ব্ল্যাক হ্যাট ইউএসএ সম্মেলন। ধনী হন বা মরুন: ব্ল্যাক হ্যাট পদ্ধতি ব্যবহার করে অনলাইনে অর্থ উপার্জন করুন৷ পার্ট 1

মডারেটর: ভদ্রমহিলা এবং ভদ্রলোক, এই আলোচনাটি খুব মজার এবং খুব আকর্ষণীয়, আজ আমরা ইন্টারনেটে পর্যবেক্ষণ করা বাস্তব জিনিসগুলি সম্পর্কে কথা বলতে যাচ্ছি। এই কথোপকথনটি আমরা ব্ল্যাক হ্যাট কনফারেন্সে অভ্যস্তদের থেকে একটু ভিন্ন কারণ আক্রমণকারীরা কীভাবে তাদের আক্রমণ থেকে অর্থ উপার্জন করে সে সম্পর্কে আমরা কথা বলতে যাচ্ছি।

আমরা আপনাকে কিছু আকর্ষণীয় আক্রমণ দেখাব যেগুলি লাভ করতে পারে এবং আপনাকে সেই আক্রমণগুলি সম্পর্কে বলব যেগুলি আসলে ঘটেছিল যে রাতে আমরা জেগারমিস্টারে গিয়েছিলাম এবং বুদ্ধিমত্তা নিয়েছিলাম৷ এটা মজার ছিল, কিন্তু যখন আমরা একটু শান্ত হলাম, আমরা SEO লোকেদের সাথে কথা বলেছি এবং আসলে শিখেছি যে অনেক লোক এই আক্রমণ থেকে অর্থ উপার্জন করছে।

আমি একজন বুদ্ধিহীন মধ্যম ব্যবস্থাপক, তাই আমি আমার আসন ছেড়ে দেব এবং জেরেমি এবং ট্রের সাথে পরিচয় করিয়ে দেব, যারা আমার চেয়ে অনেক বেশি স্মার্ট। আমার একটি স্মার্ট এবং মজাদার ভূমিকা থাকা উচিত, কিন্তু আমি তা করি না, তাই আমি পরিবর্তে এই স্লাইডগুলি দেখাব৷

জেরেমি গ্রসম্যান এবং ট্রে ফোর্ড দেখানো স্লাইডগুলি পর্দায় দেখানো হয়েছে।
জেরেমি গ্রসম্যান হলেন হোয়াইটহ্যাট সিকিউরিটির প্রতিষ্ঠাতা এবং প্রধান প্রযুক্তি কর্মকর্তা, 2007 সালে ইনফোওয়ার্ল্ড দ্বারা শীর্ষ 25টি CTO-এর একজন, ওয়েব অ্যাপ্লিকেশন সিকিউরিটি কনসোর্টিয়ামের সহ-প্রতিষ্ঠাতা এবং ক্রস-সাইট স্ক্রিপ্টিং আক্রমণের সহ-লেখক।

Trey Ford হোয়াইটহ্যাট সিকিউরিটির আর্কিটেকচারাল সলিউশনের ডিরেক্টর, যার ফরচুন 6 কোম্পানির নিরাপত্তা পরামর্শদাতা এবং PCI DSS পেমেন্ট কার্ড ডেটা সিকিউরিটি স্ট্যান্ডার্ডের একজন ডেভেলপার হিসেবে 500 বছরের অভিজ্ঞতা রয়েছে।

আমি মনে করি এই ছবিগুলো আমার হাস্যরসের অভাব পূরণ করেছে। যাই হোক না কেন, আমি আশা করি আপনি তাদের উপস্থাপনাটি উপভোগ করবেন এবং তারপরে বুঝতে পারবেন কীভাবে এই আক্রমণগুলি অর্থোপার্জনের জন্য ইন্টারনেটে ব্যবহার করা হয়।

জেরেমি গ্রসম্যান: শুভ বিকাল, আসার জন্য সবাইকে ধন্যবাদ। এটি একটি খুব মজার কথোপকথন হবে, যদিও আপনি শূন্য-দিনের আক্রমণ বা দুর্দান্ত নতুন প্রযুক্তি দেখতে পাবেন না। আমরা কেবল এটিকে বিনোদনমূলক করার চেষ্টা করব এবং প্রতিদিন ঘটে যাওয়া আসল জিনিসগুলি সম্পর্কে কথা বলব যা খারাপ লোকদের প্রচুর অর্থ উপার্জন করতে দেয়।

এই স্লাইডে যা দেখানো হয়েছে তা দিয়ে আমরা আপনাকে প্রভাবিত করার চেষ্টা করছি না, তবে আমাদের কোম্পানি কী করে তা সহজভাবে ব্যাখ্যা করুন। সুতরাং, হোয়াইট হ্যাট সেন্টিনেল বা "গার্ডিয়ান হোয়াইট হ্যাট" হল:

• সীমাহীন সংখ্যক মূল্যায়ন - ক্লায়েন্ট সাইটগুলির নিয়ন্ত্রণ এবং বিশেষজ্ঞ পরিচালনা, সাইটগুলিকে তাদের আকার এবং পরিবর্তনের ফ্রিকোয়েন্সি নির্বিশেষে স্ক্যান করার ক্ষমতা;
• কভারেজের বিস্তৃত সুযোগ - প্রযুক্তিগত দুর্বলতা সনাক্ত করতে সাইটগুলির অনুমোদিত স্ক্যানিং এবং উন্মোচিত ব্যবসায়িক এলাকায় যৌক্তিক ত্রুটি সনাক্ত করতে ব্যবহারকারীর পরীক্ষা;
• মিথ্যা ইতিবাচক নির্মূল - আমাদের অপারেশনাল দল ফলাফল পর্যালোচনা করে এবং উপযুক্ত তীব্রতা এবং হুমকি রেটিং নির্ধারণ করে;
• উন্নয়ন এবং মান নিয়ন্ত্রণ - হোয়াইটহ্যাট স্যাটেলাইট অ্যাপ্লায়েন্স সিস্টেম আমাদের অভ্যন্তরীণ নেটওয়ার্কে অ্যাক্সেসের মাধ্যমে ক্লায়েন্ট সিস্টেমগুলিকে দূরবর্তীভাবে পরিষেবা দেওয়ার অনুমতি দেয়;
• উন্নতি এবং উন্নতি - বাস্তবসম্মত স্ক্যানিং আপনাকে দ্রুত এবং দক্ষতার সাথে সিস্টেম আপডেট করতে দেয়।

