হ্যাকটিভিটি সম্মেলন 2012। বিগ ব্যাং থিওরি: সিকিউরিটি পেন্টেস্টিং এর বিবর্তন। অংশ ২

হ্যাকটিভিটি সম্মেলন 2012। বিগ ব্যাং থিওরি: সিকিউরিটি পেন্টেস্টিং এর বিবর্তন। অংশ ২

এখন আমরা SQL ইনজেকশনের আরেকটি উপায় চেষ্টা করব। দেখা যাক ডাটাবেস ক্রমাগত ত্রুটি বার্তা নিক্ষেপ করে কিনা। এই পদ্ধতিটিকে "বিলম্বের জন্য অপেক্ষা করা" বলা হয়, এবং বিলম্ব নিজেই এইভাবে লেখা হয়: waitfor delay 00:00:01'। আমি এটিকে আমাদের ফাইল থেকে কপি করে ব্রাউজারের ঠিকানা বারে পেস্ট করি।

এটিকে "অন্ধ অস্থায়ী এসকিউএল ইনজেকশন" বলা হয়। আমরা এখানে যা করছি তা হল, "10 সেকেন্ডের বিলম্বের জন্য অপেক্ষা করুন।" আপনি যদি লক্ষ্য করেন, উপরের বাম দিকে আমাদের শিলালিপি রয়েছে "সংযুক্ত হচ্ছে...", অর্থাৎ, আমাদের পৃষ্ঠাটি কী করে? এটি সংযোগের জন্য অপেক্ষা করে, এবং 10 সেকেন্ড পরে সঠিক পৃষ্ঠাটি আপনার মনিটরে উপস্থিত হয়। এই কৌশলটি ব্যবহার করে, আমরা ডাটাবেসের সাথে যোগাযোগ করি যাতে এটি আমাদের এটিকে আরও কয়েকটি প্রশ্ন জিজ্ঞাসা করার অনুমতি দেয়, উদাহরণস্বরূপ, ব্যবহারকারী যদি জো হয়, তাহলে আমাদের 10 সেকেন্ড অপেক্ষা করতে হবে। এটা পরিস্কার? ব্যবহারকারী dbo হলে, 10 সেকেন্ড অপেক্ষা করুন। এটি অন্ধ এসকিউএল ইনজেকশন পদ্ধতি।

আমি মনে করি যে প্যাচ তৈরি করার সময় বিকাশকারীরা এই দুর্বলতাটি ঠিক করে না। এটি একটি এসকিউএল ইনজেকশন, কিন্তু আমাদের আইডিএস প্রোগ্রামটি এসকিউএল ইনজেকশনের পূর্ববর্তী পদ্ধতির মতো এটিও দেখতে পায় না।
এর আরো আকর্ষণীয় কিছু চেষ্টা করা যাক. আইপি অ্যাড্রেস দিয়ে এই লাইনটি কপি করে ব্রাউজারে পেস্ট করি। এটা কাজ করেছে! আমাদের প্রোগ্রামের TCP বার লাল হয়ে গেছে, প্রোগ্রামটি 2টি নিরাপত্তা হুমকির কথা উল্লেখ করেছে।

দারুন, দেখা যাক এরপর কি হল। আমাদের এক্সপি শেলকে একটি হুমকি এবং আরেকটি হুমকি রয়েছে - একটি এসকিউএল ইনজেকশন প্রচেষ্টা। মোট, দুটি প্রচেষ্টা ওয়েব অ্যাপ্লিকেশন আক্রমণ লক্ষ করা হয়েছে.

ঠিক আছে, এখন যুক্তি দিয়ে আমাকে সাহায্য করুন। আমাদের কাছে একটি অনুপ্রবেশ ডেটা প্যাকেট রয়েছে যাতে IDS বলে যে এটি XP শেল-এ বিভিন্ন অনুপ্রবেশের প্রতিক্রিয়া জানিয়েছে৷

যদি আমরা নীচে স্ক্রোল করি, আমরা HEX কোডগুলির একটি টেবিল দেখতে পাই, যার ডানদিকে xp_cmdshell + &27ping বার্তা সহ একটি পতাকা রয়েছে এবং স্পষ্টতই এটি খারাপ।

চলুন এখানে দেখা যাক কি হয়েছে. এসকিউএল সার্ভার কি করেছে?

এসকিউএল সার্ভার বলেছিল: "আপনার কাছে আমার ডাটাবেসের পাসওয়ার্ড থাকতে পারে, আপনি আমার ডাটাবেসের সমস্ত রেকর্ড পেতে পারেন, কিন্তু বন্ধু, আমি চাই না যে আপনি আমার উপর আপনার কমান্ড চালান, এটি মোটেও ভালো নয়"!

