Սերվերի հակերները տեղի են ունենում ամեն օր: Հակերները տեղյակ են հարյուրավոր բացերի մասին, որոնց միջոցով կարելի է ձեռք բերել սերվեր մուտք գործելու այս կամ այն մակարդակը: Որոշ դեպքերում խոցելիությունները թույլ են տալիս հասնել օգտատերերի գաղտնի տվյալների, և երբեմն հակերները լիովին վերահսկում են ռեսուրսը: Ինչպե՞ս պաշտպանվել հակերների հարձակումներից:
Հրահանգներ
Քայլ 1
Ձեր սերվերը հակերներից պաշտպանելու համար հարկավոր է իմանալ հակերների հարձակման հիմնական մեթոդները: Փակելով հնարավոր բացերը, դուք էապես բարձրացնում եք ձեր ռեսուրսի անվտանգությունը: Վերոհիշյալ բոլորը հակերներին չեն հետաքրքրում (նրանք բոլորը շատ լավ գիտեն դա), բայց կարող է օգտակար լինել սերվերների տերերին:
Քայլ 2
Ինչպե՞ս է հարձակվում սերվերի վրա: Առաջին հերթին, հակերները փորձում են հասկանալ, թե ինչ ծրագրակազմ է տեղադրված իր վրա: Դա անելու համար նա կարող է բացել սերվերում տեղակայված կայք և մուտքագրել սխալ հարցում: Ի պատասխան այդպիսի հարցման, սխալ կազմաձևված սերվերը թողարկում է սխալի հաղորդագրություն և ուղեկցում դրան նման մի բանով. Apache / 2.2.14 (Unix) mod_ssl / 2.2.14 OpenSSL / 0.9.8e-fips-rhel5 mod_auth_passthrough / 2.1 mod_bwlimited / 1.4 FrontPage / 5.0.2.2635 Սերվեր www.servername.com կայքում 80 նավահանգիստ.
Քայլ 3
Հակերների համար վերոնշյալ տեղեկատվությունը կարող է շատ օգտակար լինել. Նա տեսնում է տեղադրված HTTP սերվերի (Apache / 2.2.14) տարբերակը և այլ ծրագրերի և ծառայությունների տարբերակները: Այժմ նա կարող է որոնումներ կատարել (չարամիտ կոդեր) այս ծառայությունների տարբերակների խոցելի տեղերի համար: Եվ եթե համակարգի ադմինիստրատորը չի փակել առկա բացերը, ապա հակերները կկարողանան մուտք գործել համակարգիչ: Properlyիշտ կազմաձևված սերվերը չպետք է որևէ մանրամասն տեղեկատվություն տա իր մասին, կամ կարող է դիտավորյալ աղավաղված տեղեկատվություն ցուցադրել:
Քայլ 4
Կոտրելու ամենապարզ եղանակներից մեկը, որը հաճախ արդյունք է տալիս, սերվերի պանակները դիտելն է: Շատ հաճախ ադմինիստրատորները մոռանում են սահմանել դրանք դիտելու իրավունքները, ուստի հակերները, համապատասխան կոմունալ ծառայությունների միջոցով որոշելով կայքի կառուցվածքը, հեշտությամբ բացում են այն թղթապանակները, որոնք նախատեսված չեն դիտելու համար: Եթե ադմինիստրատորը սկսնակ է, նման պանակներում հակերները կարող են գտնել շատ օգտակար տեղեկություններ: Օրինակ ՝ ադմինիստրատորի մուտքն ու գաղտնաբառը: Սովորաբար գաղտնաբառը ծածկագրված է md5 ալգորիթմով, բայց ցանցում կան բազմաթիվ ծառայություններ, որոնք պետք է վերծանեն: Արդյունքում հակերները լիակատար վերահսկողություն են ձեռք բերում կայքի նկատմամբ: Եզրակացություն. Սահմանեք ֆայլեր կարդալու և պանակներ բացելու իրավունքները:
Քայլ 5
Շատ հաճախ հակերները ներխուժում են տվյալների շտեմարաններ ՝ օգտագործելով հայտնաբերված sql խոցելիությունը: Կան հատուկ կոմունալ ծառայություններ, որոնք մեծապես հեշտացնում են հակերների «աշխատանքը»: Նրանց օգնությամբ, հաշված րոպեների ընթացքում որոշվում է խոցելիության առկայությունը, այնուհետև որոշվում է տվյալների շտեմարանի անվանումը, հաշվարկվում են աղյուսակները և սյունակները, որից հետո հակերները լիարժեք հասանելիություն են ստանում տվյալների բազայում պահվող տեղեկատվությանը, օրինակ, մուտքեր և գաղտնաբառեր, վարկային քարտի տվյալներ և այլն:
Քայլ 6
Համոզվեք, որ ստուգեք ձեր ռեսուրսները sql խոցելիության համար, դրա համար կարող եք օգտագործել հակերային ծրագրեր: Օրինակ, NetDeviLz SQL սկաների: Մուտքագրեք ձեր կայքի հասցեն ծրագրի մեջ, կտտացրեք կոճակին: Եթե խոցելիություն կա, կայքի հասցեն կհայտնվի ստորին պատուհանում:
Քայլ 7
Ադմինիստրատորի համար բավականին տարածված է օգտագործել շատ պարզ գաղտնաբառ, որը հեշտ է գուշակել: Դրա համար օգտագործվում են հատուկ ծրագրեր ՝ կոպիտ բռնի ուժեր, որոնք գաղտնաբառ են վերցնում բառարանների միջոցով կամ հատուկ ալգորիթմների միջոցով: Ձեր գաղտնաբառը պետք է ունենա առնվազն 8 նիշ, մուտքագրված լինի տարբեր դեպքերում և ներառի տառեր, թվեր և հատուկ նիշեր ՝ @, $ և այլն:
Քայլ 8
Ստուգեք ձեր ռեսուրսները XSS- ի խոցելիությունների մասին, դրանք շատ տարածված են: Նման բացթողում օգտագործելով, հակերները կարող են ձեռք բերել ձեր բլիթները: Փոխարինելով դրանք իր փոխարեն, նա հեշտությամբ կմտնի կայք ձեր հաշվի տակ: Ձեր ռեսուրսը հնարավոր խոցելի տեղերը ստուգելու համար օգտագործեք բոլորովին օրինական XSpider ծրագիր:
