به این سوال مشتری درمورد امنیت وبسایت چه جوابی می دین؟

[anotheruser]

سلام،
من یبار با این سوال مواجه شدم،خواستم ببینم اگه شما تو این موقعیت قرار می گیرفتید چی جواب میدادین،خلاصه میگم..اون کسی که واسش سایت درست کرده بودم وقتی بهش گفتم که این نرم افزار، این سایت از نظر امنیت در سطح خوبی هست و برا جلوگیری از روش های گوناگون هک روش کار شده و.. دربین حرفاش بهم گفت که آیا می تونی یه سایت فلان رو هک بکنی؟ میگن پلیس خوب یه دزد خوب هم میتونه باشه! جواب شما به این سوال چی هست؟
با تشکر

[anotheruser]

مساله ای که هست من تدریس برنامه نویسی هم میکنم ، ولی راستشو بخواین از این سوال واهمه دارم!

[anotheruser]

شما فرض کنین دارین مثلا مشکل SQL-Injection رو به شاگردتون توضیح میدین ، اون وقت شاگرد با یه چنین سوالایی می تونه شما رو به یه چالش حسابی بکشه !

[silverfox]

خوب بگرد یه سایت واقعی(خارجی) که SQLI هم داره پیدا کن به شاگردت زمان درس دادن نشون بده، یا اصلا به عنوان تمرین بگو بگرده یه سایت پیدا کنه که SQLI داشته باشه پیدا کنه.
جواب سوال هم که فلان سایت رو می تونی هک کنی رو نمی شه همینطوری داد خوب شما باید بررسی کنی ببینی چه سیستمی داره باگی چیزی داره و باید روش کار بشه همینطوری نیست که فرتی تصمیم بگیری بری هک کنی یه پروسه زمان بره طرف اگه خودش یکم از این چیزا سر در بیاره ازین سوالا نمی پرسه.

[Mojtaba.Shateri]

سلام،
من یبار با این سوال مواجه شدم،خواستم ببینم اگه شما تو این موقعیت قرار می گیرفتید چی جواب میدادین،خلاصه میگم..اون کسی که واسش سایت درست کرده بودم وقتی بهش گفتم که این نرم افزار، این سایت از نظر امنیت در سطح خوبی هست و برا جلوگیری از روش های گوناگون هک روش کار شده و.. دربین حرفاش بهم گفت که آیا می تونی یه سایت فلان رو هک بکنی؟ میگن پلیس خوب یه دزد خوب هم میتونه باشه! جواب شما به این سوال چی هست؟
با تشکر

من معمولا وقتی در هر موردی ازم سوال میشه ، اگه بلد نباشم به طرف مقابل میگم که براش بررسی میکنم و مثلا فردا نتیجشو بهش میگم.
این روشو خودم دیدم که بهترین استادای دانشگاهی هم انجام میدن.
این موضوع یه چیز طبیعیه. ممکنه در اون لحظه به هر دلیلی (استرس ، ندونستن...) نتونی جواب سوالو بدی.
اینکه با آرامش به شاگردت بگی جواب سوءال رو نمیدونی و براش وقت میزاری و بررسی میکنی و سعی می کنی جوابشو بهش بگی ، این کار خیلی عقلانی و طبیعیه.:لبخندساده:

[anotheruser]

خوب بگرد یه سایت واقعی(خارجی) که SQLI هم داره پیدا کن به شاگردت زمان درس دادن نشون بده، یا اصلا به عنوان تمرین بگو بگرده یه سایت پیدا کنه که SQLI داشته باشه پیدا کنه.
جواب سوال هم که فلان سایت رو می تونی هک کنی رو نمی شه همینطوری داد خوب شما باید بررسی کنی ببینی چه سیستمی داره باگی چیزی داره و باید روش کار بشه همینطوری نیست که فرتی تصمیم بگیری بری هک کنی یه پروسه زمان بره طرف اگه خودش یکم از این چیزا سر در بیاره ازین سوالا نمی پرسه.

ممنون از نوجهتون بچه ها،منتها فکر می کنم شما متوجه عرایض بنده نشدید،

طرف اگه خودش یکم از این چیزا سر در بیاره ازین سوالا نمی پرسه.
خوب دوست من خودتون دارین می گین دیگه "اگر مشتری سردربیاره" !


