, не хранить пароль в FTP-клиенте. Изменить стандартный адрес входа в админ-панель сайта и phpMyAdmin (в случае похищения логина и пароля, злоумышленник не сможет ими воспользоваться).
    Если сайт создан на CMS (например Joomla, WordPress и. т.д.) необходимо обновить до последней версии, по возможности скрыть стандартные надписи типа версия CMS, устанавливать только проверенные компоненты…
    Не храните на сайте различных тестовых версий скриптов, дампов базы данные, файлы типа password.txt, test1.php и прочее. Такие файлы легко будут обнаружены сканером Acunetix, или проиндексированы поисковыми системами и доступны всем…

11 комментариев:

  1. Магазин спортивного питания, официальный сайт которого доступен по адресу: SportsNutrition-24.Com, реализует широкий ассортимент спортивного питания, которые принесут пользу и достижения как проф спортсменам, так и любителям. Интернет-магазин производит свою деятельность многие годы, предоставляя клиентам со всей Рф качественное спортивное питание, а кроме этого витамины и специальные препараты - Креатин купить в СПб. Спортпит представляет собой категорию товаров, которая призвана не только лишь улучшить спортивные достижения, да и положительно влияет на здоровье организма. Подобное питание вводится в ежедневный рацион с целью получения микро- и макроэлементов, витаминов, аминокислот и белков, а помимо этого прочих недостающих веществ. Не секрет, что организм спортсмена в процессе наращивания мышечной массы и адаптации к повышенным нагрузкам, остро нуждается в должном количестве полезных веществ. При всем этом, даже правильное питание и употребление растительной, а также животной пищи - не гарантирует того, что организм получил нужные аминокислоты или белки. Чего нельзя сказать о высококачественном питании для спорта. Об ассортименте товаров Интернет-магазин "SportsNutrition-24.Com" продает качественную продукцию, которая прошла ряд проверок и получила сертификаты качества. Посетив магазин, клиенты могут подобрать для себя товары из следующих категорий: - L-карнитинг (Л-карнитин) представляет собой вещество, родственное витамину B, синтез которого осуществляется в организме; - гейнеры, представляющие из себя, белково-углеводные смеси; - BCAA - средства, содержащие в своем составе три важные аминокислоты, стимулирующие рост мышечной массы; - протеин - чистый белок, употреблять который можно в виде коктейлей; - разные аминокислоты; - а также ряд других товаров (нитробустеры, жиросжигатели, специальные препараты, хондропротекторы, бустеры гормона роста, тестобустеры и все остальное). Об оплате и доставке Интернет-магазин "SportsNutrition-24.Com" предлагает огромное обилие товаров, которое в полной мере способно удовлетворить проф и начинающих атлетов, включая любителей. Большой опыт дозволил организации наладить связь с наикрупнейшими поставщиками и производителями спортивного питания, что позволило сделать ценовую политику гибкой, а цены - демократичными! К примеру, аминокислоты либо гейнер приобрести можно по стоимости, которая на 10-20% ниже, чем у конкурентов. Оплата возможна как наличным, так и безналичным расчетом. Магазин предлагает обширный выбор способов оплаты, включая оплату разными электронными платежными системами, а кроме этого дебетовыми и кредитными картами. Главный кабинет организации расположен в Санкт-Петербурге, но доставка товаров осуществляется во все населенные пункты РФ. Кроме самовывоза, получить товар можно с помощью любой транспортной фирмы, выбрать которую каждый клиент может в личном порядке.

