AI при взломе ВК? Быстрый анализ переписок и умное «дайте денег» — Serge Arsentiev на vc.ru
Так в 1985 году представляли искуственный интеллект в военном роботе (с) Short Circuit
8387 просмотров
Если пользоваться ВК часто, то раза три в год от друзей будут приходить внезапные «Привет! Можешь скинуть 5 штук до послезавтра?» и это означает, что экаунт друга/подруги ломанули, и скоро он/а сменит пароль, поставит двухфакторку 2FA и всё будет круто. Казалось бы.
В этом году летом ломанули знакомого с включенной двухфакторкой — и когда стали выяснять нюансы, не нашли способа взлома (совсем). Возможно, это был взлом через украденные паспортные данные и установку временной переадресации звонков по запросу к оператору связи через соцсети или справочное. Если переадресацию ставят — хакер запрашивает код не в SMS, а звонком … и получает заветные 4-6 цифр кода в виде звонка на левый телефон, авторизуется и запускает скрипт, который выстреливает десятками сообщений друзьям жертвы и «восстанавливает социальные связи» путём сбора средств.
Но вчера произошло нечто более интересное — очередного знакомого без 2FA ломанули в ВК, он буквально через полчаса узнал об этом, восстановил доступ и обнаружил довольно нетипичную ситуацию:
- В 15:34 был вход с нового устройства, якобы из Польши (с VPN можно указать любую страну, так что это условно) — знакомый за пару минут до этого выключил телефон и ушел на совещание с начальством.
- В 15:37 смена пароля злоумышленником
- Далее до 16:03 похоже, неким скриптом были проанализированы для каждого друга в ВК несколько страниц переписки, сформированы некие массивы информации, и разослано около 50 первоначальных сообщений, нюансом которых является глубокая персонализация (см. ниже)
- В 16:03 знакомый вернулся на рабочее место, включил телефон, понял, что его взломали, сменил пароль, поставил двухфакторку и стал проверять, что же и как писал злоумышленник
Я не могу приложить скрины переписок, но например у меня товарищ хакер попросил «Серёга, тут такое дело — не подкинешь 16 тысяч до 16 сентября как раз?».
В принципе, довольно живенько. Что важно, вброс первичных сообщений шел очень быстро, и с теми кто откликнулся — осознанная переписка продолжалась одновременно, с минимальными паузами. Интерес для меня представляет продуманность первичных обращений, смотрите:
- У другого контакта хакер или скрипт запросил денег, обращаясь к нему по школьному прозвищу, которое упоминалось в большой и частой переписке про нечто школьное аж несколько лет назад, и потом говорили про другое.
- У еще одного контакта — хакер или скрипт использовал упрощенную и не очень частую форму его имени (да, была в переписке, но это же надо было найти, просмотреть и вычленить)
- У семейной пары попросил денег у мужа, ссылаясь на то, что «Спроси конечно у (имя жены), если вы сможете сейчас дать». А в профиле у мужа не проставлена жена, и в переписке выбор подарка на её день рождения с её именем есть чуть менее года назад, и это довольно далеко в массиве.
- К пожилым людям хакер или скрипт обращался более формально и уважительно, к ровесникам — похоже, строго в соответствии с тоном в переписке, как-то подстраиваясь под легкий стиль, и по частоте сообщений выстраивая стратегию, тон общения.
Первая мысль — если есть программки для взлома ВК (которые сами содержат черт знает что), для подбора паролей, есть — как я тут прочитал — некие скрипты, которые относительно мгновенно скачивают дамп профиля (все переписки, альбомы и всё-всё-всё). То, наверное юные натуралисты, вернувшиеся из школ, освоили таки Python и написан некий AI скрипт, позволяющий на основании дампа — делать вот это всё сверху — кастомизацию личных сообщений. Но это как-то крутовато, правда? Учитывая, что большие и сильные веб проекты контекстной рекламы .. до сих пор усиленно предлагают мне распродажу в Рив Гош, на основании того, что с тем же профайлом 5 дней назад родственница что-то такое посмотрела и полистала с iPad или спросила у Яндекса.
Вторая мысль, это бригадный подряд — то есть организованный отряд обученных специалистов, которые, получая доступ к очередному взломанному экаунту, делят между собой его переписки (ну по 3-5 на человека), бегло просматривают их, записывают на листочек важные данные, открывают свои 5 новых диалогов и быстро вбрасывают туда «Привет Вася / Василий Петрович / дядька / племяш … » — то есть кастомизация происходит в ручном режиме
Что я сделал по ситуации? Набрал привычно https://www.vk.com/support?act=new и написал в поддержку. Они, не менее привычно через 5 часов ответили, что про новый хакерский скрипт ничего не знают, взломов много, и пусть пострадавший обратится к ним сам. По опыту, они не дают вовсе никакой новой информации, кроме той, которую пользователь и сам видит в своём профайле — то есть фрагменты диалогов, дату/время, устройство и браузер чужой сессии с IP адресом. И что-либо предпринимать не будут — хотя очевидно, что IP адреса-то эти могут указывать на логова ботов.
Что я хочу узнать, описав всю ситуацию на VC? В-основном то, насколько часто такие случаи с «умными» диалогами после анализа переписки происходят с другими людьми сейчас. Ну и попробовать понять — что еще можно сделать с экаунтом ВК, чтобы помимо двухфакторки как-то еще закрыться. На ум приходят только приёмы из параноидальной безопасности — когда для ВК заводится одна почта и один тлф номер, для FB — другие, везде по кругу включается 2FA и зная основной телефонный номер человека из WhatsApp или Телеграм, или переписав с визитки, или зная его частную почту — никак нельзя по этим данным подобраться ко взлому его социальных сетей или мессенджеров или почты (куда между прочим приходят и банковские выписки и где лежат личные кабинеты всего-всего-всего).
Update: В комментах предположили, что экаунт друга мог быть взломан давно, и злоумы неспешно почитывали переписку и собирали компромат, искали возможность срубить побольше, изучая пациента поближе. Но не нарыли ничего, и дождавшись когда он выйдет из онлайна — запустили быструю рассылку с накопленной ранее базой знаний для кастомизации обращений и отсылок на прежнее общение.
Я попросил ВК поддержку дать историю входов за как можно большее время, с фильтром на известные IP адреса , как бы для себя — и вот что они ответили:
Вы можете добавить в выгрузку данных https://vk.com/data_protection?section=rules&scroll_to_archive=1 информацию об истории активности до года. Для этого при формировании запроса нужно несколько раз нажать на строчку «Сеансы авторизации» в разделе «Прочее» так, чтобы галочка стала полностью синей.
Обратите внимание, что подготовка выгрузки — не мгновенная процедура и занимает до нескольких дней с момента запроса
Поддержка ВК, часть переписки, 17 сентября 2022
Поскольку досюда никто не дочитает, а места еще много, продублирую простую инструкцию о том, что делать при взломе ВК страницы — почему-то многие до сих пор предпочитают один-простой-пароль использовать для всех сервисов сразу, не проверяют наличие чужих входов в свою почту и т.д.
Что делать при взломе ВК страницы:
1.
Поменять пароль (это все делают). Старый пароль — сохранить! В настройках — безопасности найти левый сеанс подключения, записать данные и нажать кнопку «завершить все сеансы»2. Проверить контактные данные в настройках — точно Ваш e-mail и точно Ваш телефон там? Бывает, злоумышленники успевают заменить на свои.
3. После этого включить двухфакторную аутентификацию => Настройки — Безопасность. Вход с каждого нового устройства будет требовать подтверждения через SMS/автозвонок на мобильный от ВК.
Особое внимание — номер телефона должен принадлежать Вам (Вашим паспортным данным), иначе страницу можно потерять 🙁
4. Проверяем также, что там в прикрепленной почте — не взломали ли её. Смотрим журнал входов (там видны устройства и IP адреса). Смотрим нет ли переадресации на левый адрес общей или по правилу пересылки. Если что, меняем пароль, новый не должен использоваться нигде больше. И да, включаем двухфакторую авторизацию и там, в почте
В частности, Safari и Firefox показывают «breached web sites» где пароли уже своровали — так что Tulip123 в маленькой уютной ЖЖшечке еще ничего, но если он же для Apple ID, Google экаунта и еще ВК до кучи — то это плохо. Хотя бы на Госуслугах и в банк-клиенте не такой пароль? И включена двухфакторка ? 🙂6. Если телефон Android и/или Вы пользуетесь сторонними приложениям — вроде Kate Mobile или Скачай Музыку из ВК — стоит проверить телефон на вирусы и перейти на использование официального приложения. Этот совет вроде как устарел, но тоже имеет место быть.
7. Из нового — проверить на своём телефоне, лучше через звонок в справочное оператора наличие переадресаций (1), и историю установки/отмены переадресаций за последнюю пару недель (2). У некоторых операторов есть услуга пересылки SMS на другой номер, проверить и её. Ну и естественно проверить пароль для Личного Кабинета оператора связи — если и там цветет Tulip123 — то злоумышленник мог ставить эти переадресации самостоятельно, и получать коды авторизации ВК за Вас, звонком на другой телефон.
8. Дальше можно подумать, как информация из скрытых альбомов или конфиденциальных переписок — будучи скачанной злоумышленниками — может быть использована против Вас. Задуматься, махнуть рукой и успокоиться.
9. Что-то я забыл?
Буду рад Вашим комментариям и мнениям по поводу этой новой схемы взлома с последующей продуманной перепиской .. и тому, как и кем она создаётся
Как понять, что ваш аккаунт в соцсети собираются взломать
Общество 945
Каждые 11 секунд в мире происходит одна хакерская атака.
Взлом страниц в соцсетях происходит, как правило, для выманивания денег. Мошенники рассылают спам и публикуют фейковые сообщения с просьбой о помощи, или шантажируют самого владельца напрямую. Эксперты Центра цифровой экспертизы Роскачества напоминают, как защитить свой профиль от «угона».
Многие компании ведут свой бизнес в соцсетях, используя их как каналы продаж. Блогеры и медийные личности также заводят свои страницы, формируя лояльную аудиторию и становясь лидерами мнений. Число подписчиков у таких аккаунтов может доходить до 1 млн. Многотысячный профиль может оказаться лакомым кусочком для хакеров.
Так, в начале этого года известный российский телеведущий Дмитрий Дибров лишился доступа к своей странице в Инстаграм*, насчитывающей около 100 тысяч подписчиков.
Дмитрий поделился неприятным случаем с Роскачеством, чтобы предостеречь российских пользователей от неосторожных действий и озвучить одну из схем работы мошенников.
Как понять, что ваш аккаунт собираются взломать?
Если кто-то пытался зайти в ваш аккаунт с нового устройства, вы получите уведомление от службы поддержки соцсети на электронный адрес: «В ваш аккаунт был осуществлён вход с незнакомого места или устройства».
Например, от ВКонтакте вы получите такое сообщение: «Выполнен вход в аккаунт через приложение VK для Android, США». Если это были не вы, не игнорируйте такие сообщения! Установите надежный пароль, который вы больше нигде не будете использовать.
В случае с Дмитрием Дибровым, накануне взлома ему приходили письма от Инстаграм о сбросе пароля. Однако телеведущий проигнорировал этот факт и не принял вовремя меры по смене пароля и включении двухфакторной аунтефикации (2FA). В результате уже через несколько часов не смог войти в свой аккаунт — кто-то его опередил.
Схема действия мошенников
Как правило, получив доступ к профилю жертвы, хакеры начинают спам-рассылку по списку его контактов или публикуют пост о срочном сборе средств на лечение или иную помощь.
Так, мошенники начали рассылку личных сообщений от имени Дмитрия с просьбой перевести деньги якобы на лечение его жены. Друзья были бдительны и никаких денег не переводили.
Дмитрий Дибров: «Железное правило — не верить подобным просьбам из социальных сетей.
Если кому-то понадобится у вас попросить денег — этот человек сам позвонит вам. Другое дело с благотворительностью, но и тут есть опасность перейти по «левой» ссылке. Однако деньги жертвуют, как правило, на расчетный счет банка. Это официально и всегда можно проверить».
Мошенники также вышли на владельца напрямую. Дибров получил сообщение в WhatsApp с неизвестного номера. Некто транслитом на плохом русском языке предложил выкупить доступ к аккаунту за 3 000 долларов. Дмитрий вступил в переписку и «сторговался» на перевод в 100$. Деньги были направлены на указанный мошенниками адрес в Турции через отделение Western Union. Но, как не трудно догадаться, обещанный доступ к своему аккаунту ведущий не получил. Пришло лишь сообщение, что деньги не получены, нужно выслать еще раз и тогда аккаунт точно вернут. Однако нет никакой гарантии, что мошенник выполнит договоренности, сколько бы денег вы ему ни отправили.
Как защитить свой аккаунт от взлома?
Эксперты Роскачества настоятельно рекомендуют подключить двухфакторную аутентификацию во всех соцсетях.
На случае с Инстаграм у Дмитрия все не закончилось. Подозрительный е-мейл о сбросе пароля пришел ему также и от социальной сети ВКонтакте. «Но тут я уже знал, что мне делать, — продолжает Дмитрий, — двухфакторная аутентификация! Я незамедлительно привязал свою VK-страницу к номеру телефона, к которому постоянно имею доступ. Теперь я спокоен за безопасность своего аккаунта. Поэтому я бы всем рекомендовал поступить так же, особенно тем, кто ведет бизнес через социальные сети».
Благодаря этой мере войти в аккаунт с нового устройства так легко не получится. То есть мало знать логин и пароль, нужно будет ввести цифры из смс-сообщения.
Подключить 2FA во ВКонтакте можно в меню «Настройки» через вкладку «Безопасность».
Для того чтобы обеспечить безопасность своего аккаунта, нужно соблюдать 5 рекомендаций от Центра цифровой экспертизы Роскачества, которые подходят для всех социальных сетей.
1. Проверьте входы
В настройках входа в вашем профиле вы всегда можете проверить, когда и откуда был совершен последний вход в ваш аккаунт.
Как правило, соцсеть сама отслеживает подозрительную активность. Если вы видите, что был произведен вход с незнакомого устройства – немедленно смените пароль и перезайдите под ним в учетные записи.
2. Установите сложный пароль
Хакеры подбирают пароли с помощью специального ПО. Придумайте надежный пароль, который будет сложно сгенерировать. Он должен состоять из 8 и более символов, содержать заглавные и строчные буквы с добавлением цифр и специальных символов (тире, вопросительный знак и прочее). Не включайте в пароль ваши персональные данные: дату рождения, имя, фамилию и т.п. Пароли для разных сервисов не должны повторяться. Также хорошей привычкой будет периодическое обновление паролей.
3. Настройте двухфакторную аутентификацию
Это обязательное требование, если вы хотите обеспечить безопасность своих профилей. Укажите телефонный номер или другой вариант дополнительного подтверждения входа, помимо пароля. Это на порядок усложнит задачу тому, кто попытается взломать ваш аккаунт.
4. Установите оповещения о входах в аккаунт
При входе с какого браузера или места соцсеть должна начинать бить тревогу и присылать вам оповещение? Настройте эту функцию. Еще одна очень полезная функция – возможность выбрать от 3 до 5 друзей, которые отправят вам защитный код в случае проблем с входом.
5. Соблюдайте общие антифишинговые правила
Не вводите данные от аккаунта на посторонних сайтах, особенно если перешли на них по ссылке из письма с рекламой. Старайтесь минимизировать входы через социальную сеть на сторонние сайты, в которых вы не уверены. Не устанавливайте подозрительные приложения и регулярно проверяйте свой телефон и компьютер антивирусом, чтобы вовремя обнаружить зловред – похититель паролей.