আমাদের যা করতে হবে তা নিশ্চিত করতে হবে যে IDS XP শেলকে হুমকির রিপোর্ট করলেও হুমকি উপেক্ষা করা হয়। আপনি যদি এসকিউএল সার্ভার 2005 বা SQL সার্ভার 2008 ব্যবহার করেন, তাহলে যদি একটি এসকিউএল ইনজেকশন প্রয়াস সনাক্ত করা হয়, তাহলে অপারেটিং সিস্টেম কমান্ড শেলটি লক হয়ে যাবে, আপনাকে আপনার কাজ চালিয়ে যেতে বাধা দেবে। এটা খুবই বিরক্তিকর। তাহলে আমাদের কি করা উচিত? আপনি খুব সদয়ভাবে সার্ভার জিজ্ঞাসা করার চেষ্টা করা উচিত. আপনার কি এটি বলা উচিত: "দয়া করে, বাবা, আমি কি এই কুকিগুলি পেতে পারি"? সেটাই করি, সিরিয়াসলি, খুব ভদ্রভাবে সার্ভারকে জিজ্ঞেস করি! আমি অতিরিক্ত বিকল্পের জন্য জিজ্ঞাসা করি, আমি পুনরায় কনফিগারেশনের জন্য জিজ্ঞাসা করি, এবং আমি XP শেল সেটিংস পরিবর্তন করতে বলি যাতে শেল অ্যাক্সেসযোগ্য হয় কারণ আমার এটি প্রয়োজন!

আমরা দেখতে পাচ্ছি যে IDS এটি সনাক্ত করেছে - আপনি দেখুন, এখানে ইতিমধ্যে 3টি হুমকি নোট করা হয়েছে।

শুধু এখানে দেখুন - আমরা নিরাপত্তা লগ উড়িয়ে! ক্রিসমাস ট্রি মনে হচ্ছে, এখানে অনেক কিছু ঝুলছে! ২৭টি নিরাপত্তার হুমকি! হুররে বন্ধুরা, আমরা এই হ্যাকারকে ধরেছি, আমরা তাকে পেয়েছি!

আমরা উদ্বিগ্ন নই যে সে আমাদের ডেটা চুরি করবে, তবে সে যদি আমাদের "বাক্সে" সিস্টেম কমান্ডগুলি চালাতে পারে - এটি ইতিমধ্যেই গুরুতর! আপনি একটি টেলনেট রুট আঁকতে পারেন, FTP, আপনি আমার ডেটা নিতে পারেন, এটি দুর্দান্ত, তবে আমি এটি নিয়ে চিন্তা করি না, আমি চাই না যে আপনি আমার "বক্স" এর শেলটি দখল করুন।

আমি এমন জিনিস সম্পর্কে কথা বলতে চাই যা সত্যিই আমাকে পেয়েছে। আমি সংস্থার জন্য কাজ করি, আমি অনেক বছর ধরে তাদের জন্য কাজ করেছি, এবং আমি আপনাকে এটি বলছি কারণ আমার বান্ধবী মনে করে যে আমি বেকার। তিনি মনে করেন যে আমি যা করি তা হল মঞ্চে দাঁড়িয়ে আড্ডা দেওয়া, এটিকে কাজ হিসাবে বিবেচনা করা যায় না। কিন্তু আমি বলি: "না, আমার আনন্দ, আমি একজন পরামর্শদাতা"! এটাই পার্থক্য - আমি আমার মনের কথা বলি এবং এর জন্য আমি বেতন পাই।

আমি এটি বলব - আমরা, হ্যাকার হিসাবে, শেলটি ফাটতে পছন্দ করি এবং আমাদের জন্য "শেলটি গিলে ফেলা" এর চেয়ে বড় আনন্দ পৃথিবীতে আর নেই। যখন IDS বিশ্লেষকরা তাদের নিয়মগুলি লেখেন, আপনি দেখতে পান যে তারা শেল টেম্পারিং থেকে রক্ষা করার জন্য সেগুলি লেখে। কিন্তু আপনি যদি CIO-র সাথে ডেটা নিষ্কাশনের সমস্যা নিয়ে কথা বলেন, তিনি আপনাকে দুটি বিকল্পের কথা ভাবতে বলবেন। ধরা যাক আমার কাছে একটি অ্যাপ্লিকেশন রয়েছে যা প্রতি ঘন্টায় 100 "টুকরা" করে। আমার কাছে আরও গুরুত্বপূর্ণ কী: এই অ্যাপ্লিকেশনের সমস্ত ডেটার নিরাপত্তা বা "বক্স" শেলের নিরাপত্তা নিশ্চিত করা? এটি একটি গুরুত্বপূর্ণ প্রশ্ন! আপনি আরো কি সম্পর্কে চিন্তা করা উচিত?