সুতরাং, আমরা বিশ্বের প্রতিটি সাইট অডিট করি, আমাদের কাছে ওয়েব অ্যাপ্লিকেশন পেনটেস্টারদের বৃহত্তম দল রয়েছে, আমরা প্রতি সপ্তাহে 600-700টি মূল্যায়ন পরীক্ষা করি, এবং আপনি এই উপস্থাপনায় যে সমস্ত ডেটা দেখতে পাবেন তা এই ধরনের কাজ করার অভিজ্ঞতা থেকে আসে। .
পরের স্লাইডে আপনি গ্লোবাল ওয়েবসাইটগুলিতে সবচেয়ে সাধারণ 10 ধরনের আক্রমণ দেখতে পাচ্ছেন৷ এটি নির্দিষ্ট আক্রমণে দুর্বলতার শতাংশ দেখায়। আপনি দেখতে পাচ্ছেন, সমস্ত সাইটের 65% ক্রস-সাইট স্ক্রিপ্টিংয়ের জন্য ঝুঁকিপূর্ণ, 40% তথ্য ফাঁসের অনুমতি দেয় এবং 23% কন্টেন্ট স্পুফিংয়ের জন্য ঝুঁকিপূর্ণ। ক্রস-সাইট স্ক্রিপ্টিং ছাড়াও, এসকিউএল ইনজেকশন এবং কুখ্যাত ক্রস-সাইট অনুরোধ জালিয়াতি, যা আমাদের শীর্ষ দশে অন্তর্ভুক্ত নয়, সাধারণ। কিন্তু এই তালিকায় গুপ্ত নাম সহ আক্রমণ রয়েছে, যেগুলি অস্পষ্ট ভাষা ব্যবহার করে বর্ণনা করা হয়েছে এবং যার বিশেষত্ব হল যে সেগুলি নির্দিষ্ট কোম্পানির বিরুদ্ধে নির্দেশিত।

এগুলো হল প্রমাণীকরণের ত্রুটি, অনুমোদন প্রক্রিয়ার ত্রুটি, তথ্য ফাঁস ইত্যাদি।

পরবর্তী স্লাইডে ব্যবসায়িক যুক্তির উপর আক্রমণ সম্পর্কে আলোচনা করা হয়েছে। মানের নিশ্চয়তার সাথে জড়িত QA দলগুলি সাধারণত তাদের দিকে মনোযোগ দেয় না। তারা পরীক্ষা করে যে সফ্টওয়্যারটির কী করা উচিত, এটি কী করতে পারে না, এবং তারপরে আপনি যা চান তা দেখতে পারেন। স্ক্যানার, এই সমস্ত সাদা/কালো/ধূসর বাক্স, এই সমস্ত বহু রঙের বাক্সগুলি বেশিরভাগ ক্ষেত্রেই এই জিনিসগুলি সনাক্ত করতে সক্ষম হয় না, কারণ আক্রমণটি কী হতে পারে বা এটি ঘটলে কী ঘটতে পারে তার প্রেক্ষাপটে এগুলি কেবল স্থির করা হয়। তাদের বুদ্ধির অভাব রয়েছে এবং তারা জানে না যে কিছু কাজ করেছে কিনা।

আইডিএস এবং ডাব্লুএএফ অ্যাপ্লিকেশন ফায়ারওয়ালের ক্ষেত্রেও একই কথা, যা ব্যবসায়িক যুক্তির ত্রুটিগুলি সনাক্ত করতেও ব্যর্থ হয় কারণ HTTP অনুরোধগুলি সম্পূর্ণ স্বাভাবিক দেখায়। আমরা আপনাকে দেখাব যে ব্যবসায়িক যুক্তির ত্রুটিগুলির সাথে সম্পর্কিত আক্রমণগুলি সম্পূর্ণ স্বাভাবিকভাবেই উদ্ভূত হয়, কোনও হ্যাকার নেই, কোনও মেটাক্যারেক্টার বা অন্যান্য অদ্ভুততা নেই, তারা স্বাভাবিকভাবে ঘটতে থাকা প্রক্রিয়াগুলির মতো দেখায়৷ প্রধান বিষয় হল যে খারাপ লোকেরা এই জিনিসগুলি পছন্দ করে কারণ ব্যবসায়িক যুক্তির ত্রুটিগুলি তাদের অর্থ উপার্জন করে। তারা XSS, SQL, CSRF ব্যবহার করে, কিন্তু এই ধরনের আক্রমণগুলি চালানো ক্রমশ কঠিন হয়ে উঠছে এবং আমরা দেখেছি যে তারা গত 3-5 বছরে হ্রাস পেয়েছে। কিন্তু তারা নিজেরাই অদৃশ্য হবে না, ঠিক যেমন বাফার ওভারফ্লো দূরে যাবে না। যাইহোক, খারাপ লোকেরা কীভাবে আরও পরিশীলিত আক্রমণ ব্যবহার করবেন তা নিয়ে চিন্তাভাবনা করছে কারণ তারা বিশ্বাস করে যে "আসল খারাপ লোকেরা" সর্বদা তাদের আক্রমণ থেকে অর্থ উপার্জন করতে চায়।