من معمولا وقتی در هر موردی ازم سوال میشه ، اگه بلد نباشم به طرف مقابل میگم که براش بررسی میکنم و مثلا فردا نتیجشو بهش میگم.
این روشو خودم دیدم که بهترین استادای دانشگاهی هم انجام میدن.
این موضوع یه چیز طبیعیه. ممکنه در اون لحظه به هر دلیلی (استرس ، ندونستن...) نتونی جواب سوالو بدی.
اینکه با آرامش به شاگردت بگی جواب سوءال رو نمیدونی و براش وقت میزاری و بررسی میکنی و سعی می کنی جوابشو بهش بگی ، این کار خیلی عقلانی و طبیعیه.:لبخندساده:

دوست من هم همین کاری که شما میگی میکنم، بنده اگه اغراق نشه فقط یه برنامه نویس با کاربلد و با تجربه هستم ، اتفاقا اصلا هم استرس و اینها پیدا نمی کنم چون معمولا از کسی که دارم بهش یاد میدم یه 5-6 سالی جلوترم و به اون چیزی که می خوام بگم اشراف دارم و اگرم حضور ذهن نداشتم همونطور که شما فرمودین خیلی ساده میگم "نمیدونم" ، منتها مشکلم اینه که من هکر نیستم! :لبخندساده:

[anotheruser]

به عبارت دیگه، بارهاهم این اتفاق شده که به کسی بگم این مورد رو نگاه می کنم جلسه بعد می گم منتها نمیتونم که بهش بگم باشه جلسه بعد واست هکش میکنم!

[Unique]

جواب این سوال کاملا واضحه :

اولا اون چیزی که از هک توی ذهن افراد هست خیلی اشتباهه ! خیلی ها اصلا معنی هک را نمیدونند. اول شما باید بپرسین منظورت از هک چیه ؟ اگه مثلا گفت بتونی پسورد ادمین را بدست بیاری یا به عنوان ادمین لاگین کنی خوب میتونی بگی اگه سایتی که مد نظر هست از نظر SQL Injection امنیتش تامین نشده باشه و بشه Inject کرد امکان این کار وجود داره.

بطور کلی نمیشه در مورد چیزی که هنوز تعریفش توسط پرسش کننده مشخص نیست جواب مشخصی داد. به طور کلی همیشه بگین برای سوء استفاده از هر وب سایتی باید یکسری حفره های امنیتی مثل موارد زیر را بررسی کرد بعدش اگه حفره وجود داشت از طریقش نفوذ کرد :

Sql Injection
Session hijacking
Browser exploit
Cross-site scripting
Cross-site cooking
Content sniffing
File inclusion vulnerability
و ...

معمولا طرف با شنیدن این واژه ها عقب نشینی میکنه.
اما اینکه یکی بگه من یک سایت را معرفی میکنم شما هکش کن که مسخره هستش ! مگه تکنیک های هم یکی دو تا هست !؟ باید وقت گذاشت و بررسی کرد و نفوذپذیری را چک کرد !
اکثر کارفرما ها مشکلشون با برنامه نویس قبلی همین SQL Injection و Cross-site scripting و CSRF بوده ! بقیه حفره ها نیاز به وقت صرف کردن داره که توی خیلی از سایت ها اصلا ارزشش را نداره هکر وقت بگذاره ! سایت بانک هم که قرار نیست طراحی کنی.

[anotheruser]

...معمولا طرف با شنیدن این واژه ها عقب نشینی میکنه. آره باید یکاری کنم دیگه حرف نزنه :قهقهه:

[mehdiomnia]

من باشم خیلی راحت میگم
یه پلیس خوب هم زمانی دزد خوبی میشه که مدت هاست از کار پلیسیش دست کشیده و دیگه شده دزد پس پلیس نیست
من الان یک پلیسم برای اینکه بتونم دزد بشم باید روش کار کنم
فکر کنم جواب خوبی باشه و نشون میده که دزد خوب پلیس خوبی نیستش یا برعکس

[eshpilen]