শুধুমাত্র আপনার "বক্স" শেলটি দূষিত হওয়ার অর্থ এই নয় যে কেউ অ্যাপ্লিকেশনগুলির অভ্যন্তরীণ কাজগুলিতে অ্যাক্সেস পেয়েছে৷ হ্যাঁ, এটি হওয়ার সম্ভাবনা বেশি, এবং যদি এটি এখনও না ঘটে থাকে তবে এটি শীঘ্রই ঘটতে পারে। কিন্তু মনে রাখবেন যে অনেক নিরাপত্তা পণ্য এই অনুমানে তৈরি করা হয়েছে যে একজন আক্রমণকারী আপনার নেটওয়ার্কের মধ্য দিয়ে যাচ্ছে। সুতরাং তারা আদেশের বাস্তবায়নের দিকে মনোযোগ দেয়, আদেশের বাস্তবায়নের দিকে এবং আপনাকে অবশ্যই মনে রাখতে হবে যে এটি একটি গুরুতর বিষয়। তারা তুচ্ছ দুর্বলতা, খুব সাধারণ ক্রস-সাইট স্ক্রিপ্টিং, খুব সাধারণ SQL ইনজেকশনগুলিতে মনোযোগ দেয়। তারা উন্নত হুমকি বা এনক্রিপ্ট করা বার্তাগুলিকে পাত্তা দেয় না, তারা এই ধরণের জিনিসগুলিকে পাত্তা দেয় না৷ আপনি বলতে পারেন যে সমস্ত নিরাপত্তা পণ্য গোলমাল খুঁজছে, তারা ইয়াপ খুঁজছে, তারা এমন কিছু থামাতে চাইছে যা আপনার গোড়ালিতে কামড় দিচ্ছে। নিরাপত্তা পণ্য নিয়ে কাজ করার সময় আমি যা শিখেছি তা এখানে। আপনাকে সুরক্ষা পণ্য কিনতে হবে না, আপনাকে ট্রাকটি বিপরীত দিকে চালাতে হবে না। আপনার দরকার দক্ষ, দক্ষ লোক যারা প্রযুক্তি বোঝে। হ্যাঁ, আমার ঈশ্বর, ঠিক মানুষ! আমরা এই ইস্যুতে লক্ষ লক্ষ ডলার নিক্ষেপ করতে চাই না, তবে আপনারা অনেকেই এই ক্ষেত্রে কাজ করেছেন এবং জানেন যে আপনার বস একটি বিজ্ঞাপন দেখার সাথে সাথে তিনি চিৎকার করে দোকানে ছুটে যান, "আমাদের এই জিনিসটি পেতে হবে! " কিন্তু আমাদের আসলেই দরকার নেই, আমাদের শুধু আমাদের পেছনের জগাখিচুড়িটা ঠিক করতে হবে। এটাই ছিল এই পারফরম্যান্সের ভিত্তি।

নিরাপত্তা পরিবেশ এমন কিছু যেখানে আমি নিরাপত্তা ব্যবস্থা কীভাবে কাজ করে তা বুঝতে অনেক সময় ব্যয় করেছি। একবার আপনি সুরক্ষা ব্যবস্থা বুঝতে পারলে, সুরক্ষা বাইপাস করা কঠিন নয়। উদাহরণস্বরূপ, আমার একটি ওয়েব অ্যাপ্লিকেশন রয়েছে যা তার নিজস্ব ফায়ারওয়াল দ্বারা সুরক্ষিত। আমি সেটিংস প্যানেলের ঠিকানাটি অনুলিপি করি, ব্রাউজারের ঠিকানা বারে পেস্ট করি এবং সেটিংসে যান এবং ক্রস-সাইট স্ক্রিপ্টিং চেষ্টা করি।

ফলস্বরূপ, আমি একটি হুমকি সম্পর্কে একটি ফায়ারওয়াল বার্তা পেয়েছি - আমাকে ব্লক করা হয়েছে৷

আমি মনে করি এটা খারাপ, আপনি কি একমত? আপনি একটি নিরাপত্তা পণ্য সম্মুখীন হয়েছে. কিন্তু আমি যদি এরকম কিছু চেষ্টা করি তাহলে কি হবে: আমি প্যারামিটার জো'+অর+1='1 লিখি

আপনি দেখতে পাচ্ছেন, এটি কাজ করেছে। আমি ভুল হলে আমাকে সংশোধন করুন, কিন্তু আমরা এসকিউএল ইনজেকশন অ্যাপ্লিকেশন ফায়ারওয়াল হারাতে দেখেছি। এখন আসুন ভান করি যে আমরা একটি সুরক্ষা বাস্তবায়ন সংস্থা শুরু করতে চাই, তাই আমরা আমাদের সফ্টওয়্যার নির্মাতার টুপি রাখব। এখন আমরা মন্দকে মূর্ত করি কারণ এটি কালো টুপি। আমি একজন পরামর্শদাতা, তাই আমি সফ্টওয়্যার নির্মাতাদের সাথে একই কাজ করতে পারি।