আমি আপনাকে সত্যিকারের কৌশলগুলি দেখাতে চাই যা আপনি বোর্ডে নিতে পারেন এবং আপনার ব্যবসার সুরক্ষার জন্য সঠিক উপায়ে সেগুলি ব্যবহার করতে পারেন৷ আমাদের উপস্থাপনার আরেকটি উদ্দেশ্য হল যে আপনি নীতিশাস্ত্র সম্পর্কে ভাবছেন।

অনলাইন পোল এবং ভোটিং

সুতরাং, ব্যবসায়িক যুক্তির ত্রুটিগুলি সম্পর্কে আমাদের আলোচনা শুরু করতে, আসুন অনলাইন সমীক্ষা সম্পর্কে কথা বলি। অনলাইন পোল হল জনমত খুঁজে বের করার বা প্রভাবিত করার সবচেয়ে সাধারণ উপায়। আমরা $0 এর লাভ দিয়ে শুরু করব এবং তারপর 5, 6, 7 মাসের প্রতারণামূলক স্কিমগুলির ফলাফল দেখব৷ আসুন একটি খুব, খুব সাধারণ জরিপ করে শুরু করি। আপনি জানেন যে প্রতিটি নতুন ওয়েবসাইট, প্রতিটি ব্লগ, প্রতিটি নিউজ পোর্টাল অনলাইন সমীক্ষা পরিচালনা করে। এটি বলেছে, কোন কুলুঙ্গি খুব বড় বা খুব সংকীর্ণ নয়, তবে আমরা নির্দিষ্ট এলাকায় জনমত দেখতে চাই।

আমি অস্টিন, টেক্সাসে পরিচালিত একটি সমীক্ষায় আপনার দৃষ্টি আকর্ষণ করতে চাই। যেহেতু একটি অস্টিন বিগল ওয়েস্টমিনস্টার ডগ শো জিতেছে, অস্টিন আমেরিকান স্টেটসম্যান সেন্ট্রাল টেক্সাস কুকুরের মালিকদের জন্য একটি অনলাইন অস্টিনের বেস্ট ইন শো পোল পরিচালনা করার সিদ্ধান্ত নিয়েছে। হাজার হাজার মালিক ফটো জমা দিয়েছেন এবং তাদের পছন্দের জন্য ভোট দিয়েছেন। অন্যান্য অনেক সমীক্ষার মত, আপনার পোষা প্রাণীর জন্য বড়াই করার অধিকার ছাড়া অন্য কোন পুরস্কার ছিল না।

একটি ওয়েব 2.0 সিস্টেম অ্যাপ্লিকেশন ভোট দেওয়ার জন্য ব্যবহার করা হয়েছিল। আপনি "হ্যাঁ" ক্লিক করেছেন যদি আপনি কুকুরটিকে পছন্দ করেন এবং খুঁজে পান যে এটি বংশের সেরা কুকুর কিনা। তাই আপনি শো বিজয়ীর জন্য প্রার্থী হিসাবে সাইটে পোস্ট করা কয়েক শত কুকুর ভোট দিয়েছেন.

এই ভোটিং পদ্ধতিতে ৩ ধরনের প্রতারণা সম্ভব ছিল। প্রথমটি হল অন্তহীন ভোট, যেখানে আপনি একই কুকুরকে বারবার ভোট দেন। এটা খুবই সাধারণ. দ্বিতীয় পদ্ধতি হল নেতিবাচক একাধিক ভোটিং, যেখানে আপনি একটি প্রতিযোগী কুকুরের বিরুদ্ধে বিপুল সংখ্যক বার ভোট দেন। তৃতীয় উপায়টি ছিল, আক্ষরিকভাবে প্রতিযোগিতার শেষ মুহূর্তে, আপনি একটি নতুন কুকুর রেখেছিলেন, এটিকে ভোট দিয়েছিলেন, যাতে নেতিবাচক ভোট পাওয়ার সম্ভাবনা ন্যূনতম ছিল এবং আপনি 3% ইতিবাচক ভোট পেয়ে জিতেছিলেন।

তদুপরি, বিজয় একটি শতাংশ হিসাবে নির্ধারিত হয়েছিল, মোট ভোটের সংখ্যা দ্বারা নয়, অর্থাৎ, আপনি নির্ধারণ করতে পারেননি কোন কুকুরটি সর্বাধিক সংখ্যক ইতিবাচক রেটিং পেয়েছে, শুধুমাত্র একটি নির্দিষ্ট কুকুরের জন্য ইতিবাচক এবং নেতিবাচক রেটিংগুলির শতাংশ গণনা করা হয়েছিল। . সেরা ইতিবাচক/নেতিবাচক স্কোর অনুপাত সহ কুকুর জিতেছে।

সহকর্মী রবার্ট "আরএসনেক" হ্যানসেনের বন্ধু তাকে তার চিহুয়াহুয়া টিনিকে একটি প্রতিযোগিতা জিততে সাহায্য করতে বলে। আপনি রবার্ট জানেন, তিনি অস্টিন থেকে এসেছেন. তিনি, একজন সুপার হ্যাকারের মতো, বার্প প্রক্সি ঠিক করেছিলেন এবং ন্যূনতম প্রতিরোধের পথ অনুসরণ করেছিলেন। তিনি প্রতারণার কৌশল #1 ব্যবহার করেছিলেন, এটিকে কয়েকশ বা হাজার অনুরোধের একটি বার্প লুপের মাধ্যমে চালান এবং এটি কুকুরটিকে 2000 আপভোট এনে দেয় এবং তাকে 1ম স্থানে নিয়ে আসে।

এরপর, তিনি টিনির প্রতিযোগীর বিরুদ্ধে প্রতারণার কৌশল নং 2 ব্যবহার করেন, যার ডাকনাম চুচু। প্রতিযোগিতার শেষ মিনিটে, তিনি চুচুর বিরুদ্ধে 450 ভোট দেন, যা 1:2-এর বেশি ভোটের অনুপাতের সাথে 1ম স্থানে টিনির অবস্থানকে আরও শক্তিশালী করে, কিন্তু ইতিবাচক এবং নেতিবাচক পর্যালোচনার শতাংশের দিক থেকে, টিনি এখনও হেরে যায়। এই স্লাইডে আপনি একজন সাইবার অপরাধীর নতুন মুখ দেখতে পাচ্ছেন, এই ফলাফল দ্বারা নিরুৎসাহিত।

হ্যাঁ, এটি একটি আকর্ষণীয় দৃশ্য ছিল, কিন্তু আমি মনে করি যে আমার বন্ধু এই পারফরম্যান্স পছন্দ করেনি। আপনি শুধু অস্টিনে চিহুয়াহুয়া প্রতিযোগিতা জিততে চেয়েছিলেন, কিন্তু এমন কেউ ছিল যে আপনাকে হ্যাক করার চেষ্টা করেছিল এবং একই জিনিস করেছিল৷ ওয়েল, এখন আমি কল চালু ট্রে উপর.