    ОтветитьУдалить
  2. Портал Mostbethit.net предлагает посетителям поближе познакомиться с одноименной БК. Интернет-ресурс посвящен описанию главных преимуществ конторы. На проекте пользователи узнают другие принципиально важные моменты - промокоды Мостбет. Букмекерская контора для продвижения зеркальных ссылок использует партнерские веб-сайты. Одним из таких ресурсов стал описываемый проект. На страницах портала посетители увидят: - ссылки на зеркала букмекера; - описание БК; - правила работы с конторой; - особенности бонусной политики; - действующие промокоды; - описание способов пополнения баланса; - анализ отзывов о букмекере; - советы для создания аккаунта. Проект предлагает детальный «разбор» оператора ставок. Регистрация для использования не нужна. Гость может свободно переходить по разделам, получать информацию. Языковая доступность - плюс сайта. Русская версия открывается по умолчанию. Гость может установить любой из 23 доступных языков. Описания на портале детальные. Создатели постарались отметить каждый нюанс. Для улучшения пользовательского восприятия тексты снабжены снимками экрана. Информативность максимальная. Предложенные на проекте ссылки направят игроков на действующее зеркало БК. Это обеспечивает круглосуточный доступ к конторе. Об использовании VPN и прочих способов обхода санкций Роскомнадзора удается забыть. Ссылки на дублирующий интернет-сайт Мостбет предложены на каждой странице сайта. Долго искать действующие адреса не придется. Создатели выпустили мобильную версию сайта. Проект оптимизирован под гаджеты с разной диагональю дисплея. Пользоваться ресурсом комфортно со смартфонов и планшетов. Портал не предлагает спортивных ставок и других азартных развлечений. Закрыть веб-сайт регулятор не может. В итоге ресурс обеспечивает круглосуточный доступ к БК.

    ОтветитьУдалить
  3. Наш портал рассказывает о новостях бокса и ММА. Читатель узнает о ближайших и прошедших боях - бойцы мма. Специалисты делятся своими прогнозами на ближайшие действия, проводят разбор окончившихся поединков. Можно прочитать интервью со знаменитыми бойцами и их тренерами. Новости ММА, бокса Все предстоящие и прошедшие бои освещаются с подробным разбором, анализом и комментариями спортивных экспертов. Подписавшись на Octagon, вы будете в курсе всех событий в области боевых искусств. Самые интересные, запоминающиеся бои без правил в нашем видеоконтенте. Ознакомьтесь с выводами, разбором захватывающих моментов поединков. Действия, расписание, видео На странице указано расписание грядущих боев. Даты, время начала боя можно изучить на портале. Предлагается просмотр видео самых увлекательных моментов схваток. Кто не желает заниматься скучным чтением, может посмотреть видео прогноз. Легкая, юмористическая подача информации очень просто воспринимается и усваивается у подписчиков. Видеоряд постоянно обновляется, предлагается только высококачественный контент. Биографии, рейтинги боксеров Предоставлены полные биографии знаменитостей, рейтинг UFC. Вы узнаете, каким был путь героя к покорению Олимпа. Приводятся все весовые характеристики любителей спорта. Предоставляется информация о самочувствии боксера до и после поединка. Проводится разборка стиля и техники бойцов. Octagon.express предлагает только полностью достоверную информацию. На нашем интернет-сайте вы ознакомитесь и узнаете о всех тонкостях смешанных боевых искусств. Точные прогнозы, достоверные рейтинги - наше основное кредо. Подписавшись на Telegram канал, вы будете в курсе всех новостей боевых искусств. Все последние бои UFC не ускользнут от вас.

    ОтветитьУдалить
  4. Наш онлайн-кинотеатр предлагает своим зрителям окунуться в мир интересных турецких телесериалов. Онлайн-портал предлагает широкий каталог многосерийных кинофильмов на любой вкус, а основное, они все имеют русское озвучивание. Мы регулярно пополняем медиатеку, для того чтобы нашему гостю не приходилось находить новинки на сторонних ресурсах - турецкие сериалы на русском. Что предлагает онлайн-кинотеатр своим гостям? - Полное отсутствие рекламы. Ничего не сможет отвлечь от игры любимых актеров! - Постоянные обновления каталога. Теперь вы не пропустите новинки турецкого кинематографа! - Качественное озвучивание - долой русско-турецкий словарь! - Возможность смотреть киносериалы на разных устройствах. Дорога на работу теперь станет увлекательной и интересной! - Удобство просмотра. Наш видеопроигрыватель может приостановить только низкая скорость интернет-соединения. Интернет-портал турецких телесериалов создан специально для тех, кто всегда находится в поиске ресурсов, позволяющих смотреть иностранные многосерийные фильмы без ограничений. Сейчас в вашем распоряжении огромное количество кинофильмов с хорошим качеством изображения и русским переводом. Начать просмотр можно любому посетителю онлайн-сайта без каких-то ограничений. Но мы все таки рекомендуем вам пройти минутную регистрацию - это позволит вам создавать закладки, оставлять комментарии и обсуждать просмотренные картины с другими гостями портала. А если вы только начали знакомство с турецкими телесериалами, сделать выбор в пользу той либо иной киноленты поможет короткая инструкция. Погрузится в мир головокружительной любви, трагических встреч, кровопролитной вражды и опасных игр с самой судьбой поможет наш онлайн-кинотеатр сериалов из Турции. Позитивного просмотра и положительных эмоций!