আমরা একটি নতুন ট্যাম্পার সনাক্তকরণ সিস্টেম তৈরি এবং স্থাপন করতে চাই, তাই আমরা একটি টেম্পার সনাক্তকারী সংস্থা শুরু করব৷ Snort, একটি ওপেন সোর্স পণ্য হিসাবে, হাজার হাজার ট্যাম্পারিং হুমকি স্বাক্ষর রয়েছে। আমাদের অবশ্যই নৈতিকভাবে কাজ করতে হবে, তাই আমরা অন্য অ্যাপ্লিকেশন থেকে এই স্বাক্ষরগুলি চুরি করব না এবং সেগুলিকে আমাদের সিস্টেমে ঢোকাব না৷ আমরা শুধু বসব এবং সেগুলিকে আবার লিখব - আরে, বব, টিম, জো, এখানে আসুন, দ্রুত এই সমস্ত 100 স্বাক্ষরের মাধ্যমে চালান!

আমাদের একটি দুর্বলতা স্ক্যানারও তৈরি করতে হবে। আপনি জানেন যে নেসাস, স্বয়ংক্রিয়ভাবে দুর্বলতাগুলি অনুসন্ধান করার জন্য একটি প্রোগ্রাম, এর একটি ভাল 80 হাজার স্বাক্ষর এবং স্ক্রিপ্ট রয়েছে যা দুর্বলতাগুলি পরীক্ষা করে৷ আমরা আবার নৈতিকভাবে কাজ করব এবং সেগুলিকে আমাদের প্রোগ্রামে আবার লিখব৷
লোকেরা আমাকে জিজ্ঞাসা করে, "জো, আপনি মড সিকিউরিটি, স্নর্ট এবং এর মতো ওপেন সোর্স সফ্টওয়্যার ব্যবহার করে এই সমস্ত পরীক্ষা করেন, এগুলি অন্যান্য নির্মাতার পণ্যগুলির সাথে কতটা মিল আছে?" আমি তাদের উত্তর দিই: "তারা মোটেও একরকম দেখায় না!" যেহেতু নির্মাতারা ওপেন সোর্স সিকিউরিটি পণ্য থেকে জিনিসপত্র চুরি করে না, তারা বসে বসে এই সমস্ত নিয়ম নিজেরাই লিখে।

আপনি যদি ওপেন সোর্স পণ্য ব্যবহার না করে আপনার নিজের স্বাক্ষর এবং আক্রমণের স্ট্রিংগুলিকে কাজ করতে পারেন তবে এটি আপনার জন্য একটি দুর্দান্ত সুযোগ। আপনি যদি বাণিজ্যিক পণ্যগুলির সাথে প্রতিদ্বন্দ্বিতা করতে অক্ষম হন, সঠিক দিকে অগ্রসর হন তবে আপনাকে অবশ্যই একটি ধারণা খুঁজে বের করতে হবে যা আপনাকে আপনার ক্ষেত্রে বিখ্যাত হতে সাহায্য করবে।

সবাই জানে আমি পান করি। আমি কেন পান করি তা দেখান। আপনি যদি আপনার জীবনে কখনও সোর্স কোড অডিট করে থাকেন তবে আপনি অবশ্যই পান করবেন, আমাকে বিশ্বাস করুন, এর পরে আপনি পান করা শুরু করবেন।

সুতরাং, আমাদের প্রিয় ভাষা হল C++। আসুন এই প্রোগ্রামটি দেখি - ওয়েব নাইট, এটি ওয়েব সার্ভারের জন্য একটি ফায়ারওয়াল অ্যাপ্লিকেশন। এটি ডিফল্টরূপে ব্যতিক্রম আছে. এটি আকর্ষণীয় - যদি আমি এই ফায়ারওয়ালটি স্থাপন করি তবে এটি আমাকে Outlook Web Access থেকে রক্ষা করবে না।

বিস্ময়কর! এর কারণ হল অনেক সফ্টওয়্যার বিক্রেতারা একটি অ্যাপ্লিকেশন থেকে নিয়ম টেনে নেয় এবং পুরো গবেষণা না করেই তাদের পণ্যে পেস্ট করে। তাই যখন আমি ওয়েব ফায়ারওয়াল অ্যাপ্লিকেশন স্থাপন করি, তখন আমি দেখতে পাই যে ওয়েবমেইল সম্পর্কে সবকিছু ভুলভাবে করা হয়েছে! কারণ প্রায় যেকোনো ওয়েবমেইল ডিফল্টভাবে নিরাপত্তা ভঙ্গ করে। আপনার কাছে এমন ওয়েব কোড রয়েছে যা সরাসরি ইন্টারনেটে LDAP বা অন্য কোনো ব্যবহারকারী ডাটাবেস স্টোরের জন্য সিস্টেম কমান্ড এবং অনুসন্ধান চালায়।