কৃত্রিম চাহিদা তৈরি করে তার উপর অর্থ উপার্জন করা

ট্রে ফোর্ড: আমরা যখন অনলাইনে টিকিট কিনি তখন "কৃত্রিম DoS" ধারণাটি বিভিন্ন আকর্ষণীয় দৃশ্যের উল্লেখ করে। উদাহরণস্বরূপ, একটি ফ্লাইটে একটি বিশেষ আসন সংরক্ষণ করার সময়। এটি যেকোনো ধরনের টিকিটের ক্ষেত্রে প্রযোজ্য হতে পারে, যেমন একটি খেলার অনুষ্ঠান বা কনসার্ট।

এয়ারলাইন সিট, ভৌত আইটেম, ব্যবহারকারীর নাম ইত্যাদির মতো দুষ্প্রাপ্য আইটেমগুলির বারবার ক্রয় রোধ করার জন্য, দ্বন্দ্ব রোধ করতে অ্যাপ্লিকেশন একটি নির্দিষ্ট সময়ের জন্য আইটেমটিকে লক করে। এবং এখানে আগাম কিছু রিজার্ভ করার ক্ষমতার সাথে সম্পর্কিত দুর্বলতা আসে।

আমরা সবাই টাইমআউট সম্পর্কে জানি, আমরা সবাই সেশন শেষ করার বিষয়ে জানি। কিন্তু এই বিশেষ যৌক্তিক ত্রুটি আমাদেরকে একটি ফ্লাইটে একটি আসন নির্বাচন করতে দেয় এবং তারপরে কিছু পরিশোধ না করে আবার নির্বাচন করতে ফিরে আসে। নিশ্চয়ই আপনারা অনেকেই প্রায়ই ব্যবসায়িক ভ্রমণে যান, কিন্তু আমার জন্য এটি কাজের একটি অপরিহার্য অংশ। আমরা অনেক জায়গায় এই অ্যালগরিদমটি পরীক্ষা করেছি: আপনি একটি ফ্লাইট নির্বাচন করুন, একটি আসন চয়ন করুন এবং আপনি যখন প্রস্তুত হন তখনই আপনি আপনার অর্থপ্রদানের তথ্য লিখবেন৷ অর্থাৎ, আপনি একটি জায়গা বেছে নেওয়ার পরে, এটি আপনার জন্য নির্দিষ্ট সময়ের জন্য সংরক্ষিত থাকে - কয়েক মিনিট থেকে কয়েক ঘন্টা পর্যন্ত, এবং এই সময়ের মধ্যে অন্য কেউ এই জায়গাটি বুক করতে পারবে না। এই অপেক্ষার সময়কালের কারণে, আপনি কেবল সাইটে ফিরে এসে এবং আপনার পছন্দসই আসন বুক করে প্লেনের সমস্ত আসন সংরক্ষণ করার একটি বাস্তব সুযোগ রয়েছে৷

এইভাবে, একটি DoS আক্রমণ বিকল্প উপস্থিত হয়: প্লেনের প্রতিটি আসনের জন্য স্বয়ংক্রিয়ভাবে এই চক্রটি পুনরাবৃত্তি করুন।

আমরা অন্তত দুটি বড় এয়ারলাইন্সে এটি পরীক্ষা করেছি। আপনি অন্য যেকোন বুকিংয়ের সাথে একই দুর্বলতা খুঁজে পেতে পারেন। যারা আবার বিক্রি করতে চান তাদের জন্য আপনার টিকিটের দাম বাড়ানোর এটি একটি দুর্দান্ত সুযোগ। এটি করার জন্য, ফটকাবাজদের কেবল আর্থিক ক্ষতির ঝুঁকি ছাড়াই অবশিষ্ট টিকিট বুক করতে হবে। এইভাবে, আপনি ই-কমার্সকে "ক্র্যাশ" করতে পারেন যা উচ্চ চাহিদার পণ্য বিক্রি করে - ভিডিও গেম, গেম কনসোল, আইফোন ইত্যাদি। অর্থাৎ, অনলাইন বুকিং বা রিজার্ভেশন সিস্টেমের বিদ্যমান ত্রুটি একজন আক্রমণকারীকে এটি থেকে অর্থ উপার্জন করতে বা প্রতিযোগীদের ক্ষতি করতে দেয়।

ক্যাপচা ডিক্রিপশন

জেরেমি গ্রসম্যান: এখন ক্যাপচা সম্পর্কে কথা বলা যাক। প্রত্যেকেই সেই বিরক্তিকর ছবিগুলিকে জানে যা ইন্টারনেটে নোংরা করে এবং স্প্যামের বিরুদ্ধে লড়াই করতে ব্যবহৃত হয়। সম্ভাব্য, আপনি ক্যাপচা থেকেও লাভ করতে পারেন। ক্যাপচা একটি সম্পূর্ণ স্বয়ংক্রিয় টিউরিং পরীক্ষা যা আপনাকে একজন প্রকৃত ব্যক্তিকে একটি বট থেকে আলাদা করতে দেয়। ক্যাপচা ব্যবহার নিয়ে গবেষণা করার সময় আমি অনেক মজার জিনিস আবিষ্কার করেছি।