Подписаться
ВКонтакте США Турция
Что еще почитать
Сын Дианы Гурцкая прервал молчание после смерти отца
Фото 22490
Марта Петрова
Спецназовец предостерег от раздачи людям оружия для защиты территорий у зоны СВО
11322
Лина Корсак
Генерал ФСБ оценил продолжительность контртеррористической операции в Белгородской области
28365
Лина Корсак
Мария Шукшина разгромила российское ТВ: «Воспитаем нацию дебилов»
23137
Анатолий Салунов
Галкин ответил Васильевой на «сволочь»: «Лживый патриотический спикер»
36291
Марта Петрова
Что почитать:Ещё материалы
В регионах
ЧВК «Вагнер» наведались в евпаторийский клуб, где участник СВО не смог исполнить гимн РФ
53701
Крымфото: МК в Крыму
В Симферополе подросток погиб на детской площадке: пытался удивить подругу
30614
Крымфото: МК в Крыму
Вымысел или руководство к действию: стоит ли дачникам доверять лунному календарю
Фото 25451
ПсковТри могилы рядового Загорулько в Симферополе: как это стало возможным
Фото 13626
КрымОлеся Гончарова, фото автора и Виктора Гавриша.
22 мая – день Николая Чудотворца, что строго запрещено в большой праздник
Фото 8651
ПсковПостроят ли метро в Красноярске: история знаменитого и дорогого недостроя
Фото 7643
КрасноярскВладислав Пирогов
В регионах:Ещё материалы
Как: разведка и обнаружение контента
Введение
Разведка играет важную роль при взломе программы.
Recon не всегда означает поиск поддоменов, принадлежащих компании, это также может быть связано с выяснением того, как компания настраивает свои свойства и какие ресурсы они используют. В этом посте мы будем говорить о различных методах, которые могут помочь нам обнаружить поддомены, внутренние ресурсы, шаблоны, используемые компанией, секретные/закрытые ключи, конечные точки API и структуры файлов/каталогов, комбинируя различные инструменты и ресурсы. Проведение надлежащей разведки увеличивает нашу поверхность атаки и дает нам больше возможностей для взлома, чтобы найти больше уязвимостей в системе безопасности.
Брутфорс для поддоменов
Традиционно большинство хакеров используют такие инструменты, как Sublist3r, Knockpy или enumall, предоставляя список слов и целевой домен. Это может работать в большинстве случаев; однако я считаю, что, как и все остальное, это можно настроить, чтобы использовать его в полной мере. После того, как мы запустили наш первоначальный подбор и определили, как компания настраивает свои поддомены, следующим шагом всегда должен быть рекурсивный подбор различных сред, используемых этой компанией.
Например, если компания использует `dashboard.dev.hackme.tld`, мы должны использовать этот шаблон, чтобы найти больше поддоменов за средой `dev`. Это также позволит нам определить другие свойства, которые могут иметь меньше ограничений, чем фактическая производственная площадка.
Этот прием также может работать при перечислении внутренних активов компании, если они размещены за корпоративным или внутренним поддоменом (например, tools.corp.hackme.tld или tools.internal.hackme.tld). Путем перебора домена corp/internal.hacketwo.com мы можем перечислить больше свойств, чтобы расширить нашу поверхность атаки.
Github
Github может стать отличным инструментом для сбора информации об инфраструктуре цели. Мы можем просто выполнить поиск по названию компании или веб-сайту (например, hackme.tld), чтобы увидеть, какие типы файлов и документов были отправлены на Github в качестве первого шага. Мы также можем сузить поиск, используя информацию в нашем начальном поиске, чтобы найти более конкретные закономерности.
Например, если мы ищем «hackme.tld» и обнаруживаем, что они используют «us.hackme.tld» для своих внутренних приложений, таких как JIRA или их корпоративный VPN, это хорошее место, чтобы переключить наше внимание на «us.hackme. tld» в качестве нашего следующего поиска, в то время как мы также выполняем перебор субдоменов для всего, что находится за «us.hackme.tld».