বলুন তো, কোন গ্রহে এরকম কিছু নিরাপদ বলে বিবেচিত হতে পারে? শুধু এটি সম্পর্কে চিন্তা করুন: আপনি Outlook Web Access খুলুন, ctrl +K টিপুন, ব্যবহারকারীদের জন্য অনুসন্ধান করুন এবং এই সমস্ত কিছু, আপনি সরাসরি ইন্টারনেট থেকে অ্যাক্টিভ ডিরেক্টরি পরিচালনা করেন, আপনি লিনাক্সে সিস্টেম কমান্ডগুলি চালান, যদি আপনি স্কুইরেল মেল, বা হোর্ড বা অন্য কিছু ব্যবহার করেন অন্য আপনি এই সমস্ত ইভাল এবং অন্যান্য ধরনের অনিরাপদ কার্যকারিতা বের করে আনছেন। অতএব, অনেক ফায়ারওয়াল তাদের নিরাপত্তা ঝুঁকির তালিকা থেকে বাদ দেয়, আপনার সফ্টওয়্যার নির্মাতাকে এই বিষয়ে জিজ্ঞাসা করার চেষ্টা করুন।

ওয়েব নাইট অ্যাপ্লিকেশনে ফিরে আসা যাক। এটি ইউআরএল স্ক্যানার থেকে অনেক নিরাপত্তা নিয়ম চুরি করেছে, যা এই সমস্ত আইপি অ্যাড্রেস রেঞ্জ স্ক্যান করে। সুতরাং, এই সমস্ত ঠিকানা রেঞ্জ কি আমার পণ্য থেকে বাদ দেওয়া হয়েছে?

আপনার মধ্যে কেউ কি আপনার নেটওয়ার্কে এই ঠিকানাগুলি ইনস্টল করতে চান? আপনি কি চান আপনার নেটওয়ার্ক এই ঠিকানাগুলিতে চলুক? হ্যাঁ, এটা আশ্চর্যজনক. ঠিক আছে, আসুন এই প্রোগ্রামটি নীচে স্ক্রোল করি এবং অন্যান্য জিনিসগুলি দেখি যা এই ফায়ারওয়ালটি করতে চায় না।

তাদের বলা হয় "1999" এবং তারা চায় তাদের ওয়েব সার্ভার যথাসময়ে ফিরে আসুক! আপনাদের কারো কি এই আবর্জনা মনে আছে: /scripts, /iishelp, msads? সম্ভবত কিছু লোক নস্টালজিয়া সহ মনে রাখবেন যে এই জাতীয় জিনিসগুলি হ্যাক করা কতটা মজার ছিল। "তোমার কি মনে আছে, দোস্ত, কতদিন আগে আমরা সার্ভারগুলিকে "হত্যা" করেছি, এটি দুর্দান্ত ছিল!"

এখন, আপনি যদি এই ব্যতিক্রমগুলি দেখুন, আপনি দেখতে পাবেন যে আপনি এই সমস্ত জিনিসগুলি করতে পারেন - msads, প্রিন্টার, iisadmpwd - এই সমস্ত জিনিস যা আজ কারোর প্রয়োজন নেই। আপনি চালানোর অনুমতি দেওয়া হয় না আদেশ সম্পর্কে কি?

এগুলি হল arp, at, cacls, chkdsk, cipher, cmd, com। আপনি তাদের তালিকা করার সাথে সাথে আপনি পুরানো দিনের স্মৃতিতে পরাস্ত হয়ে গেছেন, "দোস্ত, মনে আছে যখন আমরা সেই সার্ভারটি নিয়েছিলাম, সেই দিনগুলির কথা মনে আছে"?

কিন্তু এখানে কি সত্যিই আকর্ষণীয় - কেউ কি এখানে WMIC বা সম্ভবত PowerShell দেখতে পাচ্ছে? কল্পনা করুন আপনার কাছে একটি নতুন অ্যাপ্লিকেশন রয়েছে যা স্থানীয় সিস্টেমে স্ক্রিপ্ট চালানোর মাধ্যমে কাজ করে, এবং এগুলি আধুনিক স্ক্রিপ্ট কারণ আপনি উইন্ডোজ সার্ভার 2008 চালাতে চান, এবং আমি এটিকে উইন্ডোজ 2000 এর জন্য ডিজাইন করা নিয়মগুলির সাথে রক্ষা করে একটি দুর্দান্ত জিনিস করতে যাচ্ছি। যাতে পরের বার কোনও বিক্রেতা তাদের ওয়েব অ্যাপ্লিকেশন নিয়ে আপনার কাছে আসে, তাদের জিজ্ঞাসা করুন: "হে মানুষ, আপনি কি বিট অ্যাডমিন, বা পাওয়ারশেল কমান্ড চালানোর মতো জিনিসগুলি অন্তর্ভুক্ত করেছেন, আপনি কি অন্যান্য সমস্ত জিনিস পরীক্ষা করেছেন, কারণ আমরা আপডেট করতে যাচ্ছি এবং DotNET এর নতুন সংস্করণ ব্যবহার করবেন"? কিন্তু এই সব জিনিস ডিফল্টভাবে একটি নিরাপত্তা পণ্য উপস্থিত করা উচিত!