ক্যাপচা প্রথম ব্যবহার করা হয়েছিল 2000-2001 সালের দিকে। স্প্যামাররা বিনামূল্যে ইমেল পরিষেবা Gmail, Yahoo Mail, Windows Live Mail, MySpace, FaceBook, ইত্যাদির জন্য নিবন্ধন করার জন্য ক্যাপচা বাদ দিতে চায়। এবং স্প্যাম পাঠান। যেহেতু ক্যাপচা ব্যাপকভাবে ব্যবহার করা হয়, তাই পরিষেবার একটি সম্পূর্ণ বাজার হাজির হয়েছে যা সর্বব্যাপী ক্যাপচাকে বাইপাস করার প্রস্তাব দেয়। শেষ পর্যন্ত, এটি লাভ নিয়ে আসে - একটি উদাহরণ স্প্যাম পাঠানো হবে। ক্যাপচা বাইপাস করার 3টি উপায় আছে, আসুন সেগুলি দেখি।

প্রথমটি হল ধারণা বাস্তবায়নে ত্রুটি, বা ক্যাপচা ব্যবহারে ত্রুটি।
সুতরাং, প্রশ্নের উত্তরগুলিতে খুব কম এনট্রপি থাকে, যেমন "লিখুন কি 4+1 সমান।" একই প্রশ্ন অনেকবার পুনরাবৃত্তি হতে পারে, এবং সম্ভাব্য উত্তরের পরিসর বেশ ছোট।

ক্যাপচা এর কার্যকারিতা এইভাবে পরীক্ষা করা হয়:

• পরীক্ষাটি এমন পরিস্থিতিতে করা উচিত যেখানে ব্যক্তি এবং সার্ভার একে অপরের থেকে দূরবর্তী,
  পরীক্ষাটি ব্যক্তির জন্য কঠিন হওয়া উচিত নয়;
• প্রশ্নটি এমন হওয়া উচিত যাতে একজন ব্যক্তি কয়েক সেকেন্ডের মধ্যে উত্তর দিতে পারে,
  যাকে প্রশ্ন করা হয়েছে তাকেই উত্তর দিতে হবে;
• প্রশ্নের উত্তর দেওয়া কম্পিউটারের জন্য কঠিন হতে হবে;
• পূর্ববর্তী প্রশ্ন, উত্তর বা তাদের সমন্বয়ের জ্ঞান পরবর্তী পরীক্ষার পূর্বাভাসযোগ্যতাকে প্রভাবিত করবে না;
• পরীক্ষাটি অবশ্যই দৃষ্টিশক্তি বা শ্রবণ প্রতিবন্ধী ব্যক্তিদের প্রতি বৈষম্য করবে না;
• পরীক্ষাটি ভৌগলিক, সাংস্কৃতিক বা ভাষাগতভাবে পক্ষপাতদুষ্ট হওয়া উচিত নয়।

এটি দেখা যাচ্ছে, একটি "সঠিক" ক্যাপচা তৈরি করা বেশ কঠিন।

ক্যাপচা এর দ্বিতীয় অসুবিধা হল OCR অপটিক্যাল ক্যারেক্টার রিকগনিশন ব্যবহার করার সম্ভাবনা। কোডের একটি টুকরো একটি ক্যাপচা চিত্র পড়তে সক্ষম হয় তা যতই ভিজ্যুয়াল শব্দ থাকুক না কেন, কোন অক্ষর বা সংখ্যাগুলি এটি তৈরি করে তা দেখুন এবং স্বীকৃতি প্রক্রিয়া স্বয়ংক্রিয় করে। গবেষণায় দেখা গেছে যে বেশিরভাগ ক্যাপচা সহজেই ক্র্যাক হতে পারে।

আমি যুক্তরাজ্যের নিউক্যাসল বিশ্ববিদ্যালয়ের স্কুল অফ কম্পিউটার সায়েন্সের বিশেষজ্ঞদের কাছ থেকে উদ্ধৃতি দেব। তারা মাইক্রোসফ্ট ক্যাপচা ক্র্যাক করার সহজতার বিষয়ে কথা বলে: “আমাদের আক্রমণটি 92% এর একটি বিভাজন সাফল্যের হার অর্জন করতে সক্ষম হয়েছিল, যা বোঝায় যে MSN ক্যাপচা স্কিমটি 60% ক্ষেত্রে ইমেজটিকে বিভক্ত করে এবং তারপর এটি সনাক্ত করে ক্র্যাক করা যেতে পারে৷ " ইয়াহুর ক্যাপচা ক্র্যাক করা ঠিক ততটাই সহজ ছিল: “আমাদের দ্বিতীয় আক্রমণ 33,4% এর একটি বিভাজন সাফল্য অর্জন করেছে। এইভাবে, প্রায় 25,9% ক্যাপচা ক্র্যাক হতে পারে। আমাদের গবেষণা পরামর্শ দেয় যে স্প্যামারদের কখনই ইয়াহুর ক্যাপচা বাইপাস করার জন্য সস্তা মানব শ্রম ব্যবহার করা উচিত নয়, বরং কম খরচে স্বয়ংক্রিয় আক্রমণের উপর নির্ভর করা উচিত।"

ক্যাপচা বাইপাস করার তৃতীয় পদ্ধতিটিকে "মেকানিকাল তুর্ক" বা "তুর্ক" বলা হয়। আমরা প্রকাশের পরপরই Yahoo-এর ক্যাপচারের বিরুদ্ধে এটি পরীক্ষা করেছিলাম, এবং আজ পর্যন্ত আমরা জানি না, এবং কেউ জানে না, কীভাবে এই ধরনের আক্রমণ থেকে রক্ষা করা যায়।

