ຂ້າພະເຈົ້າໄດ້ສະແກນຢູເຄລນ

ໃນເດືອນກຸມພາ, ຊາວອອສເຕຣຍ Christian Haschek ຈັດພີມມາບົດຄວາມທີ່ຫນ້າສົນໃຈໃນ blog ຂອງລາວທີ່ມີຊື່ວ່າ "ຂ້າພະເຈົ້າໄດ້ສະແກນທັງຫມົດຂອງອອສເຕີຍ". ແນ່ນອນ, ຂ້ອຍສົນໃຈສິ່ງທີ່ຈະເກີດຂື້ນຖ້າການສຶກສານີ້ຊ້ໍາກັນ, ແຕ່ກັບ Ukraine. ຫຼາຍອາທິດຂອງການລວບລວມຂໍ້ມູນຕະຫຼອດໂມງ, ສອງສາມມື້ເພື່ອກະກຽມບົດຄວາມ, ແລະໃນລະຫວ່າງການຄົ້ນຄ້ວານີ້, ການສົນທະນາກັບຜູ້ຕາງຫນ້າຕ່າງໆຂອງສັງຄົມຂອງພວກເຮົາ, ຫຼັງຈາກນັ້ນຊີ້ແຈງ, ຫຼັງຈາກນັ້ນຊອກຫາຂໍ້ມູນເພີ່ມເຕີມ. ກະລຸນາພາຍໃຕ້ການຕັດ ...

TL; DR

ບໍ່ມີເຄື່ອງມືພິເສດໃດໆຖືກນໍາໃຊ້ເພື່ອເກັບກໍາຂໍ້ມູນ (ເຖິງແມ່ນວ່າຫຼາຍໆຄົນແນະນໍາໃຫ້ໃຊ້ OpenVAS ດຽວກັນເພື່ອເຮັດໃຫ້ການຄົ້ນຄວ້າຢ່າງລະອຽດແລະມີຂໍ້ມູນຫຼາຍ). ກັບຄວາມປອດໄພຂອງ IPs ທີ່ກ່ຽວຂ້ອງກັບ Ukraine (ເພີ່ມເຕີມກ່ຽວກັບວິທີການທີ່ມັນໄດ້ຖືກກໍານົດຂ້າງລຸ່ມນີ້), ສະຖານະການ, ໃນຄວາມຄິດເຫັນຂອງຂ້າພະເຈົ້າ, ແມ່ນຂ້ອນຂ້າງບໍ່ດີ (ແລະແນ່ນອນຮ້າຍແຮງກວ່າສິ່ງທີ່ເກີດຂຶ້ນໃນອອສເຕີຍ). ບໍ່ມີການພະຍາຍາມ ຫຼືວາງແຜນທີ່ຈະຂຸດຄົ້ນເຊີບເວີທີ່ມີຄວາມສ່ຽງທີ່ຖືກຄົ້ນພົບ.

ກ່ອນອື່ນໝົດ: ເຈົ້າສາມາດເອົາທີ່ຢູ່ IP ທັງໝົດທີ່ເປັນຂອງແຕ່ລະປະເທດໄດ້ແນວໃດ?

ໃນຄວາມເປັນຈິງ, ມັນງ່າຍດາຍຫຼາຍ. ທີ່ຢູ່ IP ບໍ່ໄດ້ຖືກສ້າງຂຶ້ນໂດຍປະເທດຂອງຕົນເອງ, ແຕ່ຖືກຈັດສັນໃຫ້ກັບມັນ. ດັ່ງນັ້ນ, ມີບັນຊີລາຍຊື່ (ແລະມັນເປັນສາທາລະນະ) ຂອງທຸກປະເທດແລະ IPs ທັງຫມົດທີ່ຂຶ້ນກັບພວກເຂົາ.

ທຸກຄົນສາມາດເຮັດໄດ້ ດາວໂຫລດມັນແລະຫຼັງຈາກນັ້ນການກັ່ນຕອງມັນ grep Ukraine IP2LOCATION-LITE-DB1.CSV> ukraine.csv

script ງ່າຍໆທີ່ສ້າງຂຶ້ນໂດຍຄຣິສຕຽນ, ອະນຸຍາດໃຫ້ທ່ານນໍາເອົາບັນຊີລາຍຊື່ເຂົ້າໄປໃນຮູບແບບທີ່ສາມາດໃຊ້ໄດ້ຫຼາຍ.

ຢູເຄລນເປັນເຈົ້າຂອງເກືອບທຸກທີ່ຢູ່ IPv4 ເປັນອອສເຕີຍ, ຫຼາຍກວ່າ 11 ລ້ານ 11 ທີ່ຈະແນ່ນອນ (ສໍາລັບການປຽບທຽບ, ອອສເຕີຍມີ 640).

ຖ້າ​ຫາກ​ວ່າ​ທ່ານ​ບໍ່​ຕ້ອງ​ການ​ທີ່​ຈະ​ຫລິ້ນ​ກັບ​ທີ່​ຢູ່ IP ຕົວ​ທ່ານ​ເອງ (ແລະ​ທ່ານ​ບໍ່​ຄວນ​ຈະ​!), ຫຼັງ​ຈາກ​ນັ້ນ​ທ່ານ​ສາ​ມາດ​ນໍາ​ໃຊ້​ບໍ​ລິ​ການ Shodan.io.

ມີເຄື່ອງ Windows ທີ່ບໍ່ໄດ້ຮັບການປັບປຸງຢູ່ໃນຢູເຄລນທີ່ມີການເຂົ້າເຖິງອິນເຕີເນັດໂດຍກົງບໍ?

ແນ່ນອນ, ບໍ່ແມ່ນຊາວຢູເຄຣນທີ່ມີສະຕິດຽວຈະເປີດການເຂົ້າເຖິງຄອມພິວເຕີຂອງພວກເຂົາ. ຫຼືມັນຈະເປັນ?

masscan -p445 --rate 300 -iL ukraine.ips -oG ukraine.445.scan && cat ukraine.445.scan | wc -l

5669 ເຄື່ອງ Windows ທີ່ມີການເຂົ້າເຖິງເຄືອຂ່າຍໂດຍກົງໄດ້ຖືກພົບເຫັນ (ໃນອອສເຕີຍມີພຽງແຕ່ 1273, ແຕ່ວ່າຫຼາຍ).

ອຸຍ. ມີໃຜໃນຈໍານວນພວກເຂົາທີ່ສາມາດຖືກໂຈມຕີໂດຍໃຊ້ການຂູດຮີດ ETHERNALBLUE, ເຊິ່ງເປັນທີ່ຮູ້ຈັກຕັ້ງແຕ່ປີ 2017? ບໍ່ມີລົດຄັນດຽວໃນອອສເຕີຍ, ແລະຂ້າພະເຈົ້າຫວັງວ່າມັນຈະບໍ່ພົບເຫັນຢູ່ໃນຢູເຄລນ. ແຕ່ຫນ້າເສຍດາຍ, ມັນບໍ່ມີປະໂຫຍດ. ພວກເຮົາພົບເຫັນ 198 ທີ່ຢູ່ IP ທີ່ບໍ່ໄດ້ປິດ "ຂຸມ" ນີ້ຢູ່ໃນຕົວຂອງມັນເອງ.

DNS, DDoS ແລະຄວາມເລິກຂອງຂຸມກະຕ່າຍ

ພຽງພໍກ່ຽວກັບ Windows. ໃຫ້ເບິ່ງສິ່ງທີ່ພວກເຮົາມີກັບເຄື່ອງແມ່ຂ່າຍ DNS, ເຊິ່ງເປັນຕົວແກ້ໄຂແບບເປີດແລະສາມາດໃຊ້ສໍາລັບການໂຈມຕີ DDoS.

ມັນເຮັດວຽກແບບນີ້. ຜູ້ໂຈມຕີສົ່ງຄໍາຮ້ອງຂໍ DNS ຂະຫນາດນ້ອຍ, ແລະເຄື່ອງແມ່ຂ່າຍທີ່ມີຄວາມສ່ຽງຈະຕອບສະຫນອງກັບຜູ້ຖືກເຄາະຮ້າຍດ້ວຍແພັກເກັດທີ່ມີຂະຫນາດໃຫຍ່ກວ່າ 100 ເທົ່າ. ບູມ! ເຄືອຂ່າຍຂອງບໍລິສັດສາມາດລົ້ມລົງຢ່າງໄວວາຈາກປະລິມານຂໍ້ມູນດັ່ງກ່າວ, ແລະການໂຈມຕີຮຽກຮ້ອງໃຫ້ມີແບນວິດທີ່ໂທລະສັບສະຫຼາດທີ່ທັນສະໄຫມສາມາດສະຫນອງໄດ້. ແລະ​ກໍ​ມີ​ການ​ໂຈມ​ຕີ​ແບບ​ນີ້ ບໍ່ຜິດປົກກະຕິ ເຖິງແມ່ນວ່າຢູ່ໃນ GitHub.

ໃຫ້ເບິ່ງວ່າມີເຄື່ອງແມ່ຂ່າຍດັ່ງກ່າວຢູ່ໃນ Ukraine.

masscan -pU 53 -iL ukraine.ips -oG ukraine.53.scan && cat ukraine.53.scan | wc -l

ຂັ້ນຕອນທໍາອິດແມ່ນຊອກຫາຜູ້ທີ່ມີພອດເປີດ 53. ດັ່ງນັ້ນ, ພວກເຮົາມີລາຍຊື່ 58 ທີ່ຢູ່ IP, ແຕ່ນີ້ບໍ່ໄດ້ຫມາຍຄວາມວ່າພວກມັນທັງຫມົດສາມາດຖືກນໍາໃຊ້ສໍາລັບການໂຈມຕີ DDoS. ຄວາມຕ້ອງການທີສອງຕ້ອງໄດ້ຮັບການຕອບສະຫນອງ, ຄືພວກເຂົາຕ້ອງເປັນຜູ້ແກ້ໄຂແບບເປີດ.

ເພື່ອເຮັດສິ່ງນີ້, ພວກເຮົາສາມາດໃຊ້ຄໍາສັ່ງຂຸດງ່າຍໆແລະເຫັນວ່າພວກເຮົາສາມາດ "ຂຸດ" dig + short test.openresolver.com TXT @ip.of.dns.server. ຖ້າເຊີບເວີຕອບສະຫນອງດ້ວຍ open-resolver-detected, ຫຼັງຈາກນັ້ນມັນສາມາດຖືວ່າເປັນເປົ້າຫມາຍການໂຈມຕີທີ່ເປັນໄປໄດ້. ຜູ້ແກ້ໄຂແບບເປີດມີປະມານ 25%, ເຊິ່ງທຽບເທົ່າກັບອອສເຕີຍ. ໃນແງ່ຂອງຈໍານວນທັງຫມົດ, ນີ້ແມ່ນປະມານ 0,02% ຂອງ IPs ຢູເຄຣນທັງຫມົດ.

ມີຫຍັງອີກແດ່ທີ່ເຈົ້າສາມາດຊອກຫາຢູ່ໃນຢູເຄລນ?

ດີໃຈທີ່ເຈົ້າຖາມ. ມັນງ່າຍກວ່າ (ແລະຫນ້າສົນໃຈທີ່ສຸດສໍາລັບຂ້ອຍສ່ວນບຸກຄົນ) ເພື່ອເບິ່ງ IP ທີ່ມີພອດ 80 ແລະສິ່ງທີ່ເຮັດວຽກຢູ່ໃນມັນ.

ເຊີບເວີເວັບ

260 IPs ອູແກຣນຕອບສະຫນອງຕໍ່ພອດ 849 (http). 80 ທີ່​ຢູ່​ໄດ້​ຕອບ​ສະ​ຫນອງ​ໃນ​ທາງ​ບວກ (125 ສະ​ຖາ​ນະ​ພາບ​) ການ​ຮ້ອງ​ຂໍ GET ງ່າຍ​ດາຍ​ທີ່​ຕົວ​ທ່ອງ​ເວັບ​ຂອງ​ທ່ານ​ສາ​ມາດ​ສົ່ງ​. ສ່ວນທີ່ເຫຼືອຜະລິດຫນຶ່ງຫຼືຄວາມຜິດພາດອື່ນ. ມັນຫນ້າສົນໃຈທີ່ເຄື່ອງແມ່ຂ່າຍ 444 ໄດ້ອອກສະຖານະພາບ 200, ແລະສະຖານະພາບທີ່ຫາຍາກທີ່ສຸດແມ່ນ 853 (ການຮ້ອງຂໍການອະນຸຍາດຕົວແທນ) ແລະ 500 ທີ່ບໍ່ແມ່ນມາດຕະຖານຢ່າງສົມບູນ (IP ບໍ່ໄດ້ຢູ່ໃນ "ບັນຊີລາຍຊື່ສີຂາວ") ສໍາລັບການຕອບສະຫນອງດຽວ.

Apache ແມ່ນເດັ່ນຢ່າງແທ້ຈິງ - ເຄື່ອງແມ່ຂ່າຍ 114 ໃຊ້ມັນ. ສະບັບເກົ່າທີ່ສຸດທີ່ຂ້າພະເຈົ້າພົບເຫັນຢູ່ໃນຢູເຄລນແມ່ນ 544, ປ່ອຍອອກມາເມື່ອວັນທີ 1.3.29 ຕຸລາ 29 (!!!). nginx ຢູ່ໃນອັນດັບສອງທີ່ມີ 2003 ເຄື່ອງແມ່ຂ່າຍ.

11 ເຊີບເວີໃຊ້ WinCE, ເຊິ່ງໄດ້ປ່ອຍອອກມາເມື່ອປີ 1996, ແລະພວກເຂົາສຳເລັດການອັບເດດມັນໃນປີ 2013 (ມີພຽງ 4 ອັນໃນອອສເຕີຍ).

ໂປຣໂຕຄໍ HTTP/2 ໃຊ້ 5 ເຊີບເວີ, HTTP/144 - 1.1, HTTP/256 - 836.

ເຄື່ອງພິມ ... ເພາະວ່າ ... ເປັນຫຍັງບໍ່?

2 HP, 5 Epson ແລະ 4 Canon, ທີ່ສາມາດເຂົ້າເຖິງໄດ້ຈາກເຄືອຂ່າຍ, ບາງສ່ວນຂອງພວກເຂົາໂດຍບໍ່ມີການອະນຸຍາດໃດໆ.

ກ້ອງເວັບ

ມັນ​ບໍ່​ແມ່ນ​ຂ່າວ​ວ່າ​ໃນ Ukraine ມີ​ຈໍາ​ນວນ​ຫຼາຍ​ຂອງ webcams ອອກ​ອາ​ກາດ​ຕົນ​ເອງ​ກັບ​ອິນ​ເຕີ​ເນັດ​, ເກັບ​ກໍາ​ຂໍ້​ມູນ​ກ່ຽວ​ກັບ​ການ​ຕ່າງໆ​. ຢ່າງໜ້ອຍມີກ້ອງ 75 ໜ່ວຍ ອອກອາກາດທາງອິນເຕີເນັດ ໂດຍບໍ່ມີການປ້ອງກັນໃດໆ. ທ່ານສາມາດເບິ່ງໃຫ້ເຂົາເຈົ້າ ທີ່ນີ້.

ຈະເປັນແນວໃດຕໍ່ໄປ?

ຢູເຄຣນເປັນປະເທດນ້ອຍໆເຊັ່ນອອສເຕຣຍ ແຕ່ກໍມີບັນຫາຄືກັນກັບປະເທດໃຫຍ່ໃນຂະແໜງໄອທີ. ພວກເຮົາຈໍາເປັນຕ້ອງໄດ້ພັດທະນາຄວາມເຂົ້າໃຈດີຂຶ້ນກ່ຽວກັບສິ່ງທີ່ປອດໄພແລະສິ່ງທີ່ເປັນອັນຕະລາຍ, ແລະຜູ້ຜະລິດອຸປະກອນຕ້ອງສະຫນອງການຕັ້ງຄ່າເບື້ອງຕົ້ນທີ່ປອດໄພສໍາລັບອຸປະກອນຂອງເຂົາເຈົ້າ.

ນອກຈາກນັ້ນ, ຂ້າພະເຈົ້າເກັບກໍາບໍລິສັດຄູ່ຮ່ວມງານ (ກາຍ​ເປັນ​ຄູ່​ຮ່ວມ​ງານ​), ເຊິ່ງສາມາດຊ່ວຍໃຫ້ທ່ານຮັບປະກັນຄວາມສົມບູນຂອງໂຄງສ້າງພື້ນຖານ IT ຂອງທ່ານເອງ. ຂັ້ນຕອນຕໍ່ໄປທີ່ຂ້ອຍວາງແຜນທີ່ຈະເຮັດແມ່ນການທົບທວນຄືນຄວາມປອດໄພຂອງເວັບໄຊທ໌ຢູເຄລນ. ຢ່າປ່ຽນ!

ແຫຼ່ງຂໍ້ມູນ: www.habr.com