بیشترین حملات متداولی که متحمل وب سایت های امروزی می شود

روش های نوین حمله به وب سایت ها و سرور ها هر روز دیده شده که از عمده دلایل آن می توان به نوع کسب و کارها، گروه ها و همچنین استراژی امنیتی آنها اشاره نمود. این واقعه اتفاقی عظیم در جهت بهبود وب جهانی World Wide Web می باشد که موجب پیشرفت تکنولوژی و سوق به سمت ابزار های ایمن می گردد.

 تحقیقات و دست یافته های اخیر موجب افشای آسیب پذیری دیگری در پروتکل SSL گردید که زمینه پیاده سازی نسخه دیگری از آن را برای مدیران و توسعه دهندگان این پروتکل، برای ورود به فاز دیگر را مهیا نمود. پیاده سازی SSL نسخه 3 و ماهیت آسیب پذیر بودن آن، عنوانی جدید را با نام POODLE ایجاد نمود که این واژه اشاره به اجبار کاربر در جهت کاهش رمز نگاری این پروتکل به نسخه آسیب پذیری و استاندارد و افشای اطلاعات حیاتی، انگار که اطلاعات بصورت متن ساده ارسال می شوند را دارد.
این انقلاب در صنعت نرم افزار و حمله های بیشمار هکر ها به سرور ها و وب سایت ها، درسهای مهمی را به مدیران فناوری اطلاعات در جهت برقراری مفاهیم اصلی امنیت در سرور و وب سایت گوش زد می کند. اهداف حمله توسط هکر ها بسیار متنوع شده است. شما چیزهایی برای دزدیدن دارید. وب سایت شما قادر به تبلیغ و یا انتشار spam می تواند باشد. هر وب سایتی برای هکر ها هدف خاصی را دنبال می کند که برای مثال می توان به وجود اطلاعات حیاتی، ارسال spam توسط سایت قربانی و حتی حمله به دیگر وب سایت ها از طریق قربانی اشاره نمود.

روش ها

در صورتی که کسی بخواهد به وب سایتی نفوذ نماید می بایستی نقطه ورودی را در جهت تخریب و اعمال آسیب یافت نماید که این فرایند با نام attack vector و یا مسیر حمله شناخته می شود. مسیر حمله به فرمت های مختلف دیده می شود که آن فرم ها را می توان به دو دسته تقسیم بندی کرد: 1- کنترل دسترسی Access Control   ا 2- آسیب پذیری های نرم افزاری Software Vulnerability

آسیب پذیری های نرم افزاری

1- تزریق SQL: این آسیب پذیری که در لیست 10 تایی OWASP نیز قرار دارد، بعنوان نگرانی اصلی برای نرم افزار ها و توسعه دهندگان نرم افزار (وب) تلقی می شود و دلیل خطر ناک بودن آن تاثیر مستقیمی است که هکر می تواند بر بانک اطلاعاتی توسط واسط کاربری اعمال نماید.  از جمله حملات و آسیب پذیری های اخیر تزریق SQL می توان به سامانه مدیریت محتوای Drupal در نسخه آخر اشاره نمود.

2- کراس سایت اسکریپت XSS: اغلب اوقات غیر قابل فهم بوده اما از طرفی دیگر در بسیاری از نرم افزار های تحت وب این آسیب پذیری دیده می شود. در این آسیب پذیری نمای کاربری وب سایت قربانی، نقطه شروعی برای هکر در جهت اجرای دستورات هکر می باشد که بدون اطلاع دارنده وب سایت اجرا می گردد و در نتیجه این حمله، هکر کنترل کامپیوتر بازدید کننده وب سایت (قربانی حمله) را در دست خواهد گرفت.

 3- آسیب پذیری های RFI و LFI : در نتیجه پیاده سازی اشتباه نرم افزار (کامپوننت هاو یا ماژول ها)، هکر قادر به اجرای دستوراتی درون فانکشن های بسته نرم افزاری بوده که در درون درخواست هایی خلاف درخواست های تعریف شده در نرم افزار اجرا می گردد. برای مثال بجای درخواست روبرو که در نرم افزار تعبیه شده است http://site.com/web-app.php?nextStep=goodfile.php کاربر مخرب قارد می باشد که درخواست را تغییر داده و از این فانکشن در جهت نمایش فایل و یا لاگ استفاده نماید http://site.com/web-app.php?nextstep=/etc/passwd. از این دسته آسیب پذیری می توان به آسیب پذیری وورد پرس در پلاگین Slider Revolution اشاره نمود.

کنترل دسترسی

 1- Brute Force: در صورتی که شما بخواهید از دیواری عبور نمایید و میزان سر و صدا و اطلاع دیگران از اقدام شما برایتان مهم نباشد می توانید یک اسلحه بر داشته و تا می توانید به آن دیوار شلیک کنید تا جایی که چیزی از آن باقی نماند. حمله brute force تقریبا شبیه مثال مذکور می باشد. در صورتی که بخواهید به یک صفحه ورود نمایید (login) می توانید تمامی حالت های ممکن نام کابری و رمز عبور را توسط ابزار brute forcing انجام دهید که در این حمله هکر به دنبال رمز های عبور ضعیف در جهت کنترل دسترسی به آن می گردد.

در این مقاله سعی شد که آسیب پذیری های متداول و بسیار مهم در وب سایت های امروزی مورد بررسی قرار گیرد و همچنین هدف این مقاله آن بود که نشان دهد، امنیت پروژه ای نیست که توسعه دهندگان وب سایت به تنهایی بتوانند از پس آن برآیند بلکه انجام آن نیاز به تجربه، مهارت و ابزار خواهد داشت.
 از جمله مواردیکه صاحبان وب سایت پس از خواندن این مقاله ی بایستی به آن توجه نمایند:

• - در صورتی که با اصطلاحات بیان شده در این مقاله آشنا نیستید، چه کسی می تواند در این امر شما را یاری دهد؟
• - میزبانی فضای وب شما چگونه امنیت را برای وب سایت شما فراهم آورده است؟
• - چطور متوجه خواهید شد که آیا در وب سایتتان آسیب پذیری در حال حاضر وجود دارد؟
• - چطور مطمئن خواهید شد که در صورت وجود آسیب پذیری آیا آن آسیب توسط هکر ها در جهت تخریب استفاده شده است یا خیر؟
• - هم اکنون برای ایمن سازی وب سایت خود چه کاری انجام خواهید داد؟