এটি এমন ক্ষেত্রে যেখানে আপনার কাছে একজন খারাপ লোক আছে যে একটি "প্রাপ্তবয়স্ক" সাইট বা অনলাইন গেম চালাবে যেখান থেকে ব্যবহারকারীরা কিছু সামগ্রীর অনুরোধ করে৷ তারা পরবর্তী ছবি দেখার আগে, হ্যাকারের মালিকানাধীন সাইটটি আপনার পরিচিত একটি অনলাইন সিস্টেমের কাছে একটি ব্যাক-এন্ড অনুরোধ করবে, Yahoo বা Google বলুন, সেখান থেকে ক্যাপচাটি ধরুন এবং ব্যবহারকারীর কাছে স্লিপ করুন৷ এবং ব্যবহারকারী প্রশ্নের উত্তর দেওয়ার সাথে সাথে হ্যাকার অনুমান করা ক্যাপচা টার্গেট সাইটে পাঠাবে এবং ব্যবহারকারীকে তার সাইট থেকে অনুরোধ করা ছবি দেখাবে। আপনার যদি অনেক আকর্ষণীয় বিষয়বস্তু সহ একটি খুব জনপ্রিয় সাইট থাকে, তাহলে আপনি এমন লোকদের একটি সম্পূর্ণ বাহিনীকে একত্রিত করতে পারেন যারা স্বয়ংক্রিয়ভাবে আপনার জন্য অন্য লোকের ক্যাপচা পূরণ করবে। এটি একটি খুব শক্তিশালী জিনিস.

যাইহোক, শুধুমাত্র লোকেরা ক্যাপচা বাইপাস করার চেষ্টা করে না; ব্যবসাগুলিও এই কৌশলটি ব্যবহার করে। রবার্ট "আরএসনেক" হ্যানসেন একবার তার ব্লগে একজন রোমানিয়ান "ক্যাপচা সলভার" এর সাথে কথা বলেছিলেন যিনি বলেছিলেন যে তিনি প্রতি ঘন্টায় 300 থেকে 500 ক্যাপচা সমাধান করতে পারেন প্রতি হাজার সমাধান করা ক্যাপচা প্রতি 9 থেকে 15 ডলার হারে।

তিনি সরাসরি বলেছেন যে তার দলের সদস্যরা দিনে 12 ঘন্টা কাজ করে, এই সময়ে প্রায় 4800 ক্যাপচা সমাধান করে এবং ক্যাপচাগুলি কতটা কঠিন তার উপর নির্ভর করে, তারা তাদের কাজের জন্য প্রতিদিন $50 পর্যন্ত পেতে পারে। এটি একটি আকর্ষণীয় পোস্ট ছিল, তবে ব্লগ ব্যবহারকারীরা এই পোস্টের নীচে যে মন্তব্যগুলি রেখেছিলেন তা আরও আকর্ষণীয়৷ ভিয়েতনাম থেকে অবিলম্বে একটি বার্তা উপস্থিত হয়েছিল, যেখানে একটি নির্দিষ্ট কোয়াং হাং তার 20 জনের দল সম্পর্কে রিপোর্ট করেছিল, যারা অনুমান করা হয়েছিল প্রতি 4 ক্যাপচায় $1000 দিয়ে কাজ করতে রাজি হয়েছিল।

পরের বার্তাটি ছিল বাংলাদেশ থেকে: “হ্যালো! আশা করি আপনি ঠিক আছেন! আমরা বাংলাদেশের একটি নেতৃস্থানীয় প্রক্রিয়াকরণ কোম্পানি. বর্তমানে, আমাদের 30টি অপারেটর প্রতিদিন 100000 এর বেশি ক্যাপচা সমাধান করতে সক্ষম। Yahoo, Hotmail, Mayspace, Gmail, Facebook, ইত্যাদি সাইট থেকে 2 অনুমান করা ক্যাপচা-এর জন্য আমরা চমৎকার শর্ত এবং কম রেট অফার করি। আমরা আরও সহযোগিতার জন্য উন্মুখ।"

একজন নির্দিষ্ট বাবুর কাছ থেকে আরেকটি আকর্ষণীয় বার্তা পাঠানো হয়েছিল: "আমি এই কাজে আগ্রহী, দয়া করে আমাকে ফোনে কল করুন।"

তাই এটা বেশ আকর্ষণীয়. এই কার্যকলাপটি কতটা বৈধ বা বেআইনি তা নিয়ে আমরা বিতর্ক করতে পারি, কিন্তু বাস্তবতা হল মানুষ আসলে এর থেকে অর্থ উপার্জন করে।

অন্য লোকেদের অ্যাকাউন্টে অ্যাক্সেস লাভ করা

ট্রে ফোর্ড: পরবর্তী পরিস্থিতিতে আমরা যে কথা বলব তা হল অন্য কারো অ্যাকাউন্ট দখল করে অর্থ উপার্জন করা।

সবাই পাসওয়ার্ড ভুলে যায়, এবং অ্যাপ্লিকেশন নিরাপত্তা পরীক্ষার জন্য, পাসওয়ার্ড রিসেট এবং অনলাইন রেজিস্ট্রেশন দুটি স্বতন্ত্র, ফোকাসড ব্যবসায়িক প্রক্রিয়া উপস্থাপন করে। আপনার পাসওয়ার্ড রিসেট করার সহজতা এবং সাইন আপ করার সহজতার মধ্যে একটি বড় ব্যবধান রয়েছে, তাই আপনার পাসওয়ার্ড রিসেট প্রক্রিয়াটিকে যতটা সম্ভব সহজ করার চেষ্টা করা উচিত। কিন্তু যদি আমরা এটিকে সরলীকরণ করার চেষ্টা করি, তাহলে একটি সমস্যা দেখা দেয় কারণ পাসওয়ার্ড রিসেট করা যত সহজ, তত কম নিরাপদ।