পরের জিনিসটি আমি আপনার সাথে কথা বলতে চাই তা হল যৌক্তিক ত্রুটি। চলুন 192.168.2.6 এ যাই। এটি আগেরটির মতো একই অ্যাপ্লিকেশন।

আপনি যদি পৃষ্ঠাটি স্ক্রোল করেন এবং আমাদের সাথে যোগাযোগ করুন লিঙ্কটিতে ক্লিক করেন তবে আপনি আকর্ষণীয় কিছু লক্ষ্য করতে পারেন।

আপনি যদি "আমাদের সাথে যোগাযোগ করুন" ট্যাবের সোর্স কোডটি দেখেন, যা আমি সব সময় করে থাকি এমন একটি পেন্টেস্টিং পদ্ধতি, আপনি এই লাইনটি লক্ষ্য করবেন।

চিন্তা করুন! আমি শুনেছি যে তারা যখন এটি দেখেছিল, অনেকে বলেছিল: "বাহ"! আমি একবার একটি বিলিয়নেয়ার ব্যাঙ্কের জন্য অনুপ্রবেশ পরীক্ষা করছিলাম, এবং আমি অনুরূপ কিছু লক্ষ্য করেছি। সুতরাং, আমাদের কোনো এসকিউএল ইনজেকশন বা ক্রস-সাইট স্ক্রিপ্টিংয়ের প্রয়োজন নেই - আমাদের কাছে এই ঠিকানা বারটি মৌলিক আছে।

সুতরাং, অতিরঞ্জন ছাড়াই - ব্যাঙ্ক আমাদের বলেছে যে তাদের একজন নেটওয়ার্ক বিশেষজ্ঞ এবং একজন ওয়েব পরিদর্শক উভয়ই ছিল এবং তারা কোন মন্তব্য করেনি। অর্থাৎ, তারা এটাকে স্বাভাবিক মনে করেছিল যে একটি টেক্সট ফাইল ব্রাউজারের মাধ্যমে খোলা এবং পড়া যেতে পারে।

অর্থাৎ, আপনি ফাইল সিস্টেম থেকে সরাসরি ফাইলটি পড়তে পারেন। তাদের নিরাপত্তা দলের প্রধান আমাকে বলেছিলেন: "হ্যাঁ, একজন স্ক্যানার এই দুর্বলতা খুঁজে পেয়েছে, কিন্তু এটিকে ছোট বলে মনে করেছে।" যার উত্তরে আমি বললাম, ঠিক আছে, আমাকে এক মিনিট সময় দিন। আমি ঠিকানা বারে filename=../../../../boot.ini টাইপ করেছি এবং ফাইল সিস্টেম বুট ফাইলটি পড়তে সক্ষম হয়েছি!

এটিতে তারা আমাকে বলেছিল: "না, না, না, এগুলো সমালোচনামূলক ফাইল নয়"! আমি উত্তর দিলাম - কিন্তু এটা সার্ভার 2008? তারা বলল, হ্যাঁ, তিনিই। আমি বলি - কিন্তু এই সার্ভারে সার্ভারের রুট ডিরেক্টরিতে অবস্থিত একটি কনফিগারেশন ফাইল আছে, তাই না? "সঠিক," তারা উত্তর দেয়। “দারুণ,” আমি বলি, “যদি একজন আক্রমণকারী এটা করে তাহলে কী হবে,” এবং আমি ঠিকানা বারে filename=web.config টাইপ করি। তারা বলে- তাহলে কি, মনিটরে কিছু দেখছেন না?

আমি বলি- যদি আমি মনিটরে রাইট ক্লিক করি এবং শো পেজ সোর্স অপশন সিলেক্ট করি? এবং আমি এখানে কি খুঁজে পাব? "সমালোচনামূলক কিছু নেই"? আমি সার্ভার অ্যাডমিনিস্ট্রেটরের পাসওয়ার্ড দেখব!

আর আপনি বলছেন এখানে কোন সমস্যা নেই?

কিন্তু আমার প্রিয় অংশ এই পরের এক. আপনি আমাকে বাক্সে কমান্ডগুলি চালানোর অনুমতি দেবেন না, তবে আমি ওয়েব সার্ভার অ্যাডমিনিস্ট্রেটর পাসওয়ার্ড এবং ডাটাবেস চুরি করতে পারি, পুরো ডাটাবেসটি দেখতে পারি, ডাটাবেস এবং সিস্টেমের ব্যর্থতা সম্পর্কে সমস্ত উপাদান ছিঁড়ে ফেলতে পারি এবং এটি সব থেকে দূরে যেতে পারি। এটি একটি খারাপ লোকের ঘটনা, "আরে মানুষ, আজ বড় দিন"!

