ब्लैक हैट यूएसए सम्मेलन। अमीर बनो या मरो: ब्लैक हैट विधियों का उपयोग करके ऑनलाइन पैसा कमाना। भाग 1

संचालक: देवियों और सज्जनों, यह बातचीत बहुत मज़ेदार और बहुत दिलचस्प है, आज हम उन वास्तविक चीज़ों के बारे में बात करने जा रहे हैं जो इंटरनेट पर देखी जाती हैं। यह बातचीत ब्लैक हैट सम्मेलनों में होने वाली बातचीत से थोड़ी अलग है क्योंकि हम इस बारे में बात करने जा रहे हैं कि हमलावर अपने हमलों से पैसे कैसे कमाते हैं।

हम आपको कुछ दिलचस्प हमले दिखाएंगे जो लाभ कमा सकते हैं, और आपको उन हमलों के बारे में बताएंगे जो वास्तव में उस रात हुए थे जब हम जैगर्मिस्टर के पास गए और विचार-मंथन किया। यह मजेदार था, लेकिन जब हम थोड़ा शांत हुए, तो हमने एसईओ लोगों से बात की और वास्तव में पता चला कि बहुत से लोग इन हमलों से पैसा कमा रहे हैं।

मैं सिर्फ एक बुद्धिहीन मध्य प्रबंधक हूं, इसलिए मैं अपनी सीट छोड़ दूंगा और आपको जेरेमी और ट्रे से मिलवाऊंगा, जो मुझसे कहीं ज्यादा होशियार हैं। मेरे पास एक स्मार्ट और मज़ेदार परिचय होना चाहिए, लेकिन मेरे पास नहीं है, इसलिए मैं इसके बजाय ये स्लाइड दिखाऊंगा।

जेरेमी ग्रॉसमैन और ट्रे फोर्ड को दिखाने वाली स्लाइड्स को स्क्रीन पर दिखाया गया है।
जेरेमी ग्रॉसमैन व्हाइटहैट सिक्योरिटी के संस्थापक और मुख्य प्रौद्योगिकी अधिकारी हैं, जिन्हें 2007 में इन्फोवर्ल्ड द्वारा शीर्ष 25 सीटीओ में से एक नामित किया गया था, वेब एप्लिकेशन सिक्योरिटी कंसोर्टियम के सह-संस्थापक और क्रॉस-साइट स्क्रिप्टिंग हमलों के सह-लेखक थे।

ट्रे फोर्ड व्हाइटहैट सिक्योरिटी में आर्किटेक्चरल सॉल्यूशंस के निदेशक हैं, जिनके पास फॉर्च्यून 6 कंपनियों के लिए सुरक्षा सलाहकार के रूप में 500 साल का अनुभव है और पीसीआई डीएसएस भुगतान कार्ड डेटा सुरक्षा मानक के डेवलपर्स में से एक हैं।

मुझे लगता है कि ये तस्वीरें मेरे हास्य की कमी को पूरा करती हैं। किसी भी मामले में, मुझे आशा है कि आप उनकी प्रस्तुति का आनंद लेंगे और फिर समझेंगे कि पैसे कमाने के लिए इंटरनेट पर इन हमलों का उपयोग कैसे किया जाता है।

जेरेमी ग्रॉसमैन: शुभ दोपहर, आने के लिए आप सभी को धन्यवाद। यह एक बहुत ही मज़ेदार बातचीत होगी, हालाँकि आपको शून्य-दिन के हमले या बढ़िया नई तकनीकें नहीं दिखेंगी। हम इसे केवल मनोरंजक बनाने का प्रयास करेंगे और उन वास्तविक चीज़ों के बारे में बात करेंगे जो हर दिन घटित होती हैं जो बुरे लोगों को बहुत सारा पैसा कमाने की अनुमति देती हैं।

इस स्लाइड में जो दिखाया गया है उससे हम आपको प्रभावित करने की कोशिश नहीं कर रहे हैं, बल्कि बस यह समझाने की कोशिश कर रहे हैं कि हमारी कंपनी क्या करती है। तो, व्हाइट हैट सेंटिनल, या "गार्जियन व्हाइट हैट" है:

• मूल्यांकन की असीमित संख्या - ग्राहक साइटों का नियंत्रण और विशेषज्ञ प्रबंधन, उनके आकार और परिवर्तनों की आवृत्ति की परवाह किए बिना साइटों को स्कैन करने की क्षमता;
• कवरेज का व्यापक दायरा - तकनीकी कमजोरियों का पता लगाने के लिए साइटों की अधिकृत स्कैनिंग और खुले व्यावसायिक क्षेत्रों में तार्किक त्रुटियों की पहचान करने के लिए उपयोगकर्ता परीक्षण;
• झूठी सकारात्मकताओं को दूर करना - हमारी परिचालन टीम परिणामों की समीक्षा करती है और उचित गंभीरता और खतरे की रेटिंग प्रदान करती है;
• विकास और गुणवत्ता नियंत्रण - व्हाइटहैट सैटेलाइट उपकरण प्रणाली हमें आंतरिक नेटवर्क तक पहुंच के माध्यम से क्लाइंट सिस्टम को दूरस्थ रूप से सेवा देने की अनुमति देती है;
• सुधार और सुधार - यथार्थवादी स्कैनिंग आपको सिस्टम को जल्दी और कुशलता से अपडेट करने की अनुमति देती है।

