Социальная инженерия (СИ)
Социальная инженерия - это атака не на сервер и не на машину клиента, а на мозг клиента. Грубо говоря это можно назвать разводом. Если ты хочешь получить нужную информацию, например пароль, можно поступить несколькими способами.
- смотрим форму восстановления пароля, находим секретный вопрос и пытаемся узнать ответ на этот вопрос у нашей жертвы в каком либо чате или личных сообщениях.
- отправляем письмо жертве с просьбой прислать в письме логин/ пароль/ новый пароль / новый вопрос и тд.
Письмо должно быть оформлено в стиле сервиса, которому может поверить пользователь, таким вот образом, имея контакт с жертвой, можно просто всё узнать и идти взламывать не заморачиваясь на поиск информации или привлечения програмных средств.
СИ + Троян
Троян ака троянский конь - это шпионская программа которая может отправить пароли жертвы вам на почту, запомнить все нажатые клавиши, дать вам доступ к харду жертвы и тд. Для того чтобы подсунуть жертве трой мы используем СИ, говорим что это фотка(предварительно склеив троян с картинкой), последний супер мега патч на винду и т.д. Здесь всё зависит только от твоей фантазии. Чтобы троян не палился антивирусом его нужно закриптовать, криптор надо использовать приватный, так как пабликовые палятся антивирусом. Один из наиболее мощных троянов это Pinch(где слить-поищи в google.com, пусть это будет твоё боевое крещение).
Брутфорс
Брутфорс - самый грубый метод взлома, попросту тупой перебор.
То есть, программа, с помощью словаря, переберает всевозможные комбинации и когда найдёт подходящую, сообщит вам об этом и покажет найденное, таким образом можно перебирать как месяц так и год, если у вас есть хороший словарь, то процент удачи увеличивается, если вы знаете из чего состоит пароль к примеру, только буквы или только цифры, перебора понадобится меньше, но я лично считаю это самый муторный способ, если у вас есть много времени и безлимитный интернет + отличный словарь (искать в гугле или купить) ставим брут и ждём неизвестно сколько, ах да, перебор это тоже что и спам атака, служба безопасности сайта обязательно заметит эту атаку и если вы не скрыли себя в сети, то ваш айпи будет заблокирован и внесён в спам базу.
XSS атака
XSS атака – это атака на уязвимость, которая существует на сервере, позволяющая внедрить в генерируемую сервером HTML-страницу некий произвольный код, в котором может быть вообще все что угодно и передавать этот код в качестве значения переменной, фильтрация по которой не работает, то есть сервер не проверяет данную переменную на наличие в ней запрещенных знаков –, <, >, ’, ”. Значение данной переменной передается от генерируемой HTML-страницы на сервер в скрипт, ее вызвавший путем отправки запроса.
А далее начинается самое интересное для взломщика. РНР-скрипт в ответ на данный запрос генерирует HTML-страницу, в которой отображаются значения требующихся взломщику переменных, и отправляет данную страницу на браузер взломщика. То есть, говоря проще, XSS атака – это атака с помощью уязвимостей на сервере, на компьютеры клиентов.
XSS атака чаще всего используется для кражи Cookies (или куки, как их произносят по-русски). В них хранится информация о сессии пребывания пользователя на сайтах, что и бывает нужным взломщикам для перехвата управления личными данными пользователя на сайте в пределах, пока сессия не будет закрыта сервером, на котором размещен сайт. Помимо этого в Cookies хранится зашифрованный пароль, под которым пользователь входит на данный сайт, и при наличии необходимых утилит и желания взломщикам не доставляет особого труда расшифровать данный пароль. А чем это чревато, думаю, всем понятно.
Другие возможности XSS атак:
- возможно при открытии страницы вызвать открытие большого количества ненужных пользователю окон.
- возможна вообще переадресация на другой сайт
(например, на сайт конкурента).
- существует возможность загрузки на компьютер пользователя скрипта с произвольным кодом (даже вредоносного) путем внедрения ссылки на исполняемый скрипт со стороннего сервера.
- зачастую происходит кража личной информации с компьютера пользователя, помимо Cookies в качестве объекта кражи выступает информация о посещенных сайтах, о версии браузера и операционной системе, установленной на компьютере пользователя, да к тому же еще и плюсуется IP-адрес компьютера пользователя.