    ОтветитьУдалить
  5. Ставки на спорт с каждым днем становятся все популярнее. У беттеров (игроков на ставках) из Узбекистана появилась возможность делать ставки в национальной валюте на сайте - букмекер Mostbet Узбекистан. При регистрации в этой букмекерской конторе пользователь выбирает игровую валюту - узбекский сум, российский рубль, доллар или евро. Всего доступно 19 валют! Играть на интернет-сайте смогут не только жители Узбекистана, ресурс переведен на 25 языков. Ставки на спорт На портале Мостбет вы можете сделать ставки на все главные события мира спорта - футбол, баскетбол, хоккей, волейбол, теннис и другие, включая зимние виды спорта, легкую атлетику и единоборства. Для того, что бы делать ставки надо пройти функцию регистрации, которая займет менее 5 минут. Для клиентов этой букмекерской конторы доступны ставки до матча (прематч) и в режиме реального времени (Live). Казино В Мостбет вы можете так же сыграть в азартные игры - карты, рулетку и слоты (игровые автоматы с вращающимися барабанами). Слотов очень много - на любой вкус, от классических вишенок-клубничек до современного софта с несколькими игровыми полями и бонусными раундами. На Мостбет у игроков единый счет для ставок и для казино. Приложение на портале Мостбет вы можете загрузить приложение для игры с мобильных устройств - планшетов и телефонов под управлением операционной системы Андроид и iOS. Ссылка для скачивания этих программ располагается в самом верху главной страницы. На сайте можно ознакомиться с отзывами игроков. В случае если имеется проблема со входом на интернет-сайт, то на странице «Зеркало» можно узнать об альтернативных методах входа, в случаях блокировки ресурса. Для связи с пользователями работает онлайн чат, в котором можно задать любой интересующий вопрос техническим консультантам букмекерской конторы.

    ОтветитьУдалить
  6. Ставки на спорт с каждым днем становятся все популярнее. У беттеров (игроков на ставках) из Узбекистана появилась возможность делать ставки в национальной валюте на интернет-сайте - казино Мостбет в Узбекистане. При регистрации в этой букмекерской конторе пользователь выбирает игровую валюту - узбекский сум, российский рубль, доллар либо евро. Всего доступно 19 валют! Играть на сайте смогут не только жители Узбекистана, ресурс переведен на 25 языков. Ставки на спорт На сайте Мостбет можно сделать ставки на все главные события мира спорта - футбол, баскетбол, хоккей, волейбол, теннис и другие, включая зимние виды спорта, легкую атлетику и единоборства. Для того, что бы делать ставки следует пройти процедуру регистрации, которая займет не более 5 минут. Для гостей этой букмекерской конторы доступны ставки до матча (прематч) и в режиме реального времени (Live). Казино В Мостбет можно так же сыграть в азартные игры - карты, рулетку и слоты (игровые автоматы с вращающимися барабанами). Слотов очень много - на любой вкус, от классических вишенок-клубничек до современного софта с несколькими игровыми полями и бонусными раундами. На Мостбет у игроков единый счет для ставок и для казино. Приложение на интернет-сайте Мостбет вы можете скачать приложение для игры с мобильных устройств - планшетов и телефонов под управлением операционной системы Андроид и iOS. Ссылка для скачивания этих программ имеется в самом верху главной странички. На портале можно внимательно ознакомиться с отзывами игроков. В случае если есть проблема со входом на портал, то в разделе «Зеркало» вы можете узнать об альтернативных методах входа, в случае блокировки ресурса. Для связи с гостями действует онлайн чат, в каком можно задать любой интересующий вопрос техническим консультантам букмекерской конторы.