স্প্রিন্টের ব্যবহারকারী যাচাইকরণ পরিষেবা ব্যবহার করে অনলাইন নিবন্ধন জড়িত সবচেয়ে হাই-প্রোফাইল মামলাগুলির মধ্যে একটি। হোয়াইট হ্যাট দলের দুই সদস্য অনলাইন নিবন্ধনের জন্য স্প্রিন্ট ব্যবহার করেছেন। আপনার সেল ফোন নম্বরের মতো সহজ কিছু দিয়ে শুরু করে আপনি যে আপনি তা প্রমাণ করার জন্য আপনাকে নিশ্চিত করতে হবে কয়েকটি জিনিস। আপনার ব্যাঙ্ক অ্যাকাউন্ট পরিচালনা, পরিষেবার জন্য অর্থ প্রদান এবং আরও অনেক কিছুর জন্য আপনার অনলাইন নিবন্ধন প্রয়োজন৷ ফোন কেনা খুব সুবিধাজনক যদি আপনি এটি অন্য কারো অ্যাকাউন্ট থেকে করতে পারেন এবং তারপরে কেনাকাটা করতে পারেন এবং আরও অনেক কিছু করতে পারেন। কেলেঙ্কারির বিকল্পগুলির মধ্যে একটি হল অর্থপ্রদানের ঠিকানা পরিবর্তন করা, আপনার ঠিকানায় মোবাইল ফোনের একটি সম্পূর্ণ গুচ্ছ সরবরাহের অর্ডার দেওয়া এবং শিকারকে তাদের জন্য অর্থ প্রদান করতে বাধ্য করা হবে। স্টকিং পাগলরাও এই সুযোগের স্বপ্ন দেখে: তাদের ভিকটিমদের ফোনে জিপিএস ট্র্যাকিং কার্যকারিতা যোগ করা এবং যেকোনো কম্পিউটার থেকে তাদের প্রতিটি পদক্ষেপ ট্র্যাক করা।

সুতরাং, আপনার পরিচয় যাচাই করার জন্য Sprint কিছু সহজ প্রশ্ন অফার করে। আমরা জানি, নিরাপত্তা নিশ্চিত করা যেতে পারে এনট্রপির একটি খুব বিস্তৃত পরিসরের দ্বারা বা অত্যন্ত বিশেষায়িত বিষয়গুলির দ্বারা। আমি আপনাকে স্প্রিন্ট নিবন্ধন প্রক্রিয়ার অংশটি পড়ব কারণ এনট্রপি খুব কম। উদাহরণস্বরূপ, একটি প্রশ্ন আছে: "নিম্নলিখিত ঠিকানায় নিবন্ধিত একটি গাড়ির ব্র্যান্ড নির্বাচন করুন" এবং ব্র্যান্ডের বিকল্পগুলি হল Lotus, Honda, Lamborghini, Fiat এবং "উপরের কোনোটিই নয়।" আমাকে বলুন, আপনাদের মধ্যে কার কাছে উপরের কোনটি আছে? আপনি দেখতে পাচ্ছেন, এই চ্যালেঞ্জিং ধাঁধাটি একজন কলেজ ছাত্রের জন্য সস্তা ফোন পাওয়ার একটি দুর্দান্ত সুযোগ।

দ্বিতীয় প্রশ্ন: "নিম্নলিখিত ব্যক্তিদের মধ্যে কোনটি আপনার সাথে থাকে বা নীচের ঠিকানায় থাকে"? এই প্রশ্নের উত্তর দেওয়া খুব সহজ, যদিও আপনি এই ব্যক্তিটিকে একেবারেই চেনেন না। জেরি স্টিফলিন - এই শেষ নামটিতে তিনটি "আয়" আছে, আমরা এক সেকেন্ডের মধ্যে এটিতে পৌঁছাব - রাল্ফ আর্জেন, জেরোম পনিকি এবং জন পেস। এই তালিকা সম্পর্কে আকর্ষণীয় কি হল যে প্রদত্ত নামগুলি একেবারে র্যান্ডম, এবং তারা সব একই প্যাটার্নের বিষয়। আপনি যদি এটি গণনা করেন, তবে আপনার আসল নামটি সনাক্ত করতে কোনও অসুবিধা হবে না, কারণ এটি চরিত্রগত কিছুতে এলোমেলোভাবে নির্বাচিত নামগুলির থেকে পৃথক, এই ক্ষেত্রে তিনটি অক্ষর "i"। সুতরাং, Stayfliin স্পষ্টতই একটি এলোমেলো নাম নয়, এবং এটি অনুমান করা সহজ, এই ব্যক্তিটি আপনার লক্ষ্য। এটা খুব, খুব সহজ.

তৃতীয় প্রশ্ন: "তালিকাভুক্ত শহরগুলির মধ্যে কোনটিতে আপনি কখনও বাস করেননি বা আপনার ঠিকানায় এই শহরটি ব্যবহার করেননি?" — লংমন্ট, উত্তর হলিউড, জেনোয়া বা বাট? ওয়াশিংটন ডিসির চারপাশে আমাদের তিনটি ঘনবসতিপূর্ণ এলাকা রয়েছে, তাই সুস্পষ্ট উত্তর হল উত্তর হলিউড।

স্প্রিন্ট অনলাইন রেজিস্ট্রেশনের ক্ষেত্রে আপনাকে কিছু বিষয়ে সতর্ক থাকতে হবে। আমি আগেই বলেছি, কোনো আক্রমণকারী আপনার অর্থপ্রদানের তথ্যে কেনাকাটার জন্য শিপিং ঠিকানা পরিবর্তন করতে পারলে আপনি গুরুতরভাবে ক্ষতিগ্রস্ত হতে পারেন। কি সত্যিই ভীতিকর যে আমরা একটি মোবাইল লোকেটার পরিষেবা আছে.