فرضا شما یه پلیس مبارزه با مواد مخدر هستی. آیا حتما باید بری مدتی قاچاق مواد مخدر بکنی یا حتی خودت مواد مخدر مصرف کنی و معتاد بشی تا شایستهء پلیس مواد مخدر بودن بشی؟
البته شکی در این نیست که داشتن چنین تجربه هایی میتونه به شغل شما کمک بکنه و بتونی موفق تر باشی، اما به چه بهایی؟ خیلی راهها هست که هزینه و/یا خطرش بیش از اونی هست که حداقل فعلا من و شما بتونیم طرفش بریم.
هک و امنیت هرکدام خودشون یه مسیر دارن و وقت و انرژی و هزینه های خودشون رو. از اونجایی که شما میخوای فقط محافظت کنی و نمیخوای نفوذ کنی، به صرفه اینه که تمام یا عمدهء وقت و انرژی خودت رو روی راههای جلوگیری بذاری. البته برای این، شما با روشهای هک و نفوذ هم حداقل از نظر تئوریک و کلی و خلاصه شده هم که شده آشنا میشی و باید بخونی و بفهمی و یاد بگیری تا بتونی دفاع آگاهانه و کامل و موثری داشته باشی در موارد متنوع و امکان هایی که هست. شما توی امنیت که میری اگر حرفه ای کار کنی، یک پایهء تئوریک و حتی تاحدی عملی برای هک رو هم بدست میاری که این پایه میتونه حتی از هکرهای معمولی هم قوی تر باشه، منتها برای هک عملی باید دیگه وارد بخشهای مبهم تر و موردی تر و شاید بعضی موارد زیرزمینی و در کل کارهای تجربی هم بشی.
من میگم بد نیست اگر آدم یخورده تجربهء هک هم کسب کنه. حالا یه کمی هم که شده. ولی خب باید خطرات قانونی رو هم درنظر بگیرید. خب من میگم حداقل آدم که میتونه توی برنامه ها و سایتهایی که خودش نوشته حفره های امنیتی باز کنه و بعد نفوذ و سوء استفاده رو روی اونا تست کنه که! نه؟

جالب اینکه گرچه منم خودم تاحالا هک و نفوذ قابل نداشتم، ولی الان منو بعنوان یک مرجع امنیت میشناسن!! تازه به هکرها هم زیاد گیر دادم و نقطه ضعفهایی ازشون گرفتم و مسخرشون کردم :لبخند:
ولی میدونی خب بنده درک تئوریم خیلی قویه و از نظر تئوریک فول هستم. نیازی ندارم حتما یه چیزی رو تست و تجربه کرده باشم تا بفهمم و حتی پیشبینی کنم. یه متن رو بخونم حتی بدون نمونه کد، اگر بقدر کافی دقیق و کامل باشه و گاهی حتی صرفا اشاره های خوبی داشته باشه، معمولا همه چیز دستم میاد و درک کامل و دقیقی بدست میارم از داستان.
ولی تازگی داریم یخورده شیطنت میکنیم روی یه فرومی که منو ازش بخاطر فحش رکیک دادن به مدیراش اخراج کردن :قهقهه:
البته این کار رو بیشتر بخاطر همین که یخورده تئوری رو عملیش بکنم و تجربهء عملی در اونور داستان هم بدست بیارم انجام میدم نه صرفا بخاطر کینه و انتقام جویی و خرابکار بودم. البته صدمهء خاصی هم نمیزنم فقط میخوام یه روبات بنویسم یخورده شیطنت بکنم. کپچاشون خیلی ضعیفه از این متنی هاست که راحت میشه روباتش رو نوشت. یه خوبی این سوژه هم اینه که فروم ضد نظام و فیلتر شده است و بنابراین از نظر قانونی بعیده مشکلی داشته باشه :قهقهه:

[eshpilen]

بهرحال این بدیهی است که شما بالاخره باید مطلب رو درک کرده باشی.
حالا یا تئوریک درک کردی، یا نیاز داری تجربی کار کنی تا درک کنی و یادبگیری که واقعا نفوذ چرا و چطور صورت میگیره و چطور میشه به نحو مطمئنی جلوش رو گرفت.
بالاخره دوتا مثال و نمونه کد مثلا واسه نفوذ از طریق SQL Injection و XSS و CSRF و اینا که دیدی و فهمیدی چطور کار میکنه!؟
اگر نفمیدی، خب همون برنامه و سایتی که نوشتی توش حفره باز کن بعد برو روی کار نفوذ. این بعنوان قدم اول حداقل و راحت و مطمئن! روی لوکال میتونی براحتی و سرعت بیشتری تست کنی و همه چیز هم که تحت کنترل و آگاهی خودته.

[eshpilen]

راستی در نظر بگیر که یه دزد هم کاملا دانش و بینش و مهارت و توانایی های پلیس ها رو نداره و از بعضی هاش هم اصلا ممکنه سردرنیاره یا ندونه.
این قضیه دو طرفه است.
ولی خب بنظر من در کل کار تامین امنیت سخت تر از نفوذ و خرابکاریه.
یه نفوذگر فقط میخواد نفوذ کنه و هیچ پارامتر و محدودیت دیگر و وظیفهء دیگری نداره و نیازی نیست که چیز دیگری رو تامین کنه، و اینقدر فرصت داره و اینقدر میتونه آزمون و خطا کنه و هربار شکست خورد مشکلی نیست و به کسی پاسخگو نیست و اکثرا هزینهء زیادی نمیپردازه، ولی در برنامه نویسی و تامین امنیت اینطور نیست و پارامترهای و نیازها و ارتباطهای دیگری وجود دارن و مسئولیت و هزینه هایی که بحساب میان. امنیت رو هم باید حفظ کنی ولی بدون اینکه به بقیهء پارامترهای برنامه مثل یوزرفرندلی و انعطاف و پرفورمنس و غیره صدمهء بیش از حد بخوره؛ باید یک تعادل ایجاد کنی که فکر و اطلاعات کامل و دقیق میخواد.