    ОтветитьУдалить
  7. В последние годы популярность зарубежных телесериалов и полнометражных фильмов бьет все рейтинги. Но где их можно посмотреть? В интернете множество онлайн-кинотеатров, которые предлагают просмотр интересных киноработ от иностранных кинокомпаний - турецкие сериалы онлайн на русском. Огромный выбор на любой вкус Но особенно удобно смотреть зарубежные киносериалы и фильмы на веб-сайте Turksezon.net. На этой платформе представлена большая подборка самых популярных фильмов. На площадке вы можете бесплатно смотреть различные проекты: - турецкие; - колумбийские; - индийские; - бразильские. Все зарубежные проекты на площадке идут на российском языке. Привлекательно не только лишь отличное качество перевода, но и высокое разрешение. Многие сериалы и полнометражное кино на веб-сайте идут в формате 720 HD. Обширное обилие зарубежных фильмов - одна из особенностей онлайн-кинотеатра. На сайте представлены сериалы и полнометражное кино в самых разных жанрах. Тут обязательно найдутся интересные проекты для ценителей драм, фэнтези, боевиков, комедий. Имеется огромное количество криминальных, исторических, семейных и военных киноработ. В соответствующих рубриках находятся актуальные детективы, триллеры, мелодрамы. Фантастическое кино, в том числе сериалы, можно подобрать в отдельном блоке. Такое ранжирование по жанрам очень комфортно для выбора подходящего фильма. Удобство поиска увлекательных кинофильмов Еще одна особенность онлайн-кинотеатра заключается в удобстве поиска интересного фильма. Каждый пользователь может подобрать кино, которое выпущено в определенный период. На интернет-сайте в отдельных блоках собраны проекты, выпущенные с 2016 до 2022 годы соответственно. К каждому фильму на площадке идет маленькое, но емкое описание. Благодаря ему каждый пользователь сможет выбрать конкретно тот проект, что ему максимально интересен.

    ОтветитьУдалить
  8. Retivabet - максимально перспективный и удобный букмекерский портал - Ретивабет честные отзывы беттеров. На веб-сайте вы можете найти разнообразные виды развлечений на любой вкус: казино, букмекерские ставки, игры. Если вы любитель казино, здесь для вас предусмотрено все необходимое. Легкий доступ к игровым слотам, карточным играм и рулетке, а также возможность поучаствовать в турнире. Главная задача турнира - вырваться на лидирующие позиции в турнирной таблице, потому что крупный призовой фонд будет разделен между первыми тридцатью победителями. И чем выше ваша позиция в таблице, тем больший кусок пирога вам достанется. Для ценителей спорта Retivabet предлагает огромный спектр ставок. Тут находятся не только всемирно популярные чемпионаты и команды, но и новички из разных лиг и стран, что делает результат еще более волнительным и интересным. Футбол, баскетбол, хоккей, теннис, снукер, дартс, скачки, гонки и многое другое, на чем можно заработать хорошие деньги. Выбор за вами. Киберспорт кроме этого стал неотъемлемой частью букмекерской компании. Теперь клиент может делать ставки не только на Пре-Матчи, но и на игры в режиме онлайн, в любое время дня и ночи. Для того, чтобы стать клиентом огромной семьи Revitabet, необходимо пройти регистрацию на интернет-сайте Retivabet.net. Это не займет более десяти минут, после чего новый клиент получает бонусы от организации, которыми в последствие, может пользоваться на свое усмотрение. Виды бонусов: - Приветственные; - Кешбэк с сумы ставок; - Бонус за серию проигрышей; - Экспресс бонус. Пополнение счета возможно разными вариантами, что делает это максимально удобным для клиентов. Можно использовать для пополнения и вывода средств банковские карты, мобильные платежи, интернет банкинг. Никаких комиссий со стороны букмекерской компании, и даже приятные бонусы за пополнения. Никаких подводных камней, только прозрачно чистое и выгодное развлечение!

    ОтветитьУдалить
  9. В последние годы популярность зарубежных телесериалов и полнометражных фильмов бьет все рейтинги. Но где их можно посмотреть? В интернете много онлайн-кинотеатров, которые предлагают просмотр интересных киноработ от зарубежных кинокомпаний - https://turksezon.net. Огромный выбор на любой вкус Но в особенности удобно смотреть зарубежные сериалы и фильмы на веб-сайте Turksezon.net. На этой платформе представлена большущая подборка самых популярных сегодня кинофильмов. На площадке вы можете бесплатно смотреть разнообразные проекты: - турецкие; - колумбийские; - индийские; - бразильские. Все зарубежные проекты на площадке идут на российском языке. Привлекательно не только лишь хорошее качество перевода, но и высочайшее разрешение. Многие киносериалы и полнометражное кино на веб-сайте идут в формате 720 HD. Широкое обилие зарубежных фильмов - одна из особенностей онлайн-кинотеатра. На интернет-сайте находятся сериалы и полнометражное кино в самых различных жанрах. Тут обязательно найдутся достойные внимания проекты для ценителей драм, фэнтези, боевиков, комедий. Есть множество криминальных, исторических, семейных и военных киноработ. В соответствующих рубриках находятся актуальные детективы, триллеры, мелодрамы. Фантастическое кино, в том числе киносериалы, вы можете найти в отдельном блоке. Такое ранжирование по жанрам очень удобно для выбора подходящего фильма. Удобство поиска увлекательных фильмов Еще одна особенность онлайн-кинотеатра заключается в удобстве поиска интересного кинофильма. Каждый гость может получить кино, которое выпущено в определенный период. На портале в отдельных блоках располагаются проекты, выпущенные с 2016 до 2022 годы соответственно. К каждому фильму на площадке идет маленькое, но емкое описание. Благодаря ему каждый пользователь сумеет подобрать именно тот проект, что ему максимально интересен.

    ОтветитьУдалить
  10. Веб-сайт казино Супер Слотс представляет собой хорошее сочетание удобства и функционала. Каждый из разделов обустроен опциями, которые будут понятны и полезны любому пользователю - мобильное приложение Super Slots. Интернет-сайт предлагает пройти легкую и быструю регистрацию. Это можно сделать тремя способами: при помощи аккаунта в соцсетях, номера телефона или электронной почты. После регистрации открывается кошелек для пополнения денежных средств и весь набор слотов. Говоря о доступных слотах, необходимо отметить богатую коллекцию сайта. Она часто обновляется и включает как классические слоты, так и новинки игровой индустрии с необычными правилами. Количество слотов на веб-сайте превосходит 200 штук. На веб-сайте показан сегмент с широкой линейкой призов. К ним относятся депозитные и бездепозитные бонусы. Депозитные отличаются разнообразными предложениям в форматах приветствия, кэшбека, турниров и розыгрышей. Бездепозитные бонусы представлены фриспинами, которые игроки получают благодаря промокодам. Промокоды, в свою очередь, это бесплатное вознаграждение от сайта. Они даются бесплатно как новым, так и старым игрокам. Их раздача связана с особенными датами, открытием новейших слотов либо большими турнирами. С помощью промокодов гости получают все виды бонусов, представленные на сайте. Более того, сайт предлагает установить официальное приложение. В соответствующем разделе можно изучить мобильную версию, не уступающую в функционале компьютерной. Стоит упомянуть, что для обеих версий одинаково качественно работает служба саппорта. Портал казино информативен и хорошо спроектирован. Он предлагает огромное количество функций и услуг, которые можно без усилий найти в несколько кликов. Тут каждый игрок становится счастливым пользователем.

    ОтветитьУдалить