নিরাপত্তা পণ্য আপনাকে অসুস্থ করতে দেবেন না! নিরাপত্তা পণ্য আপনাকে অসুস্থ করতে দেবেন না! কিছু বুদ্ধিমানদের খুঁজুন, তাদের সমস্ত স্টার ট্রেক স্মৃতিচিহ্ন দিন, তাদের আগ্রহী করুন, তাদের আপনার সাথে থাকতে উত্সাহিত করুন, কারণ যারা বিরক্তিকর দুর্গন্ধযুক্ত ব্যক্তিরা প্রতিদিন গোসল করেন না তারাই আপনার নেটওয়ার্কগুলিকে কাজ করে। এই ব্যক্তিরা আপনার সুরক্ষা পণ্যগুলিকে তাদের উচিত হিসাবে কাজ করতে সহায়তা করবে৷

আমাকে বলুন, আপনার মধ্যে কয়জন একজন ব্যক্তির সাথে দীর্ঘ সময় ধরে একই ঘরে থাকতে পারবেন যিনি ক্রমাগত বলছেন: "ওহ, আমার জরুরিভাবে এই স্ক্রিপ্টটি টাইপ করা দরকার!", এবং কে এই নিয়ে সর্বদা ব্যস্ত থাকে? কিন্তু আপনার এমন লোকদের প্রয়োজন যারা আপনার নিরাপত্তা পণ্যগুলিকে কার্যকর করে তোলে।

আমি আবারও বলব - নিরাপত্তা পণ্য বোকা কারণ লাইট ক্রমাগত ভুল করে, ক্রমাগত খারাপ জিনিস করে, তারা নিরাপত্তা প্রদান করে না। আমি কখনই এমন একটি ভাল সুরক্ষা পণ্য দেখিনি যার জন্য স্ক্রু ড্রাইভার সহ কোনও ব্যক্তির প্রয়োজন হয় না যেখানে এটিকে আরও বা কম স্বাভাবিকভাবে কাজ করার জন্য এটিকে শক্ত করার প্রয়োজন হয়। এটা শুধু নিয়মের একটা বিশাল তালিকা বলছে এটা খারাপ, এটাই!

তাই আমি চাই আপনারা শিক্ষা, নিরাপত্তা, পলিটেকনিক প্রশিক্ষণের মতো বিষয়গুলি দেখুন, কারণ নিরাপত্তা সংক্রান্ত বিষয়ে প্রচুর বিনামূল্যের অনলাইন কোর্স রয়েছে। পাইথন শিখুন, সমাবেশ শিখুন, ওয়েব অ্যাপ্লিকেশন পরীক্ষা শিখুন।

এটিই আপনাকে আপনার নেটওয়ার্ক রক্ষা করতে সাহায্য করবে। স্মার্ট মানুষ নেটওয়ার্ক রক্ষা করে, নেটওয়ার্ক পণ্য না! কাজে ফিরে যান এবং আপনার বসকে বলুন যে আপনার আরও স্মার্ট লোকেদের জন্য আরও বাজেট দরকার, আমি জানি এটি একটি সংকট, কিন্তু যাইহোক তাকে বলুন - আমাদের লোকেদের জন্য, তাদের প্রশিক্ষণের জন্য আরও অর্থের প্রয়োজন। যদি আমরা একটি পণ্য কিনছি কিন্তু কীভাবে এটি ব্যবহার করতে হয় সে সম্পর্কে একটি কোর্স কিনি না কারণ এটি ব্যয়বহুল, তাহলে আমরা যদি লোকেদের কীভাবে এটি ব্যবহার করতে হয় তা শেখাতে যাচ্ছি না তবে আমরা কেন এটি কিনব?

আমি অনেক নিরাপত্তা পণ্য বিক্রেতাদের জন্য কাজ করেছি, সেই পণ্যগুলি বাস্তবায়নের জন্য আমার পুরো জীবন ব্যয় করেছি, এবং আমি সমস্ত নেটওয়ার্ক অ্যাক্সেস নিয়ন্ত্রণ এবং স্টাফের জন্য অসুস্থ কারণ আমি সেই সমস্ত বাজে পণ্যগুলি ইনস্টল করেছি এবং চালিয়েছি৷ আমি একবার একজন ক্লায়েন্টের কাছে এসেছি, তারা EAP প্রোটোকলের জন্য 802.1x মান প্রয়োগ করতে চেয়েছিল, তাই তাদের প্রতিটি পোর্টের জন্য MAC ঠিকানা এবং সেকেন্ডারি ঠিকানা ছিল। আমি এসেছিলাম, দেখলাম যে এটা খারাপ, ঘুরে ফিরে প্রিন্টারের বোতাম টিপতে শুরু করলাম। আপনি জানেন, প্রিন্টারটি সমস্ত MAC ঠিকানা এবং IP ঠিকানা সহ নেটওয়ার্ক সরঞ্জামগুলির একটি পরীক্ষা পৃষ্ঠা মুদ্রণ করতে পারে। কিন্তু দেখা গেল যে প্রিন্টারটি 802.1x মানকে সমর্থন করে না, তাই এটি বাদ দেওয়া উচিত।