بله پلیس کارش درسته :لبخند:
چی فکر کردی؟
مثلا الان کدوم هکری سواد منو در زمینهء علم رمزنگاری داره؟
خیلی معدود هستن چنین هکرهایی، که درواقع اینها در اینطور مسائل هم متخصص هستن حتما و روش وقت گذاشتن یا نابغه ای چیزی هستن خلاصه.
پلیس کلاس کارش بالاتره :چشمک:
ولی هکرهای شیرین کار هم مثل بعضی خلافکارها برای عامهء مردم میتونن محبوبیت خاصی پیدا کنن.

[anotheruser]

این راه های نفوذ که نام می برین من خیلی وقت پیش باهاشون آشنا شدم،اتفاقا از اون آدماییم که تجربه هکم داشتم از همون تجربه هایی که شمام داشتین،از اونایی هستم که آنتی ویروس رو سیستمم ندارم و..هک مودم داشتم ، هک ایمیل داشتم (البته خدا شاهده وارد شدم ولی ایمیل ها رو چک نکردم نه به خاطر رد پاک کردن بلکه بخاطر وجدانم) هک مودم ،XSS های ساده نوشتن تروجان(البته صرفا برا یادگیری)، هک با روش های اجتماعی ،فیشینگ و..،ولی اینکه بتونیم نرم افزار خودم رو هک بکنم من رو هکر نمیکنه، سایت هایی هم که بهشون نفوذ کردم اینجوری نبوده که براساس سایتش بیام یه باگ پیدا کنم بلکه باگ یه نرم افزار مثلا یه فروم یه CMS رو داشتم بعد گشتم دنبال سایت هایی با این باگ مشخص برا سرگرمی خودم،اما گذشته از این ها آیا اینجا کسی هست که به خودش عنوان هکر بده؟ فکر نکنم.حقیقتش این روزا هر بچه نوجوون که چن تا نرم افزار یاد گرفته ، میاد یه وبلاگ درست می کنه می نویسه وبسایت فلان هکر،و یه عکس ترسناک خفنم میزاره روش، من یه دو سه بار توسط دوستان نزدیک به عنوان هکر به کس دیگه معرفی شدم ، و اون وقت خیلی از دست اون دوستت عصبانی شدم چون میدونم هکر بودن علم زیاد تجربه زیاد و IQ زیاد می خواد، اما منو شما که کمی می فهمیم میدونیم که این عنوان،به ماها نمیاد،و من هر موقع حرف از هک و هکری میشه احساس اینکه چیزی بلد نیستم بهم دست میده، به هرحال گفتم بپرسم ببینم شما با این عنوان چه جور کنار میاین و چجوری حالیه یه کم سواد تر می کنین که من هکر نیستم! من فقط یه برنامه نویسم همین! بیخیال! موفق باشید

[anotheruser]

ولی خب بنظر من در کل کار تامین امنیت سخت تر از نفوذ و خرابکاریه...
.
سخت تر از خرابکاری بله ولی سخت تر از هکری رو موافق نیستم،هکری هم سختی های خودش رو داره،کلی وقت واسه پیدا کردن آسیب و هک ، بعد پاک کردن تمام رد پاها فشار کاری زمان محدود و.. فشار کاری و همچنین علم و زیرکی خاص خودشو داره.....بازم بیخیال!

[elmatador]

با سلام
ببینید من با حرفی که گفتید موافق نیستم.درسته هر کس توی زمینه کاری خودش حتی اگر مسلط باشه باز نکاتی هست که اطلاعات دقیقی در موردش نداره.
بنده یکی از شاخه های کاریم هک و بخشی امنیته.
بنا به گفته شما بنده باید تمامی شاخه های هکینگ و تمام مباحث امنیت رو بدونم.اما نه واسه بنده و نه واسه هیچ کس اینطور نیست.
ضرب المثل ما ایرانی ها می گه همه چیز را همگان دانند.
وقتی شاگردای بنده و کارآموز های بنده از من سوالی می پرسند یا می گم می دونم یا می گم نمی دونم.
اگر بگم نمی دونم سوالی در راستای کاری خودش ازش می پرسم که نتونه جواب بده و به طریقی بهش می فهمونم که این که اطلاعاتی در این زمینه ندارم دال بر این نیست که اطلاعات ندارم.
همین

[eshpilen]

من همین الان اولین روبات خرابکار خودم رو با موفقیت ظرف یکی دو ساعت نوشتم و تست کردم :لبخند:
یه روبات نوشتم که توی فروم مورد نظر در عرض یکی دو دقیقه هزار تا اکانت رجیستر کرد؛ فعلا با عجله بخش ثبت نام سایتشون رو بستن :چشمک:
اول سورس فرم ثبت نامشون رو بررسی کردم و بعد تمام فیلدهاش رو توی روبات با مقادیر رندوم پر کردم و توی یه حلقه گذاشتم.
نکتهء فنی و علمی و جالب توجه این فروم استفاده از این کپچاهای زپرتی متنی و فارسی و اینا بود که خیلی ها استفاده میکنن میگن چون شناخته شده نیست و جلوگیری میکنه، و الان من سه سوت به راحتترین شکل دورش زدم!
اینقدر این کپچا ابلهانه بود که مقدار آیدی پرسش مورد نظر رو توی یک hidden input در فرم ارسال میکرد. تنها کاری که لازم بود بکنم این بود که مقدار این hidden input رو به یک مقدار ثابت فیکس کنم و همیشه یک پاسخ رو به سرور ارسال کنم!
گرچه حتی اگر این ضعف گنده رو نداشت، بازم میشد با یخورده کار بیشتر دخلش رو براحتی آورد.
قبلا بارها از نظر تئوریک نسبت به ضعف اینگونه کپچاها هشدار داده بودم.

بنظرم ضعف دیگرش این بود که مقدار securitytoken رو برابر رشتهء ثابت guest قرار داده بود، که برام روشن شد احتمالا برای هربار پست کردن فرم اصلا نیازی به دریافت فرم و سشن از سرور و ست شدن درست کوکی ها و فیلد توکن امنیتی نیست (گرچه پروژهء خودم هم ضعف مشابهی داره :لبخند:).

راستی نمیدونم اینا چرا محدودیت ثبت نام در واحد زمان و بر اساس IP و اینا نداشتن.
نرم افزارش ویبالتین هست؛ یعنی ممکنه چنین امکاناتی نداشته باشه، یا اینکه اینا فعال/کانفیگش نکردن؟
در مرحلهء بعدی اگر انگیزه و حال و حوصلش باشه روبات رو بتونم پیشرفته ترش کنم مثلا با پراکسی و اینا هم کار کنه خودش لیستی از پراکسی های آزاد رو دریافت کنه و وصل بشه بهشون تا از IP های بیشتری بتونه استفاده کنه :شیطان:

[eshpilen]

سخت تر از خرابکاری بله ولی سخت تر از هکری رو موافق نیستم،هکری هم سختی های خودش رو داره،کلی وقت واسه پیدا کردن آسیب و هک ، بعد پاک کردن تمام رد پاها فشار کاری زمان محدود و.. فشار کاری و همچنین علم و زیرکی خاص خودشو داره.....بازم بیخیال!
آسیب که زیاد و راحت میشه پیدا کرد بنظر بنده. البته بستگی به سواد طرف هم داره که بتونه همه جور آسیب بدرد بخور رو پیدا و استفاده کنه.
ردپا رو هم که هرجایی نیاز نیست پاک کنی فقط جاهایی که مکانیزمهای آشکارسازی و لاگینگ و اینطور چیزها داره و خلاصه تحت نظره و بهش توجه میشه یا در مواردی که در جایی هستی یا به جایی میخوای نفوذ کنی که پیامدش میتونن بهت دسترسی پیدا کنن و از نظر قانونی یا طور دیگه توی دردسر بیفتی. وگرنه مثلا یه هکر توی روسیه هر غلطی دلش بخواد میکنه و خیالش هم نیست!!
بعدم زمان کاری و فشار کاری نمیدونم دیگه چه صیغه ایه مگه طرف جایی استخدام شده و پروژهء هک گرفته؟ شاید بعضیا اینطور باشه، ولی خیلی ها هم اینطور شرایطی ندارن. اهداف هک هم اونقدر زیاده (البته بیشتر منظورم از این کارهای دوزاری و عادی هستا) که عجله ای نیست و یکیش سوخت خب یکی دیگه پیدا میکنه!