Github также является отличным местом для поиска учетных данных и закрытых ключей API. Самое сложное в этом методе — проявить творческий подход, когда дело доходит до поиска разных ключей. Вот список нескольких элементов, которые я ищу на github:
«Hackme.tld» API_key
«Hackme.tld» secret_key
«Hackme.tld» aws_key
«Hackme.tld» Пароль
«Hackme.tld» FTP
« Hackme.tld» login
«Hackme.tld» github_token
Мы также можем найти дополнительную информацию и конечные точки на поддомене, выполнив поиск на Github. Я смог найти более старые конечные точки API на github, просто найдя «api.
hackme.tld» и проанализировав файлы, которые были отправлены несколько лет назад. Существует множество инструментов, которые вы можете использовать для автоматизации этой работы, чтобы сэкономить время, большую часть времени лично мне нравится делать это вручную, потому что, просматривая файлы, которые могут иметь указанные выше ключевые слова, мы можем найти другую «пикантную» информацию, даже если контент, появившийся по этим ключевым словам, был бесполезен.
Хотя поиск на Github может показаться хорошей идеей, некоторые вещи могут пойти не так:
Мы можем выйти за рамки из-за того, что наткнемся на стороннее приложение или свойства, которые просто не входят в область действия программы. .
Мы можем найти действительно старые ключи, которые уже не работают или принадлежат компании.
Ключи также могут быть поддельными и намеренно размещены на Github.
Всегда полезно перепроверить то, что вы найдете, чтобы увидеть, входит ли оно в область действия.
Веб-сервисы Amazon
AWS стал огромным активом для тысяч различных компаний.
Некоторые компании просто используют корзины AWS s3 для размещения своего контента, в то время как другие используют его для развертывания и размещения своих приложений. Как и любой другой ресурс, преступники могут неправильно настроить или использовать AWS. Например, часто можно найти неправильно настроенные корзины s3, которые позволяют пользователю за пределами организации читать и записывать файлы в корзине, принадлежащей этой компании.
Эти свойства можно обнаружить, комбинируя несколько различных методов:
Используя Google Dork, чтобы найти их: site:s3.amazonaws.com + hackme.tld
Мы можем найти их на github: «hackme.tld» + «s3» это для ускорения
Lazys3 был разработан на основе метода №3. Этот инструмент использует список общеизвестных сегментов s3, создает различные шаблоны и перестановки, захватывает заголовок ответа и возвращает их, если он не возвращает 404. Например, если мы ищем сегменты s3 в hackme.tld, этот инструмент выполнит тест для каждого элемента списка слов, найдет различные шаблоны (т.
е.: вложения-dev.hackme.tld, вложения.dev.hackme.tld, вложения dev.hackme.tld и т. код ответа 200 или 403.
* Пример шаблонов с использованием lazys3 для поиска ведра с именем «активы» в среде разработки. Текущая версия выводит только существующие сегменты.
В то время как перебор и поиск различных приложений в Amazon Web Services может помочь расширить нашу поверхность атаки, здесь также могут возникнуть некоторые проблемы:
Корзина s3 может указывать на то, что она принадлежит определенной компании, но на самом деле он не принадлежит и не управляется этой компанией.
Мы можем снова выйти за рамки по разным причинам, включая сторонние приложения.
Возможно, у корзины s3 есть доступ для чтения, но ни один из файлов в корзине не содержит конфиденциальной информации.
Опять же, всегда полезно проверить область действия, и имейте в виду, сообщая о проблемах такого рода, они могут быть отклонены, если попадут в одну из вышеперечисленных категорий.
Идентификация активов
В дополнение к нашим предыдущим методам мы также можем использовать другие инструменты идентификации активов, такие как Censys, Shodan или archive.org, чтобы расширить нашу поверхность атаки.
Censys.io
Censys отлично справляется со сканированием IP-адресов и сбором информации с множества различных портов. Censys может помочь нам найти больше внутренних инструментов и активов, проанализировав SSL-сертификат, принадлежащий этому свойству. Существуют разные методы и синтаксис для обнаружения контента с помощью censys (https://censys.io/overview), но лично мне просто нравится смотреть на цель на основе их сертификатов SSL. Например, использование строки «443.https.tls.certificate.parsed.extensions.subject_alt_name.dns_names:Yahoo.com» позволяет нам извлекать любые поддомены/свойства, указывающие на Yahoo.com.
Мы также можем настроить поиск в Censys, как и в любом другом инструменте. Креативность — ключевой актив при проведении разведки.
Много раз я искал в censys случайные шаблоны, такие как: «hackme.tld» + internal (или другие ключевые слова), что приводило к обнаружению уникальных свойств, которые никогда не появлялись в моих предыдущих поисках.
Shodan.io
Shodan похож на censys, за исключением того, что Shodan сканирует каждый IP-адрес, находит все открытые порты на этом IP-адресе, генерирует массу данных и позволяет пользователям фильтровать их по местоположению, организации (владению этим IP-адресом ), открытые порты, продукты (apache, tomcat, nginx и т. д.), имя хоста и многое другое.
Тем не менее, мы можем выполнить поиск «hostname:hackme.tld org:hackme ports:15672», если мы хотим найти какие-либо экземпляры RabbitMQ, используя порт по умолчанию на hackme.tld. Мы также можем изменить параметр портов на «продукт», если мы хотим запросить определенный продукт, такой как tomcat: «hostname:hackme.tld org:hackme product:tomcat»
Вы можете узнать больше о Shodan, прочитав «Полный Руководство по Shodan», написанное основателем Shodan Джоном Мазерли.
Archive.org
Archive.org — еще один отличный ресурс для поиска старых файлов robots.txt, которые могут содержать старые конечные точки и другую конфиденциальную информацию, найти старые версии сайта, чтобы проанализировать источник и собрать больше информации, а также найти другие старые и забытые поддомены и среды разработки. Мы можем сделать все это, просто посетив Archive.org, выполнив поиск нашей цели, выбрав более старую дату (может быть, год или два назад) и щелкнув по сайту.
Это также может быть автоматизировано (и это было сделано). Используя waybackurl.py и waybackrobots.txt, мы можем найти всю информацию выше, запустив один из скриптов и дождавшись результатов.
Archive.org также является отличным местом для поиска старых файлов javascript, которые, возможно, все еще доступны для чтения. Используя этот метод, мы можем найти больше устаревших функций и конечных точек.
После сбора списка старых и новых файлов javascript мы можем создать полный список всех конечных точек, упомянутых в этих файлах javascript, с помощью JSParser:
Заключение
Процесс разведки заключается не только в запуске набора доступных инструментов для поиска свойств.
Речь идет скорее о том, чтобы сначала узнать нашу цель, использовать этот набор инструментов и комбинировать их с различными методами, а также использовать собственное творчество, чтобы найти больше результатов. Этот пост в блоге не охватывает все возможные способы проведения надлежащей разведки цели, однако сочетание вышеперечисленных методов, добавление нашего собственного мыслительного процесса и придумывание более творческих методов должно стать отличным началом.
Удачного взлома!
Ben Sadeghipour (@nahamsec)
HackerOne — это хакерская платформа безопасности №1, помогающая организациям находить и устранять критические уязвимости до того, как они могут быть использованы в преступных целях. В качестве современной альтернативы традиционному тестированию на проникновение наши решения по программе Bug Bounty включают в себя оценку уязвимостей, краудсорсинговое тестирование и ответственное управление раскрытием информации. Узнайте больше о наших решениях для тестирования безопасности или свяжитесь с нами сегодня.
Как избежать хакерской атаки
Как избежать хакерской атаки на ваш сайт
Взлом веб-сайтов, несомненно, растет. Хакеры становятся все более изощренными, работая в рамках очень сплоченного сообщества веб-хакеров. Недавно обнаруженные вторжения в веб-приложения публикуются на ряде форумов и сайтов по взлому веб-сайтов, известных только членам этой эксклюзивной группы. Сообщения обновляются ежедневно и используются для распространения и облегчения дальнейшего взлома сети.
Почти каждый день мы читаем о новой хакерской атаке, когда веб-страницы с авторитетных сайтов заражаются вредоносным кодом. Эти кибератаки превращают взломанные веб-сайты в стартовые площадки для хакерских атак, которые устанавливают вредоносные программы на компьютеры тех, кто их посещает.
Взлом веб-сайтов является результатом внедрения веб-технологий для ведения электронного бизнеса. В то время как веб-приложения позволяют организациям беспрепятственно связываться с поставщиками и клиентами, уязвимости веб-приложений также выявили множество ранее неизвестных угроз безопасности, которые могут открыть дверь для хакерской атаки.