তারপর আমি প্রিন্টারটি আনপ্লাগ করে আমার ল্যাপটপের ম্যাক অ্যাড্রেস প্রিন্টারের ম্যাক অ্যাড্রেসে পরিবর্তন করে আমার ল্যাপটপকে কানেক্ট করলাম, এইভাবে এই ব্যয়বহুল ম্যাক সলিউশনটি বাইপাস করে, চিন্তা করুন! সুতরাং এই MAC সমাধানটি আমার জন্য কী ভাল করতে পারে যদি একজন ব্যক্তি কেবলমাত্র একটি প্রিন্টার বা একটি ভিওআইপি ফোন হিসাবে কোনও সরঞ্জামের টুকরো পাস করতে পারে?

তাই আজ, আমার জন্য pentesting যে আমি আমার ক্লায়েন্ট ক্রয় করা নিরাপত্তা পণ্য বুঝতে এবং বোঝার চেষ্টা করে সময় ব্যয় করি। আজকাল আমি যে সমস্ত ব্যাঙ্কে পেনিট্রেশন টেস্টিং করি সেই সমস্ত HIPS, NIPS, LAUGTHS, MACS এবং অন্যান্য সংক্ষিপ্ত শব্দগুলির একটি সম্পূর্ণ গুচ্ছ রয়েছে যা সম্পূর্ণ বাজে কথা৷ কিন্তু আমি এই পণ্যগুলি কী করার চেষ্টা করছে এবং কীভাবে তারা এটি করার চেষ্টা করছে তা বের করার চেষ্টা করছি। তারপরে, একবার আমি বুঝতে পারি যে তারা সুরক্ষা প্রদানের জন্য কী ধরণের পদ্ধতি এবং যুক্তি ব্যবহার করে, এটিকে বাইপাস করা মোটেও কঠিন নয়।

আমার প্রিয় পণ্য যা আমি আপনাকে MS 1103 বলে রাখব। এটি একটি ব্রাউজার-ভিত্তিক শোষণ যা HIPS, হোস্ট ইনট্রুশন প্রতিরোধ স্বাক্ষর, বা হোস্ট অনুপ্রবেশ প্রতিরোধ স্বাক্ষরগুলি "স্প্রে" করে। আসলে, এটি HIPS স্বাক্ষরগুলিকে বাইপাস করার জন্য ডিজাইন করা হয়েছে। আমি এটি কিভাবে কাজ করে তা দেখাতে চাই না কারণ আমি এটি প্রদর্শন করার জন্য সময় চাই না, তবে এটি সেই নিরাপত্তাকে বাইপাস করার একটি দুর্দান্ত কাজ করে এবং আমি চাই আপনি এটি চেষ্টা করুন।
ঠিক আছে বন্ধুরা, আমি এখন চলে যাচ্ছি।

কিছু বিজ্ঞাপন 🙂

আমাদের সাথে থাকার জন্য আপনাকে ধন্যবাদ. আপনি আমাদের নিবন্ধ পছন্দ করেন? আরো আকর্ষণীয় বিষয়বস্তু দেখতে চান? অর্ডার দিয়ে বা বন্ধুদের সুপারিশ করে আমাদের সমর্থন করুন, $4.99 থেকে বিকাশকারীদের জন্য ক্লাউড ভিপিএস, এন্ট্রি-লেভেল সার্ভারগুলির একটি অনন্য অ্যানালগ, যা আমাদের দ্বারা আপনার জন্য উদ্ভাবিত হয়েছে: VPS (KVM) E5-2697 v3 (6 কোর) 10GB DDR4 480GB SSD 1Gbps থেকে $19 বা কিভাবে একটি সার্ভার শেয়ার করবেন সম্পর্কে সম্পূর্ণ সত্য? (RAID1 এবং RAID10 এর সাথে উপলব্ধ, 24 কোর পর্যন্ত এবং 40GB DDR4 পর্যন্ত)।

আমস্টারডামের ইকুইনিক্স টায়ার IV ডেটা সেন্টারে ডেল R730xd 2x সস্তা? শুধু এখানে 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 টিভি $199 থেকে নেদারল্যান্ডে! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 থেকে! সম্পর্কে পড়ুন কিভাবে ইনফ্রাস্ট্রাকচার কর্পোরেশন তৈরি করা যায়। এক পয়সার জন্য 730 ইউরো মূল্যের Dell R5xd E2650-4 v9000 সার্ভার ব্যবহার করে ক্লাস?

উত্স: www.habr.com