[eshpilen]

البته یه هکر واقعی که هرکاری ازش بربیاد، درواقع باید یک برنامه نویس قدر هم باشه!
درحالیکه خیلی از هکرها از برنامه نویسی چیز زیادی نمیدونن.
هکرهای خفن باید به چند زبان و پلتفرم و حیطه و پروتکل ها و غیره مسلط باشن.
دقیقا دارم خصوصیاتی رو میگم که به مرور زمان در وجود خودم جمع شده :لبخند:
خب لازمه دیگه! بدون این توانایی ها، شما نمیتونید از هک حداکثر بهره برداری رو بکنید و خیلی جاها هم که ابزار و روشهای متعارف نداره گیر میکنید.
الان من خوراک هکر شدن هستم، ولی خب چه کنیم که انگیزش نیست و همچین آدمی نیستم و هک رو فعالیت چندان مفید و بهینه ای نمیدونم :چشمک:
اصلا میدونید چیه هک همینه دیگه کلا کار منفی همینه همونطور که آدمهای بی گناه رو کشتن هنر و کار آدمهای خردمند نیست، زرت و زرت هک کردن با انگیزه های منفی و خودنمایی و تخریب هم کار آدم درست و حسابی نیست. بخاطر همینه که دانشمندان بزرگ بین آدمهای خلافکار و منفی و خبیث و فاسد و اینها خیلی کمتره، چون آدم خلافکار اصولا/معمولا مشکل ذهنی/روانی داره. اصولا ذات علم و خرد و منطق و تعالی و قدرت نامحدود، با منفی بود تضاد داره.
خیلی از کارهای آکادمیک رو من در زمینهء امنیت و نفوذ خوندم میبینم که همشون علمی و خلاقیه و آدمهای مثبت هستن که قصد منفی ندارن و در عین حال اگر میخواستن منفی باشن و از این علم سوء استفاده کنن میتونستن خیلی کارها بکنن؛ کارهایی که قوی ترین هکرهای دنیا هم نمیتونن بکنن! چون علمش رو ندارن. دنبال علم رفتن و درکش کردن خودش ویژگیهایی میخواد که با ویژگیهای منفی بهترین سازگاری رو نداره.

این کاری هم که بنده اخیرا کردم درش هدف خرابکاری جدی و دائمی نبوده فقط خواستم یه روبات بنویسم به این بهانه، چون تاحالا از این کارها نکرده بودم ولی بصورت تئوریک و ایده زیاد توی ذهنم بوده.
البته یخورده هم شاید منافع شخصی توش بوده چون میخواستم خودی نشون بدم بهشون یا اینکه اونا رو یخورده حالی کنم و حالشون رو بگیرم. چطور میتونم خودم رو کاملا تبرئه کنم؟ یعنی اشتباه کردم؟ فقط میخواستم یخورده سر به سرشون بذارم و اذیتشون کنم.
جون تو یعنی من دارم مبدل به یک خلافکار میشم؟ :افسرده:
نه من نمیذارم. من بچه مثبتی هستم :لبخند:
سعی میکنم از علمم در راههای مفید استفاده کنم :بامزه:

[anotheruser]

من همین الان اولین روبات خرابکار خودم رو با موفقیت ظرف یکی دو ساعت نوشتم و تست کردم :لبخند:
یه روبات نوشتم که توی فروم مورد نظر در عرض یکی دو دقیقه هزار تا اکانت رجیستر کرد؛ فعلا با عجله بخش ثبت نام سایتشون رو بستن :چشمک:
اول سورس فرم ثبت نامشون رو بررسی کردم و بعد تمام فیلدهاش رو توی روبات با مقادیر رندوم پر کردم و توی یه حلقه گذاشتم.
نکتهء فنی و علمی و جالب توجه این فروم استفاده از این کپچاهای زپرتی متنی و فارسی و اینا بود که خیلی ها استفاده میکنن میگن چون شناخته شده نیست و جلوگیری میکنه، و الان من سه سوت به راحتترین شکل دورش زدم!
اینقدر این کپچا ابلهانه بود که مقدار آیدی پرسش مورد نظر رو توی یک hidden input در فرم ارسال میکرد. تنها کاری که لازم بود بکنم این بود که مقدار این hidden input رو به یک مقدار ثابت فیکس کنم و همیشه یک پاسخ رو به سرور ارسال کنم!
گرچه حتی اگر این ضعف گنده رو نداشت، بازم میشد با یخورده کار بیشتر دخلش رو براحتی آورد.
قبلا بارها از نظر تئوریک نسبت به ضعف اینگونه کپچاها هشدار داده بودم.

بنظرم ضعف دیگرش این بود که مقدار securitytoken رو برابر رشتهء ثابت guest قرار داده بود، که برام روشن شد احتمالا برای هربار پست کردن فرم اصلا نیازی به دریافت فرم و سشن از سرور و ست شدن درست کوکی ها و فیلد توکن امنیتی نیست (گرچه پروژهء خودم هم ضعف مشابهی داره :لبخند:).