Хакеры атакуют эти уязвимые веб-сайты по ряду причин, которые могут варьироваться от кражи конфиденциальной информации до целей SEO.
Взлом веб-сайта для получения конфиденциальных данных
Если вы ведете бизнес в Интернете, ваш веб-сайт должен иметь широкий спектр веб-приложений, таких как корзины покупок, формы отправки, страницы входа, динамический контент и другие специальные приложения. . Эти веб-приложения предназначены для того, чтобы посетители вашего веб-сайта могли извлекать и отправлять динамический контент, включая различные уровни личных и конфиденциальных данных, которые хранятся в базах данных.
Поскольку ваш веб-сайт должен быть доступен днем и ночью из любой точки мира, незащищенные веб-приложения открывают дверь для хакерских атак на внутреннюю корпоративную базу данных.
Если хакер получит доступ к личным данным и данным кредитных карт ваших клиентов, а затем продаст их с целью получения прибыли или просто выставит на всеобщее обозрение, ваш бизнес может оказаться в серьезной опасности.
Многие компании проиграли дорогостоящие судебные тяжбы из-за кражи конфиденциальных данных. Другие закрылись. Все они потеряли доверие своих клиентов и заинтересованных сторон и в результате понесли существенный ущерб своей репутации.
Хакерские атаки для реализации фишинговых сайтов
Даже если ваша база данных не находится в сети, или уже защищена, или вы считаете, что из нее нечего украсть; это не делает ваш веб-сайт менее уязвимым для веб-хакеров.
Хакеры также злонамеренно взламывают веб-страницы, внедряя код в уязвимые веб-приложения, чтобы обмануть пользователей и перенаправить их на фишинговые сайты, которые затем используются для получения сведений о банковских счетах пользователей. Кибератака такого рода, направленная главным образом против банков и сервисов онлайн-платежей, может быть результатом SQL-инъекций, межсайтового скриптинга или других методов взлома, которые могут выполняться, даже если веб-серверы и ядро базы данных не содержат уязвимостей.
Если это произойдет и в результате ваш сайт будет зарегистрирован и отслежен как фишинговый, вы рискуете получить судебный иск, даже если вы просто жертва.
Взлом веб-сайта с целью злоупотребления пропускной способностью
Высокая пропускная способность — дорогое удовольствие; следовательно, использование чужого для ведения незаконного бизнеса может быть одной из причин кибератаки.
Преступники, распространяющие или распространяющие пиратское программное обеспечение, могут провести хакерскую атаку на чужой сервер с большой пропускной способностью и использовать его для распространения оттуда своих нелегальных продуктов.
Не подозревая об этом, владелец сервера помогает осуществлять незаконную деятельность.
Хакерские атаки с целью распространения нелегального контента
Взлом веб-сайтов все чаще совершается преступниками, желающими бесследно распространять нелегальный контент. Например, хакер может атаковать веб-сайт невиновного человека и использовать его для распространения детской порнографии.
Когда правоохранительные органы отслеживают незаконный материал, виновного установить невозможно, а невиновный владелец сайта может столкнуться с серьезными юридическими последствиями, не говоря уже о нанесении ущерба его реальному бизнесу и репутации.
Взлом веб-сайтов в целях SEO
Другие попытки взлома предпринимаются для повышения рейтинга веб-сайта в Google с использованием скрытых ключевых слов, введенных на невинных сайтах.
Это действие не одобряется поисковыми системами и может привести к штрафам, таким как снижение рейтинга веб-сайта жертвы или полное удаление его из индексной базы данных поисковой системы. Если вы занимаетесь онлайн-бизнесом, эти SEO-наказания могут иметь серьезные последствия для вашей деятельности.
Предотвращение взлома веб-сайтов с помощью Acunetix
Сложные SQL-инъекции и межсайтовые скрипты можно предотвратить с помощью Acunetix.
Acunetix поможет вам избежать хакерских атак. Он обеспечивает безопасность веб-приложений, автоматически проверяя наличие SQL-инъекций, межсайтовых сценариев и других уязвимостей веб-приложений.