এটির সাহায্যে, আপনি আপনার কর্মীদের গতিবিধি ট্র্যাক করতে পারেন, যেহেতু লোকেরা মোবাইল ফোন এবং জিপিএস ব্যবহার করে এবং আপনি মানচিত্রে দেখতে পারেন তারা কোথায় আছে। তাই এই প্রক্রিয়ায় ঘটতে পারে এমন কিছু অন্যান্য চমত্কার আকর্ষণীয় জিনিস রয়েছে।

আপনি জানেন, পাসওয়ার্ড রিসেট করার সময়, ব্যবহারকারী যাচাইকরণ এবং নিরাপত্তা প্রশ্নগুলির অন্যান্য পদ্ধতির চেয়ে ইমেল ঠিকানাটি প্রাধান্য পায়। পরবর্তী স্লাইডটি এমন অনেক পরিষেবা দেখায় যা ব্যবহারকারীর অ্যাকাউন্টে লগ ইন করতে অসুবিধা হলে আপনার ইমেল ঠিকানা নির্দেশ করার প্রস্তাব দেয়৷

আমরা জানি যে বেশিরভাগ লোকেরা ইমেল ব্যবহার করে এবং তাদের একটি ইমেল অ্যাকাউন্ট রয়েছে। হঠাৎ মানুষ এটি থেকে অর্থোপার্জনের উপায় খুঁজতে চেয়েছিল। আপনি সর্বদা শিকারের ইমেল ঠিকানাটি খুঁজে পাবেন, এটি ফর্মটিতে প্রবেশ করুন এবং আপনি যে অ্যাকাউন্টটি ব্যবহার করতে চান তার পাসওয়ার্ড পুনরায় সেট করার সুযোগ পাবেন। তারপরে আপনি এটি আপনার নেটওয়ার্কে ব্যবহার করবেন এবং সেই মেলবক্সটি আপনার সোনার ভল্টে পরিণত হবে, মূল জায়গা যেখান থেকে আপনি শিকারের অন্যান্য অ্যাকাউন্টগুলি চুরি করতে পারবেন৷ আপনি শুধুমাত্র একটি মেলবক্স দখল করে শিকারের সম্পূর্ণ সদস্যতা পাবেন। হাসি থামান, এই গুরুতর!

পরবর্তী স্লাইড দেখায় যে কত মিলিয়ন মানুষ সংশ্লিষ্ট ইমেল পরিষেবাগুলি ব্যবহার করে৷ লোকেরা সক্রিয়ভাবে Gmail, Yahoo Mail, Hotmail, AOL Mail ব্যবহার করে, কিন্তু তাদের অ্যাকাউন্টগুলি দখল করার জন্য আপনাকে সুপার হ্যাকার হতে হবে না, আপনি আউটসোর্সিং করে আপনার হাত পরিষ্কার রাখতে পারেন। আপনি সর্বদা বলতে পারেন যে এটির সাথে কিছু করার নেই, আপনি এমন কিছু করেননি।

সুতরাং, অনলাইন পরিষেবা "পাসওয়ার্ড পুনরুদ্ধার" চীন ভিত্তিক, যেখানে আপনি "আপনার" অ্যাকাউন্ট হ্যাক করার জন্য তাদের জন্য অর্থ প্রদান করেন। 300 ইউয়ানের জন্য, যা প্রায় $43, আপনি 85% সাফল্যের হার সহ একটি বিদেশী মেলবক্স পাসওয়ার্ড পুনরায় সেট করার চেষ্টা করতে পারেন৷ 200 ইউয়ান বা $29 এর জন্য, আপনার হোম ইমেল পরিষেবা মেলবক্স পাসওয়ার্ড রিসেট করার ক্ষেত্রে আপনি 90% সাফল্য পাবেন৷ যেকোনো কোম্পানির মেইলবক্সে হ্যাক করতে এক হাজার ইউয়ান বা $143 খরচ হয়, কিন্তু সাফল্য নিশ্চিত নয়। এছাড়াও আপনি 163, 126, QQ, Yahoo, Sohu, Sina, TOM, Hotmail, MSN ইত্যাদির জন্য পাসওয়ার্ড ক্র্যাকিং পরিষেবাগুলি আউটসোর্স করতে পারেন৷

কনফারেন্স ব্ল্যাক হ্যাট ইউএসএ। ধনী হন বা মারা যান: ব্ল্যাক হ্যাট পদ্ধতি ব্যবহার করে অনলাইনে অর্থ উপার্জন করুন। পার্ট 2 (লিংক আগামীকাল পাওয়া যাবে)

কিছু বিজ্ঞাপন 🙂

আমাদের সাথে থাকার জন্য আপনাকে ধন্যবাদ. আপনি আমাদের নিবন্ধ পছন্দ করেন? আরো আকর্ষণীয় বিষয়বস্তু দেখতে চান? অর্ডার দিয়ে বা বন্ধুদের সুপারিশ করে আমাদের সমর্থন করুন, $4.99 থেকে বিকাশকারীদের জন্য ক্লাউড ভিপিএস, এন্ট্রি-লেভেল সার্ভারের একটি অনন্য অ্যানালগ-এ Habr ব্যবহারকারীদের জন্য 30% ছাড়, যা আপনার জন্য আমাদের দ্বারা উদ্ভাবিত হয়েছে: VPS (KVM) E5-2650 v4 (6 কোর) 10GB DDR4 240GB SSD 1Gbps থেকে $20 বা কিভাবে একটি সার্ভার শেয়ার করবেন সম্পর্কে সম্পূর্ণ সত্য? (RAID1 এবং RAID10 এর সাথে উপলব্ধ, 24 কোর পর্যন্ত এবং 40GB DDR4 পর্যন্ত)।

Dell R730xd 2 গুণ সস্তা? শুধু এখানে 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 টিভি $199 থেকে নেদারল্যান্ডে! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 থেকে! সম্পর্কে পড়ুন কিভাবে ইনফ্রাস্ট্রাকচার কর্পোরেশন তৈরি করা যায়। এক পয়সার জন্য 730 ইউরো মূল্যের Dell R5xd E2650-4 v9000 সার্ভার ব্যবহার করে ক্লাস?

উত্স: www.habr.com