راستی نمیدونم اینا چرا محدودیت ثبت نام در واحد زمان و بر اساس IP و اینا نداشتن.
نرم افزارش ویبالتین هست؛ یعنی ممکنه چنین امکاناتی نداشته باشه، یا اینکه اینا فعال/کانفیگش نکردن؟
در مرحلهء بعدی اگر انگیزه و حال و حوصلش باشه روبات رو بتونم پیشرفته ترش کنم مثلا با پراکسی و اینا هم کار کنه خودش لیستی از پراکسی های آزاد رو دریافت کنه و وصل بشه بهشون تا از IP های بیشتری بتونه استفاده کنه :شیطان:

خیلی عالی!
می بینم که بحث منحرف شد،اما بدم نیست، واقعا این چیزایی که گفتین درمورد نرم افزار VBultein بود؟!:متعجب: راستی من فک کردم شما تصویر رو خوندید،تازه می خواستم کمی درموردش ازتون سوال بپرسم،این چیزایی که شما گفتین اگه یه برنامه نویس ناشی هم با Asp.net WebFroms اون صفحه را درست کرده بود نمی تونستین این کارو بکنین حالا علتش را احتمالا خودتون می دونین،اما شما اگه قرار بود تصویر را بخونین باز از عهدش بر میاین؟ من خودم هر کاری کردم تو این بلاگفا که ظاهرا کپچای ساده ای هم داره یه کامنت بزارم نتونستم! شما می تونین در این زمینه بهم کمک کنین؟(البته فک کنم باید بریم یه تاپیک دیگه)

[anotheruser]

آسیب که زیاد و راحت میشه پیدا کرد بنظر بنده. البته بستگی به سواد طرف هم داره که بتونه همه جور آسیب بدرد بخور رو پیدا و استفاده کنه.
ردپا رو هم که هرجایی نیاز نیست پاک کنی فقط جاهایی که مکانیزمهای آشکارسازی و لاگینگ و اینطور چیزها داره و خلاصه تحت نظره و بهش توجه میشه یا در مواردی که در جایی هستی یا به جایی میخوای نفوذ کنی که پیامدش میتونن بهت دسترسی پیدا کنن و از نظر قانونی یا طور دیگه توی دردسر بیفتی. وگرنه مثلا یه هکر توی روسیه هر غلطی دلش بخواد میکنه و خیالش هم نیست!!
بعدم زمان کاری و فشار کاری نمیدونم دیگه چه صیغه ایه مگه طرف جایی استخدام شده و پروژهء هک گرفته؟ شاید بعضیا اینطور باشه، ولی خیلی ها هم اینطور شرایطی ندارن. اهداف هک هم اونقدر زیاده (البته بیشتر منظورم از این کارهای دوزاری و عادی هستا) که عجله ای نیست و یکیش سوخت خب یکی دیگه پیدا میکنه!

به نظرم فشار مخصوصا اونجابیش تر نمود پیدا میکنه که نفوذ کردی و می خوای یک در پشتی ایجاد بکنه اون وقت میبینی که دقایق ساعت سریعا رد میشن..

[eshpilen]

این چیزایی که شما گفتین اگه یه برنامه نویس ناشی هم با Asp.net WebFroms اون صفحه را درست کرده بود نمی تونستین این کارو بکنین
چیزی که از روبات جلوگیری میکنه فقط کپچا هست. کپچاش باید اصولی و قوی باشه. وگرنه دیگه از هر ترفند و فناوری ای که استفاده شده باشه، کار سخت تر بشه، اما غیرممکن نیست به هیچ وجه. چون همون کاری که مرورگر انجام میده رو برنامهء دیگری هم میتونه بصورت خودکار انجام بده غیر از خوندن کپچا. حتی فکر میکنم میشه از انجین خود مرورگر هم در مواردی که خیلی پیچیده هستن بخاطر صرفه جویی در وقت و زحمت استفاده کرد.
اون کپچا هم که گذاشتن و فارسی بود خب مشخصه که کار خود ویبالتین نبوده و حتما یکی از خودشون نوشته یا احتمالا پلاگین ای چیزی بوده که نصب کردن دیگه.