- xss атака может быть проведена не только через сайт, но и через уязвимости в используемом программном обеспечении (в частности, через браузеры). Поэтому рекомендуем почаще обновлять используемое программное обеспечение. Также возможно проведение XSS атак через использование SQL-кода.
SQL injection (внедрение SQL кода)
SQL injection (SQL-инъекция или внедрение SQL-кода) - это один из самых опасных способов взлома сайта. Взлом с помощью SQL injection основан на внедрении в запрос к базе данных произвольного SQL-кода. Самой распространенной причиной возникновения атаки типа SQL injection является некорректная обработка входных данных, передаваемых в SQL-запросы.
В зависимости от типа используемой базы данных и от степени "везения", злоумышленник может получить содержимое любых таблиц, удалить, изменить или добавить данные, а в ряде случаев не только прочитать, но и модифицировать локальные файлы, хранящиеся на атакуемом сервере или выполнить произвольную команду. По сути дела, если на сайте есть возможность выполнить атаку типа SQL injection, то с базой данных сайта можно сделать все, что угодно. Например, воровство паролей и получение доступа ко всему сайту, либо подмена номеров кредитных карточек, получение услуг сайта без совершения фактической оплаты, и сотни других явных или не явных действий. О некоторых таких действиях вы можете даже и не подозревать. Злоумышленник может грабить вас понемногу, а может просто обрушить ваш бизнес в самый не подходящий момент. Если XSS уязвимость это насморк, то SQL injection- смертельное заболевание и защищаться от него нужно всеми доступными способами.
Ботнет
Это компьютерная сеть, состоящая из некоторого количества хостов, с запущенными ботами — автономным программным обеспечением. Чаще всего бот в составе ботнета является программой, скрытно устанавливаемой на компьютере жертвы и позволяющей злоумышленнику выполнять некие действия с использованием ресурсов заражённого компьютера. Обычно используются для нелегальной или неодобряемой деятельности рассылки спама, перебора паролей на удалённой системе, атак на отказ в обслуживании.
Проще говоря:
создаётся программа
в программу встраивается вирус
вы качаете программу
ваш антивирус не реагирует(вирус скрытый)
вирус попадает на компьютер
вы спокойно пользуетесь программой
вирус встраивается в компьютер
и с этого момента ваш компьютер - зомбирован.
Хозяин вируса получает полный доступ к вашему компьютеру
и теперь ваш компьютер будет делать то , что захочет мошенник
а именно вы станете участником Ddos - атаки на какой либо сервер(сайт)
Пример:
заражённую,но очень полезную программу скачивает 5.000 пользователей 5.000 компьютеров становятся роботами,зомби и конечно ничего об этом не знают они изо дня в день пользуются программкой,радуются что всё хорошо а в это время их компьютер делает то,что хочет от него мошенник обычно компьютер - робот нужен для того,чтобы убить какой либо сайт одного компьютера мало а вот 5.000 вполне хватит для того,чтобы вывести из рабочего состояния небольшой сайт с плохой системой безопасности чем больше компьютеров-роботов , тем лучше для мошенника) Называется это - DoS-атака
Дос атака это обычно, огромное количество одинаковых запросов, к определённой странице сайта, например 5.000 заражённых компьютеров начнут посылать по 1.000 запросов к странице каждый и сайт упадёт, выйдет из строя.
Самое интересное в другом:
вы скачали программу
стали участником дос атаки
с помощью вашего компьютера мошенникам удалось убить сайт
руководство сайта легко может выяснить с каких компьютеров
была атака на их сайт
узнав ip компьютера они узнают и ваш адрес
а вы сидите и пользуетесь программой ничего не подозревая
что вы скажите когда к вам в дверь позвонит наряд Милиции?
Уголовный кодекс России предусматривает максимальное наказание за DDoS-атаку до 7 лет лишения свободы
- Бонет
- Дос атака
- Наказание за DDoS атаку — до 10 лет тюрьмы
- Вместо хакеров за атаки накажут владельцев
- Ботнет из подручных средств
- Joker - плацдарм для вторжения
- Joker Botnet - контратака
Фейк
Фейк (аккаунт)
Фейком называется второй или более зарегистрированный на ресурсе аккаунт одного человека (см. также мульт, виртуал). Зачастую, фейки регистрируются тогда, когда основной аккаунт находится в бане, для того, чтобы не терять доступ к ресурс.
Фейк (p2p)
Фейком называется файл, имеющий название и прочие атрибуты, совпадающие или сходные с искомыми, но искомым не являющийся. Есть 2 типа: большие и маленькие. Большие - как правило, фильмы и игрушки. Бывало же, что скачиваете какой-нибудь свежий фильм, в предвкушении запускаете - а там вместо киноэпопеи второсортное порево ? Используются такие подлянки для накручивания рейтингов и издевательства над народом. Маленькие - всяческие кряки и кейгены. Используются для распространения троянов и вирусов (хотя, иногда бывает два в одном: кряк честно крякает то, для чего он предназначен, но трояна таки засаживает). Иногда бывает, что вместо искомого файла человек находит простую кучку нулей, букв "А" etc. размером с нормальный файл.
Фейк (веб-страницы)
Фейком называется страница или сайт, где находится точная копия какого-либо веб-сайта, для просмотра которого нужна обязательная авторизация. Используется для кражи логинов и паролей у нубов. Принцип действия: жертва получает ссылку на сайт, авторизуется с настоящим логином, данные отправляются в файл на сайте, злоумышленник получает логин и пароль жертвы и входит на сайт.
Фейком в широком смысле слова называется любая подделка, выдаваемая за настоящую вещь. К примеру, считается, что все фотографии НЛО — фейки.
Поговорим именно о последнем пункте а именно о Фейке веб страницы,
в частности сайта vkontakte.ru
Фейк сайта vkontakte.ru - это сайт,
имеющий название, очень похожее на vkontakte.ru,
например "vkontlakte.ru" , главная страница которого ничем не отличается от главной страницы vkontakte.ru
Всегда проверяйте в адресной строке своего браузера, на странице какого сайта вы собираетесь ввести свои логин/пароль от страницы, настоящий сайт имеет адреса:
vkontakte.ru
vk.com
Если хоть в одной букве будет различие то вы находитесь
при входе на ложный фейковый сайт.
Фэйк создаётся с целью кражи ваших паролей. Если вы не заметите отличие в одном символе, то наверняка решите, что это и есть настоящий сайт, введёте свой логин/пароль и... окажетесь взломаны.
После попытки авторизации на фейковом сайте пользователь чаще всего перенаправляется на настоящий сайт,реже пользователь так и остаётся на фейковом сайте и наблюдает сообщения о невозможности авторизации.
Эти логин и пароль будут записаны в базу спамеров, и в тот же день или в ближайшие дни ваш аккаунт на настоящем vkontakte.ru начнёт рассылать спам. Обычно всякую порнуху.
После чего страницу заблокируют а при повторе могут и удалить а вы будете сильно удивленны, ведь вы ничего такого не делали.
- Создаём фейк сами!
- Использование фэйка на практике
Фишинг
Фишинг (англ. phishing, от fishing — рыбная ловля, выуживание и password — пароль) — вид интернет-мошенничества, цель которого — получить идентификационные данные пользователей. Сюда относятся кражи паролей, номеров кредитных карт, банковских счетов и другой конфиденциальной информации.
Фишинг представляет собой пришедшие на почту поддельные уведомления от банков, провайдеров, платежных систем и других организаций о том, что по какой-либо причине получателю срочно нужно передать / обновить личные данные. Причины могут называться различные. Это может быть утеря данных, поломка в системе и прочее.
Атаки фишеров становятся все более продуманными, применяются методы социальной инженерии. Но в любом случае клиента пытаются напугать, придумать критичную причину для того, чтобы он выдал свою личную информацию. Как правило, сообщения содержат угрозы, например, заблокировать счет в случае невыполнения получателем требований, изложенных в сообщении («если вы не сообщите ваши данные в течение недели, ваш счет будет заблокирован»). Забавно, но часто в качестве причины, по которой пользователь якобы должен выдать конфиденциальную информацию, фишеры называют необходимость улучшить антифишинговые системы («если хотите обезопасить себя от фишинга, пройдите по этой ссылке и введите свой логин и пароль»).
Вывод, если вы сами не запрашивали смену пароля или каких то данных, не верьте письмам, в которых вам предлагается это сделать, проверяйте сообщения которые вам приходят и если вам пишут об угрозе например от имени вашего Банка, просто позвоните в банк и узнайте что и как, по ссылкам не ходите, помните, администрация сайта никогда не будет спрашивать у вас ваши данные, пароли, логины, номера счетов и.т.п.