इसलिए, हम दुनिया की हर साइट का ऑडिट करते हैं, हमारे पास वेब एप्लिकेशन पेंटेस्टर्स की सबसे बड़ी टीम है, हम हर हफ्ते 600-700 मूल्यांकन परीक्षण करते हैं, और इस प्रेजेंटेशन में आप जो भी डेटा देखेंगे वह इस प्रकार का काम करने के हमारे अनुभव से आता है। .
अगली स्लाइड पर आप वैश्विक वेबसाइटों पर 10 सबसे आम प्रकार के हमले देखेंगे। यह कुछ हमलों के प्रति संवेदनशीलता का प्रतिशत दर्शाता है। जैसा कि आप देख सकते हैं, सभी साइटों में से 65% क्रॉस-साइट स्क्रिप्टिंग के प्रति संवेदनशील हैं, 40% सूचना रिसाव की अनुमति देती हैं, और 23% सामग्री स्पूफिंग के प्रति संवेदनशील हैं। क्रॉस-साइट स्क्रिप्टिंग के अलावा, SQL इंजेक्शन और कुख्यात क्रॉस-साइट अनुरोध जालसाजी, जो हमारे शीर्ष दस में शामिल नहीं है, आम हैं। लेकिन इस सूची में गूढ़ नामों वाले हमले शामिल हैं, जिन्हें अस्पष्ट भाषा का उपयोग करके वर्णित किया गया है और जिनकी विशिष्टता यह है कि वे कुछ कंपनियों के खिलाफ निर्देशित हैं।

ये प्रमाणीकरण दोष, प्राधिकरण प्रक्रिया दोष, सूचना लीक इत्यादि हैं।

अगली स्लाइड व्यावसायिक तर्क पर हमलों के बारे में बात करती है। गुणवत्ता आश्वासन में शामिल क्यूए टीमें आमतौर पर उन पर ध्यान नहीं देती हैं। वे परीक्षण करते हैं कि सॉफ़्टवेयर को क्या करना चाहिए, न कि वह क्या कर सकता है, और फिर आप जो चाहें देख सकते हैं। स्कैनर्स, ये सभी सफेद/काले/ग्रे बॉक्स, ये सभी बहु-रंगीन बॉक्स ज्यादातर मामलों में इन चीजों का पता लगाने में सक्षम नहीं हैं, क्योंकि वे बस इस संदर्भ पर तय होते हैं कि हमला क्या हो सकता है या जब ऐसा होता है तो क्या होता है। उनमें बुद्धि की कमी है और वे नहीं जानते कि कुछ भी काम करता है या नहीं।

यही बात आईडीएस और डब्ल्यूएएफ एप्लिकेशन फ़ायरवॉल के लिए भी लागू होती है, जो व्यावसायिक तर्क त्रुटियों का पता लगाने में भी विफल रहती है क्योंकि HTTP अनुरोध पूरी तरह से सामान्य दिखते हैं। हम आपको दिखाएंगे कि व्यावसायिक तर्क दोषों से संबंधित हमले पूरी तरह से स्वाभाविक रूप से उत्पन्न होते हैं, कोई हैकर नहीं होते हैं, कोई मेटाकैरेक्टर या अन्य विषमताएं नहीं होती हैं, वे स्वाभाविक रूप से होने वाली प्रक्रियाओं की तरह दिखते हैं। मुख्य बात यह है कि बुरे लोग इन चीज़ों को पसंद करते हैं क्योंकि व्यावसायिक तर्क की खामियाँ उन्हें पैसा दिलाती हैं। वे XSS, SQL, CSRF का उपयोग करते हैं, लेकिन इस प्रकार के हमलों को अंजाम देना कठिन होता जा रहा है, और हमने देखा है कि पिछले 3-5 वर्षों में उनमें कमी आई है। लेकिन वे अपने आप गायब नहीं होंगे, जैसे बफर ओवरफ्लो दूर नहीं होगा। हालाँकि, बुरे लोग सोच रहे हैं कि अधिक परिष्कृत हमलों का उपयोग कैसे किया जाए क्योंकि उनका मानना ​​है कि "वास्तविक बुरे लोग" हमेशा अपने हमलों से पैसा कमाने की तलाश में रहते हैं।

मैं आपको वास्तविक तरकीबें दिखाना चाहता हूं जिन्हें आप अपना सकते हैं और अपने व्यवसाय की सुरक्षा के लिए उनका सही तरीके से उपयोग कर सकते हैं। हमारी प्रस्तुति का एक अन्य उद्देश्य यह है कि आप नैतिकता के बारे में सोच रहे होंगे।

ऑनलाइन चुनाव और वोटिंग

तो, व्यावसायिक तर्क की कमियों के बारे में अपनी चर्चा शुरू करने के लिए, आइए ऑनलाइन सर्वेक्षणों के बारे में बात करें। ऑनलाइन मतदान जनता की राय जानने या उसे प्रभावित करने का सबसे आम तरीका है। हम $0 के लाभ के साथ शुरुआत करेंगे और फिर 5, 6, 7 महीनों की धोखाधड़ी वाली योजनाओं के परिणाम को देखेंगे। आइए एक बहुत ही सरल सर्वेक्षण करके शुरुआत करें। आप जानते हैं कि हर नई वेबसाइट, हर ब्लॉग, हर न्यूज़ पोर्टल ऑनलाइन सर्वेक्षण करता है। उन्होंने कहा, कोई भी क्षेत्र बहुत बड़ा या बहुत संकीर्ण नहीं है, लेकिन हम विशिष्ट क्षेत्रों में जनता की राय देखना चाहते हैं।

मैं आपका ध्यान ऑस्टिन, टेक्सास में किए गए एक सर्वेक्षण की ओर आकर्षित करना चाहूंगा। क्योंकि एक ऑस्टिन बीगल ने वेस्टमिंस्टर डॉग शो जीता था, ऑस्टिन अमेरिकन स्टेट्समैन ने सेंट्रल टेक्सास कुत्ते के मालिकों के लिए एक ऑनलाइन ऑस्टिन बेस्ट इन शो पोल आयोजित करने का निर्णय लिया। हजारों मालिकों ने तस्वीरें जमा कीं और अपने पसंदीदा के लिए मतदान किया। कई अन्य सर्वेक्षणों की तरह, आपके पालतू जानवर के लिए डींगें हांकने के अलावा कोई पुरस्कार नहीं था।

वोटिंग के लिए वेब 2.0 सिस्टम एप्लिकेशन का उपयोग किया गया था। यदि आपको कुत्ता पसंद आया तो आपने "हां" पर क्लिक किया और पता लगाया कि यह उस नस्ल का सबसे अच्छा कुत्ता है या नहीं। तो आपने शो के विजेता के लिए उम्मीदवार के रूप में साइट पर पोस्ट किए गए कई सौ कुत्तों को वोट दिया।

इस मतदान पद्धति से 3 प्रकार की धोखाधड़ी संभव थी। पहला अंतहीन वोट है, जहां आप एक ही कुत्ते के लिए बार-बार वोट करते हैं। यह बहुत सरल है। दूसरी विधि नकारात्मक एकाधिक वोटिंग है, जहां आप एक प्रतिस्पर्धी कुत्ते के खिलाफ बड़ी संख्या में वोट करते हैं। तीसरा तरीका यह था कि, वस्तुतः प्रतियोगिता के अंतिम समय में, आपने एक नया कुत्ता रखा, उसके लिए मतदान किया, ताकि नकारात्मक वोट प्राप्त करने की संभावना न्यूनतम हो, और आप 100% सकारात्मक वोट प्राप्त करके जीत गए।

इसके अलावा, जीत प्रतिशत के रूप में निर्धारित की गई थी, न कि कुल वोटों से, यानी, आप यह निर्धारित नहीं कर सकते थे कि किस कुत्ते को अधिकतम सकारात्मक रेटिंग प्राप्त हुई है, केवल किसी विशेष कुत्ते के लिए सकारात्मक और नकारात्मक रेटिंग के प्रतिशत की गणना की गई थी . सर्वोत्तम सकारात्मक/नकारात्मक स्कोर अनुपात वाला कुत्ता जीता।

सहकर्मी रॉबर्ट "आरस्नेक" हैनसेन के दोस्त ने उससे उसके चिहुआहुआ टिनी को एक प्रतियोगिता जीतने में मदद करने के लिए कहा। आप रॉबर्ट को जानते हैं, वह ऑस्टिन से है। उन्होंने एक सुपर हैकर की तरह बर्प प्रॉक्सी को ठीक किया और कम से कम प्रतिरोध का रास्ता अपनाया। उन्होंने धोखाधड़ी तकनीक #1 का उपयोग किया, इसे कई सौ या हजार अनुरोधों के बर्प लूप के माध्यम से चलाया, और इससे कुत्ते को 2000 अपवोट मिले और वह प्रथम स्थान पर आ गया।

इसके बाद, उसने टिनी के प्रतिद्वंद्वी, उपनाम चुचु के खिलाफ धोखाधड़ी तकनीक नंबर 2 का इस्तेमाल किया। प्रतियोगिता के अंतिम मिनटों में, उन्होंने चुचू के खिलाफ 450 वोट डाले, जिससे 1:2 से अधिक वोट अनुपात के साथ टिनी की स्थिति पहले स्थान पर मजबूत हो गई, लेकिन सकारात्मक और नकारात्मक समीक्षाओं के प्रतिशत के मामले में, टिनी फिर भी हार गई। इस स्लाइड पर आप एक साइबर अपराधी का नया चेहरा देखते हैं, जो इस परिणाम से हतोत्साहित है।

हाँ, यह एक दिलचस्प परिदृश्य था, लेकिन मुझे लगता है कि मेरे दोस्त को यह प्रदर्शन पसंद नहीं आया। आप बस ऑस्टिन में चिहुआहुआ प्रतियोगिता जीतना चाहते थे, लेकिन कोई था जिसने आपको हैक करने और वही काम करने की कोशिश की। खैर, अब मैं ट्रे को कॉल सौंपता हूं।

कृत्रिम मांग पैदा करना और उस पर पैसा कमाना

ट्रे फोर्ड: जब हम ऑनलाइन टिकट खरीदते हैं तो "कृत्रिम DoS" की अवधारणा कई अलग-अलग दिलचस्प परिदृश्यों को संदर्भित करती है। उदाहरण के लिए, किसी उड़ान में विशेष सीट आरक्षित करते समय। यह किसी भी प्रकार के टिकट पर लागू हो सकता है, जैसे कोई खेल आयोजन या संगीत कार्यक्रम।

एयरलाइन सीटों, भौतिक वस्तुओं, उपयोगकर्ता नाम इत्यादि जैसी दुर्लभ वस्तुओं की बार-बार खरीदारी को रोकने के लिए, एप्लिकेशन टकराव को रोकने के लिए एक निश्चित अवधि के लिए आइटम को लॉक कर देता है। और यहां पहले से कुछ आरक्षित करने की क्षमता से जुड़ी भेद्यता आती है।

हम सभी टाइमआउट के बारे में जानते हैं, हम सभी सत्र समाप्त करने के बारे में जानते हैं। लेकिन यह विशेष तार्किक दोष हमें उड़ान में एक सीट का चयन करने और फिर बिना कुछ भुगतान किए वापस चयन करने की अनुमति देता है। निश्चित रूप से आप में से कई लोग अक्सर व्यावसायिक यात्राओं पर जाते हैं, लेकिन मेरे लिए यह काम का एक अनिवार्य हिस्सा है। हमने कई स्थानों पर इस एल्गोरिदम का परीक्षण किया है: आप एक उड़ान चुनते हैं, एक सीट चुनते हैं, और जब आप तैयार होते हैं तभी आप अपनी भुगतान जानकारी दर्ज करते हैं। यानी, आपके द्वारा कोई जगह चुनने के बाद, वह आपके लिए एक निश्चित अवधि के लिए आरक्षित होती है - कई मिनटों से लेकर कई घंटों तक, और इस दौरान कोई और इस जगह को बुक नहीं कर सकता है। इस प्रतीक्षा अवधि के कारण, आपके पास बस साइट पर लौटकर और अपनी इच्छित सीटें बुक करके विमान की सभी सीटें आरक्षित करने का एक वास्तविक अवसर है।

इस प्रकार, एक DoS आक्रमण विकल्प प्रकट होता है: विमान की प्रत्येक सीट के लिए इस चक्र को स्वचालित रूप से दोहराएं।

हमने कम से कम दो प्रमुख एयरलाइनों पर इसका परीक्षण किया है। आप किसी अन्य बुकिंग के साथ भी यही भेद्यता पा सकते हैं। यह उन लोगों के लिए अपने टिकटों की कीमतें बढ़ाने का एक शानदार अवसर है जो उन्हें दोबारा बेचना चाहते हैं। ऐसा करने के लिए, सट्टेबाजों को बिना किसी मौद्रिक नुकसान के जोखिम के शेष टिकट बुक करने की आवश्यकता है। इस तरह, आप उच्च-मांग वाले उत्पाद बेचने वाले ई-कॉमर्स को "क्रैश" कर सकते हैं - वीडियो गेम, गेम कंसोल, आईफ़ोन इत्यादि। यानी, ऑनलाइन बुकिंग या आरक्षण प्रणाली में मौजूदा खामी किसी हमलावर को इससे पैसा कमाने या प्रतिस्पर्धियों को नुकसान पहुंचाने की अनुमति देती है।

कैप्चा डिक्रिप्शन

जेरेमी ग्रॉसमैन: अब बात करते हैं कैप्चा की. हर कोई उन कष्टप्रद तस्वीरों को जानता है जो इंटरनेट पर गंदगी फैलाती हैं और स्पैम से निपटने के लिए उपयोग की जाती हैं। संभावित रूप से, आप कैप्चा से भी लाभ कमा सकते हैं। कैप्चा एक पूरी तरह से स्वचालित ट्यूरिंग परीक्षण है जो आपको एक वास्तविक व्यक्ति को एक बॉट से अलग करने की अनुमति देता है। कैप्चा के उपयोग पर शोध करते समय मुझे बहुत सी दिलचस्प बातें पता चलीं।

कैप्चा का प्रयोग पहली बार 2000-2001 के आसपास किया गया था। स्पैमर मुफ्त ईमेल सेवाओं जीमेल, याहू मेल, विंडोज लाइव मेल, माइस्पेस, फेसबुक आदि के लिए पंजीकरण करने के लिए कैप्चा को खत्म करना चाहते हैं। और स्पैम भेजें. चूंकि कैप्चा का उपयोग काफी व्यापक रूप से किया जाता है, इसलिए सेवाओं का एक पूरा बाजार सामने आया है जो सर्वव्यापी कैप्चा को बायपास करने की पेशकश करता है। अंततः, इससे लाभ होता है - इसका एक उदाहरण स्पैम भेजना होगा। कैप्चा को बायपास करने के 3 तरीके हैं, आइए उन पर नजर डालें।

पहला है विचार के कार्यान्वयन में खामियाँ, या कैप्चा के उपयोग में कमियाँ।
इस प्रकार, प्रश्नों के उत्तर में बहुत कम एन्ट्रापी होती है, जैसे "लिखें कि 4+1 किसके बराबर है।" एक ही प्रश्न कई बार दोहराया जा सकता है, और संभावित उत्तरों की सीमा काफी छोटी है।

कैप्चा की प्रभावशीलता की जाँच इस प्रकार की जाती है:

• परीक्षण उन स्थितियों में किया जाना चाहिए जहां व्यक्ति और सर्वर एक दूसरे से दूर हों,
  परीक्षण व्यक्ति के लिए कठिन नहीं होना चाहिए;
• प्रश्न ऐसा होना चाहिए जिसका उत्तर व्यक्ति कुछ ही सेकंड में दे सके,
  केवल उसी को उत्तर देना चाहिए जिससे प्रश्न पूछा गया है;
• प्रश्न का उत्तर देना कंप्यूटर के लिए कठिन होगा;
• पिछले प्रश्नों, उत्तरों या उनके संयोजन का ज्ञान अगले परीक्षण की पूर्वानुमेयता को प्रभावित नहीं करना चाहिए;
• परीक्षण में दृष्टि या श्रवण बाधित लोगों के साथ भेदभाव नहीं होना चाहिए;
• परीक्षण भौगोलिक, सांस्कृतिक या भाषाई रूप से पक्षपाती नहीं होना चाहिए।

जैसा कि यह पता चला है, "सही" कैप्चा बनाना काफी कठिन है।

कैप्चा का दूसरा नुकसान OCR ऑप्टिकल कैरेक्टर रिकग्निशन का उपयोग करने की संभावना है। कोड का एक टुकड़ा कैप्चा छवि को पढ़ने में सक्षम है, चाहे उसमें कितना भी दृश्य शोर हो, देखें कि इसमें कौन से अक्षर या संख्याएँ हैं, और पहचान प्रक्रिया को स्वचालित करता है। शोध से पता चला है कि अधिकांश कैप्चा को आसानी से क्रैक किया जा सकता है।

मैं यूके के न्यूकैसल विश्वविद्यालय में स्कूल ऑफ कंप्यूटर साइंस के विशेषज्ञों के उद्धरण दूंगा। वे माइक्रोसॉफ्ट कैप्चा को क्रैक करने में आसानी के बारे में बात करते हैं: "हमारा हमला 92% की विभाजन सफलता दर प्राप्त करने में सक्षम था, जिसका अर्थ है कि एमएसएन कैप्चा योजना को 60% मामलों में छवि को विभाजित करके और फिर इसे पहचानकर क्रैक किया जा सकता है। ” याहू के कैप्चा को क्रैक करना उतना ही आसान था: “हमारे दूसरे हमले ने 33,4% की विभाजन सफलता हासिल की। इस प्रकार, लगभग 25,9% कैप्चा को क्रैक किया जा सकता है। हमारे शोध से पता चलता है कि स्पैमर को याहू के कैप्चा को बायपास करने के लिए कभी भी सस्ते मानव श्रम का उपयोग नहीं करना चाहिए, बल्कि कम लागत वाले स्वचालित हमले पर भरोसा करना चाहिए।"

कैप्चा को बायपास करने की तीसरी विधि को "मैकेनिकल तुर्क" या "तुर्क" कहा जाता है। हमने प्रकाशन के तुरंत बाद याहू के कैप्चा के विरुद्ध इसका परीक्षण किया, और आज तक हम नहीं जानते, और कोई भी नहीं जानता कि इस तरह के हमले से कैसे बचा जाए।

यह वह मामला है जहां आपके पास एक बुरा आदमी है जो एक "वयस्क" साइट या ऑनलाइन गेम चलाएगा जहां से उपयोगकर्ता कुछ सामग्री का अनुरोध करते हैं। इससे पहले कि वे अगली तस्वीर देख सकें, हैकर जिस साइट का मालिक है वह उस ऑनलाइन सिस्टम से बैक-एंड अनुरोध करेगा जिससे आप परिचित हैं, जैसे कि याहू या गूगल, वहां से कैप्चा लें और इसे उपयोगकर्ता को भेज दें। और जैसे ही उपयोगकर्ता प्रश्न का उत्तर देता है, हैकर अनुमानित कैप्चा को लक्ष्य साइट पर भेज देगा और उपयोगकर्ता को उसकी साइट से अनुरोधित छवि दिखाएगा। यदि आपके पास बहुत सारी दिलचस्प सामग्री वाली एक बहुत लोकप्रिय साइट है, तो आप लोगों की एक पूरी सेना जुटा सकते हैं जो आपके लिए अन्य लोगों के कैप्चा को स्वचालित रूप से भर देगी। ये बहुत ताकतवर चीज है.

हालाँकि, न केवल लोग कैप्चा को बायपास करने का प्रयास करते हैं; व्यवसाय भी इस तकनीक का उपयोग करते हैं। रॉबर्ट "आरएसनेक" हैनसेन ने एक बार अपने ब्लॉग पर एक रोमानियाई "कैप्चा सॉल्वर" के साथ बात की थी, जिसने कहा था कि वह 300 से 500 डॉलर प्रति हजार सॉल्व्ड कैप्चा की दर से प्रति घंटे 9 से 15 कैप्चा हल कर सकता है।

वह सीधे तौर पर कहते हैं कि उनकी टीम के सदस्य प्रतिदिन 12 घंटे काम करते हैं और इस दौरान लगभग 4800 कैप्चा हल करते हैं, और कैप्चा कितना कठिन है इसके आधार पर, वे अपने काम के लिए प्रति दिन 50 डॉलर तक प्राप्त कर सकते हैं। यह एक दिलचस्प पोस्ट थी, लेकिन इससे भी अधिक दिलचस्प वे टिप्पणियाँ हैं जो ब्लॉग उपयोगकर्ताओं ने इस पोस्ट के अंतर्गत छोड़ी थीं। वियतनाम से तुरंत एक संदेश सामने आया, जहां एक निश्चित क्वांग हंग ने अपने 20 लोगों के समूह के बारे में सूचना दी, जो अनुमानित प्रति 4 कैप्चा पर 1000 डॉलर के लिए काम करने के लिए सहमत हुए।

अगला संदेश बांग्लादेश से था: “हैलो! आशा है आप ठीक हैं! हम बांग्लादेश की एक अग्रणी प्रसंस्करण कंपनी हैं। वर्तमान में, हमारे 30 ऑपरेटर प्रतिदिन 100000 से अधिक कैप्चा हल करने में सक्षम हैं। हम याहू, हॉटमेल, मेस्पेस, जीमेल, फेसबुक आदि साइटों से 2 अनुमानित कैप्चा के लिए उत्कृष्ट स्थिति और कम दर - $ 1000 प्रदान करते हैं। हम आगे सहयोग की आशा करते हैं।"

एक और दिलचस्प संदेश किसी बाबू ने भेजा था: "मुझे इस काम में दिलचस्पी है, कृपया मुझे फोन पर कॉल करें।"

तो यह काफी दिलचस्प है. हम इस पर बहस कर सकते हैं कि यह गतिविधि कितनी वैध या अवैध है, लेकिन तथ्य यह है कि लोग वास्तव में इससे पैसा कमाते हैं।

अन्य लोगों के खातों तक पहुंच प्राप्त करना

ट्रे फोर्ड: अगला परिदृश्य जिसके बारे में हम बात करेंगे वह किसी और के खाते पर कब्ज़ा करके पैसा कमाना है।

हर कोई पासवर्ड भूल जाता है, और एप्लिकेशन सुरक्षा परीक्षण के लिए, पासवर्ड रीसेट और ऑनलाइन पंजीकरण दो अलग, केंद्रित व्यावसायिक प्रक्रियाओं का प्रतिनिधित्व करते हैं। आपके पासवर्ड को रीसेट करने में आसानी और साइन अप करने में आसानी के बीच एक बड़ा अंतर है, इसलिए आपको पासवर्ड रीसेट प्रक्रिया को यथासंभव सरल बनाने का प्रयास करना चाहिए। लेकिन अगर हम इसे सरल बनाने की कोशिश करते हैं, तो एक समस्या उत्पन्न होती है क्योंकि पासवर्ड रीसेट करना जितना आसान होता है, वह उतना ही कम सुरक्षित होता है।

सबसे हाई-प्रोफ़ाइल मामलों में से एक में स्प्रिंट की उपयोगकर्ता सत्यापन सेवा का उपयोग करके ऑनलाइन पंजीकरण शामिल था। व्हाइट हैट टीम के दो सदस्यों ने ऑनलाइन पंजीकरण के लिए स्प्रिंट का उपयोग किया। यह साबित करने के लिए कि आप आप ही हैं, कुछ चीजें हैं जिनकी पुष्टि आपको करनी होगी, शुरुआत अपने सेल फोन नंबर जैसी सरल चीज़ से। आपको अपने बैंक खाते को प्रबंधित करने, सेवाओं के लिए भुगतान करने आदि जैसी चीज़ों के लिए ऑनलाइन पंजीकरण की आवश्यकता है। फ़ोन ख़रीदना बहुत सुविधाजनक है यदि आप इसे किसी और के खाते से कर सकते हैं और फिर खरीदारी कर सकते हैं और बहुत कुछ कर सकते हैं। घोटाले के विकल्पों में से एक है भुगतान पता बदलना, अपने पते पर ढेर सारे मोबाइल फोन की डिलीवरी का ऑर्डर देना और पीड़ित को उनके लिए भुगतान करने के लिए मजबूर किया जाएगा। पीछा करने वाले पागल भी इस अवसर का सपना देखते हैं: अपने पीड़ितों के फोन में जीपीएस ट्रैकिंग कार्यक्षमता जोड़ना और किसी भी कंप्यूटर से उनकी हर गतिविधि पर नज़र रखना।

तो, स्प्रिंट आपकी पहचान सत्यापित करने के लिए कुछ सरल प्रश्न प्रदान करता है। जैसा कि हम जानते हैं, सुरक्षा या तो एन्ट्रापी की एक बहुत विस्तृत श्रृंखला द्वारा या अत्यधिक विशिष्ट मुद्दों द्वारा सुनिश्चित की जा सकती है। मैं आपको स्प्रिंट पंजीकरण प्रक्रिया का हिस्सा पढ़ूंगा क्योंकि एन्ट्रॉपी बहुत कम है। उदाहरण के लिए, एक प्रश्न है: "निम्न पते पर पंजीकृत कार ब्रांड का चयन करें" और ब्रांड विकल्प लोटस, होंडा, लेम्बोर्गिनी, फिएट और "उपरोक्त में से कोई नहीं" हैं। मुझे बताओ, आपमें से किसके पास उपरोक्त में से कोई है? जैसा कि आप देख सकते हैं, यह चुनौतीपूर्ण पहेली एक कॉलेज छात्र के लिए सस्ते फोन पाने का एक शानदार अवसर है।

दूसरा प्रश्न: "निम्नलिखित में से कौन सा व्यक्ति आपके साथ रहता है या नीचे दिए गए पते पर रहता है"? इस प्रश्न का उत्तर देना बहुत आसान है, भले ही आप इस व्यक्ति को बिल्कुल भी नहीं जानते हों। जेरी स्टिफ़्लिन - इस अंतिम नाम में तीन "ऐज़" हैं, हम एक सेकंड में उस तक पहुंचेंगे - राल्फ आर्गेन, जेरोम पोनिकी और जॉन पेस। इस सूची के बारे में दिलचस्प बात यह है कि दिए गए नाम बिल्कुल यादृच्छिक हैं, और वे सभी एक ही पैटर्न के अधीन हैं। यदि आप इसकी गणना करते हैं, तो आपको वास्तविक नाम पहचानने में कोई कठिनाई नहीं होगी, क्योंकि यह बेतरतीब ढंग से चुने गए नामों से कुछ विशेषताओं में भिन्न होता है, इस मामले में तीन अक्षर "i"। इस प्रकार, स्टेफ्लिन स्पष्ट रूप से एक यादृच्छिक नाम नहीं है, और यह अनुमान लगाना आसान है, यह व्यक्ति आपका लक्ष्य है। यह बहुत, बहुत सरल है.

तीसरा प्रश्न: "आप सूचीबद्ध शहरों में से किसमें कभी नहीं रहे या आपने अपने पते में इस शहर का कभी उपयोग नहीं किया?" - लॉन्गमोंट, नॉर्थ हॉलीवुड, जेनोआ या बट्टे? हमारे पास वाशिंगटन डीसी के आसपास तीन घनी आबादी वाले क्षेत्र हैं, इसलिए स्पष्ट उत्तर उत्तरी हॉलीवुड है।

स्प्रिंट ऑनलाइन पंजीकरण के साथ कुछ चीजें हैं जिनके बारे में आपको सावधान रहने की आवश्यकता है। जैसा कि मैंने पहले कहा था, यदि कोई हमलावर आपकी भुगतान जानकारी में खरीदारी के लिए शिपिंग पता बदलने में सक्षम होता है तो आपको गंभीर नुकसान हो सकता है। वास्तव में डरावनी बात यह है कि हमारे पास मोबाइल लोकेटर सेवा है।

इसके साथ, आप अपने कर्मचारियों की गतिविधियों को ट्रैक कर सकते हैं, क्योंकि लोग मोबाइल फोन और जीपीएस का उपयोग करते हैं, और आप मानचित्र पर देख सकते हैं कि वे कहां हैं। तो इस प्रक्रिया में कुछ अन्य बहुत दिलचस्प चीज़ें घटित होती हैं।

जैसा कि आप जानते हैं, पासवर्ड रीसेट करते समय, ईमेल पते को उपयोगकर्ता सत्यापन और सुरक्षा प्रश्नों के अन्य तरीकों पर प्राथमिकता दी जाती है। अगली स्लाइड में कई सेवाएँ दिखाई गई हैं जो उपयोगकर्ता को अपने खाते में लॉग इन करने में कठिनाई होने पर आपका ईमेल पता बताने की पेशकश करती हैं।

हम जानते हैं कि अधिकांश लोग ईमेल का उपयोग करते हैं और उनके पास एक ईमेल खाता होता है। अचानक लोग इससे पैसा कमाने का तरीका ढूंढना चाहते थे। आप हमेशा पीड़ित का ईमेल पता ढूंढेंगे, उसे फॉर्म में दर्ज करेंगे, और जिस खाते में आप हेरफेर करना चाहते हैं उसके लिए पासवर्ड रीसेट करने का अवसर आपके पास होगा। फिर आप इसे अपने नेटवर्क पर उपयोग करते हैं, और वह मेलबॉक्स आपका गोल्डन वॉल्ट बन जाता है, मुख्य स्थान जहां से आप पीड़ित के अन्य सभी खाते चुरा सकते हैं। आप केवल एक मेलबॉक्स को अपने कब्जे में लेकर पीड़ित की पूरी सदस्यता प्राप्त कर लेंगे। मुस्कुराना बंद करो, यह गंभीर है!

अगली स्लाइड दिखाती है कि कितने लाखों लोग संबंधित ईमेल सेवाओं का उपयोग करते हैं। लोग सक्रिय रूप से जीमेल, याहू मेल, हॉटमेल, एओएल मेल का उपयोग करते हैं, लेकिन उनके खातों पर कब्ज़ा करने के लिए आपको सुपर हैकर होने की ज़रूरत नहीं है, आप आउटसोर्सिंग के माध्यम से अपना हाथ साफ़ रख सकते हैं। आप हमेशा कह सकते हैं कि इसका इससे कोई लेना-देना नहीं है, आपने ऐसा कुछ नहीं किया।

तो, ऑनलाइन सेवा "पासवर्ड रिकवरी" चीन में स्थित है, जहां आप "अपना" खाता हैक करने के लिए भुगतान करते हैं। 300 युआन, जो लगभग $43 है, के लिए आप 85% सफलता दर के साथ एक विदेशी मेलबॉक्स पासवर्ड रीसेट करने का प्रयास कर सकते हैं। 200 युआन, या $29 के लिए, आपको अपने होम ईमेल सेवा मेलबॉक्स पासवर्ड को रीसेट करने में 90% सफलता मिलेगी। किसी भी कंपनी के मेलबॉक्स को हैक करने में एक हजार युआन या $143 का खर्च आता है, लेकिन सफलता की गारंटी नहीं है। आप 163, 126, क्यूक्यू, याहू, सोहू, सिना, टीओएम, हॉटमेल, एमएसएन, आदि के लिए पासवर्ड क्रैकिंग सेवाओं को आउटसोर्स भी कर सकते हैं।

सम्मेलन ब्लैक हैट यूएसए। अमीर बनो या मरो: ब्लैक हैट तरीकों का उपयोग करके ऑनलाइन पैसा कमाएं। भाग 2 (लिंक कल उपलब्ध होगा)

कुछ विज्ञापन 🙂

हमारे साथ रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक रोचक सामग्री देखना चाहते हैं? आदेश देकर या मित्रों को अनुशंसा करके हमारा समर्थन करें, डेवलपर्स के लिए क्लाउड VPS $4.99 से शुरू, प्रवेश स्तर के सर्वरों के एक अद्वितीय एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% की छूट, जिसका आविष्कार हमारे द्वारा आपके लिए किया गया था: VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps के बारे में पूरी सच्चाई $20 से या सर्वर कैसे साझा करें? (RAID1 और RAID10 के साथ उपलब्ध, 24 कोर तक और 40GB DDR4 तक)।

डेल R730xd 2 गुना सस्ता? केवल यहां 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 टीवी $199 से नीदरलैंड में! डेल R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 से! के बारे में पढ़ा इन्फ्रास्ट्रक्चर कॉर्प का निर्माण कैसे करें। एक पैसा के लिए 730 यूरो मूल्य के डेल R5xd E2650-4 v9000 सर्वर के उपयोग के साथ वर्ग?

स्रोत: www.habr.com