اما شما اگه قرار بود تصویر را بخونین باز از عهدش بر میاین؟ من خودم هر کاری کردم تو این بلاگفا که ظاهرا کپچای ساده ای هم داره یه کامنت بزارم نتونستم! شما می تونین در این زمینه بهم کمک کنین؟(البته فک کنم باید بریم یه تاپیک دیگه)
بنده تخصص و تجربهء خاصی در امر پردازش تصویر و OCR و این حرفا ندارم، اما تاجاییکه میدونم تاحالا جز چند کپچای معدود مثل مال گوگل و این حرفها کرک شده اند؛ حالا بعضی در حد کامل و فجیع و بعضی درحد کمتری، بعضی راحت و بعضی دشوار. این کارها در محیطهای آکادمیک توسط دانشجوها و اساتید ظاهرا انجام شده. حال بعضی از این کدها و برنامه ها ممکن است در دسترس عمومی باشند و بعضی هم عمومی نشده باشند، بعضی ممکن است اختصاصی یک کپچای خاصی باشند و بعضی ممکن است بتوانند برای کپچاهای دیگری هم استفاده شوند. بهرحال چیزی که هست همین پیدا کردن اینها و استفاده از آنها هم کار هر جوجه ای نیست لزوما. بالاخره در این حد باید زبانتان خوب باشد بگردید سرچ کنید بخوانید پیدا کنید طرز کار و API و تشکیلاتش را دربیاورید و کدش را بنویسید و استفاده کنید. حال البته بحث هزینهء پردازشی و زمان و منابع مصرف شده برای کرک یک کپچا را هم باید مد نظر داشت.

ضمنا خیلی از کپچاهایی که بنده در خیلی سایتها میبینم، واقعا ساده هستند و بنده با اینکه تخصص ندارم اما تقریبا مطمئن هستم که براحتی میشود برنامهء خواندن آنها را نوشت. یعنی این موارد واقعا روشن است و چیز خاصی ندارد که بگوییم حتما یک متخصص قدر و کار سنگینی میخواهد. احتمالا من و شما هم اگر مقداری تحقیق و تست و کار کنیم موفق بشویم.

[eshpilen]

به نظرم فشار مخصوصا اونجابیش تر نمود پیدا میکنه که نفوذ کردی و می خوای یک در پشتی ایجاد بکنه اون وقت میبینی که دقایق ساعت سریعا رد میشن..
بعضی جاها به دلایلی ممکنه محدودیت زمانی وجود داشته باشه، اما خیلی جاها هم محدودیت زمانی آنچنانی وجود ندارد یا اصلا خیال آدم راحت است که وقت نامحدودی دارد!!
غیر از اینست؟
اینها که شما میگویید مواردی همچون فیلم عملیات غیرممکن است :لبخند:
البته میدانم که بحث نظارت و alert دهی و سایتهای مهمتر و درست و حسابی تر منظورتان است احتمالا. یا سیستمهای خودکار. خلاصه خیلی سیستمها و داستانها هست، ولی خیلی سایتها هیچ از این جریانات ندارند یا درحد کم و ضعیف و نامطمئنی دارند.

[masiha68]

قرار نیست هرکی ضد هک بلد باشه هک رو هم بلد باشه .... شخصا ضد هک رو بلدم ولی واقعا نمی تون حتی یه انجکت ساده هم انجام بدم و لزومی هم نمی بینم این کار یاد بگیرم ... من فقط می دونم چطوری اینجکت انحام می شه و راه جلوگیریش چیه ...

[Mojtaba.Shateri]

ممنون از نوجهتون بچه ها،منتها فکر می کنم شما متوجه عرایض بنده نشدید،

خوب دوست من خودتون دارین می گین دیگه "اگر مشتری سردربیاره" !



دوست من هم همین کاری که شما میگی میکنم، بنده اگه اغراق نشه فقط یه برنامه نویس با کاربلد و با تجربه هستم ، اتفاقا اصلا هم استرس و اینها پیدا نمی کنم چون معمولا از کسی که دارم بهش یاد میدم یه 5-6 سالی جلوترم و به اون چیزی که می خوام بگم اشراف دارم و اگرم حضور ذهن نداشتم همونطور که شما فرمودین خیلی ساده میگم "نمیدونم" ، منتها مشکلم اینه که من هکر نیستم! :لبخندساده:


خوبه پس.
در جواب سوال مشتری ، من میگم آیا مایکروسافت یا بسیاری از شرکتها که نرم افزار تولید میکنن میتونن همدیگرو هک کنن؟! اگه میتونن چرا هک نکردن؟! برا اثبات سطح امنیتشون باید سیستم دیگری رو هک کنن؟!
مشتری عزیز ، شرکت ما بیشترین تلاشو انجام داده تا نرم افزار در سطح امنیت خوبی باشه . مثل همه شرکتهای کوچک و بزرگ دنیا که این تلاشو انجام میدن .

گاهی وقتها صورت یک سوال اشتباهه و باید حسابی مشتری رو شیرفهم کرد که سوالش اشتباهه.:لبخند: