परिषद ब्लॅक हॅट यूएसए. श्रीमंत व्हा किंवा मरा: ब्लॅक हॅट पद्धती वापरून ऑनलाइन पैसे कमवा. भाग 1

अग्रगण्य: स्त्रिया आणि सज्जनांनो, ही चर्चा खूप मजेदार आणि खूप मनोरंजक आहे, आज आपण इंटरनेटवर पाहिल्या जाणार्‍या वास्तविक गोष्टींबद्दल बोलणार आहोत. हे संभाषण ब्लॅक हॅट कॉन्फरन्समध्ये वापरल्या गेलेल्या संभाषणांपेक्षा थोडे वेगळे आहे कारण आम्ही हल्लेखोर त्यांच्या हल्ल्यांमधून पैसे कसे कमावतात याबद्दल बोलणार आहोत.

आम्‍ही तुम्‍हाला काही रंजक हल्ले दाखवू जे नफा मिळवू शकतात आणि तुम्‍हाला ज्‍गरमिस्‍टरवर जाऊन विचारमंथन करण्‍याच्‍या रात्री प्रत्यक्षात घडलेल्या हल्ल्यांबद्दल सांगू. हे मजेदार होते, परंतु जेव्हा आम्ही थोडे शांत झालो तेव्हा आम्ही एसइओ लोकांशी बोललो आणि प्रत्यक्षात शिकलो की बरेच लोक या हल्ल्यांमधून पैसे कमवत आहेत.

मी फक्त एक बुद्धी नसलेला मध्यम व्यवस्थापक आहे, म्हणून मी माझी जागा सोडेन आणि जेरेमी आणि ट्रे यांच्याशी तुमची ओळख करून देईन, जे माझ्यापेक्षा खूप हुशार आहेत. माझा एक स्मार्ट आणि मजेदार परिचय असावा, परंतु मी तसे करत नाही, म्हणून मी त्याऐवजी या स्लाइड्स दाखवतो.

स्क्रीनवर जेरेमी ग्रॉसमन आणि ट्रे फोर्ड दर्शविणाऱ्या स्लाइड्स दाखवल्या आहेत.
जेरेमी ग्रॉसमन हे व्हाईटहॅट सिक्युरिटीचे संस्थापक आणि मुख्य तंत्रज्ञान अधिकारी आहेत, 2007 मध्ये इन्फोवर्ल्डद्वारे शीर्ष 25 CTOs पैकी एक, वेब ऍप्लिकेशन सिक्युरिटी कन्सोर्टियमचे सह-संस्थापक आणि क्रॉस-साइट स्क्रिप्टिंग हल्ल्यांचे सह-लेखक आहेत.

ट्रे फोर्ड हे व्हाईटहॅट सिक्युरिटी येथील आर्किटेक्चरल सोल्युशन्सचे संचालक आहेत, ज्यांना फॉर्च्युन 6 कंपन्यांसाठी सुरक्षा सल्लागार म्हणून 500 वर्षांचा अनुभव आहे आणि PCI DSS पेमेंट कार्ड डेटा सुरक्षा मानक विकसित करणार्‍यांपैकी एक आहे.

मला वाटते की ही चित्रे माझ्यातील विनोदाची कमतरता भरून काढतात. कोणत्याही परिस्थितीत, मला आशा आहे की आपण त्यांच्या सादरीकरणाचा आनंद घ्याल आणि नंतर समजून घ्या की हे हल्ले पैसे कमावण्यासाठी इंटरनेटवर कसे वापरले जातात.

जेरेमी ग्रॉसमन: शुभ दुपार, आल्याबद्दल सर्वांचे आभार. हे खूप मजेदार संभाषण असेल, जरी तुम्हाला शून्य-दिवस हल्ले किंवा नवीन तंत्रज्ञान दिसणार नाही. आम्ही फक्त ते मनोरंजक बनवण्याचा प्रयत्न करू आणि दररोज घडणार्‍या वास्तविक गोष्टींबद्दल बोलू ज्यामुळे वाईट लोकांना भरपूर पैसे मिळू शकतात.

या स्लाइडवर जे दाखवले आहे त्यावरून आम्ही तुम्हाला प्रभावित करण्याचा प्रयत्न करत नाही, परंतु आमची कंपनी काय करते ते फक्त स्पष्ट करा. तर, व्हाईट हॅट सेंटिनेल, किंवा "गार्डियन व्हाईट हॅट" आहे:

• मूल्यांकनांची अमर्याद संख्या - क्लायंट साइट्सचे नियंत्रण आणि तज्ञ व्यवस्थापन, साइट्सचा आकार आणि बदलांची वारंवारता लक्षात न घेता स्कॅन करण्याची क्षमता;
• कव्हरेजची विस्तृत व्याप्ती - तांत्रिक असुरक्षा शोधण्यासाठी साइटचे अधिकृत स्कॅनिंग आणि उघड न केलेल्या व्यावसायिक क्षेत्रांमध्ये तार्किक त्रुटी ओळखण्यासाठी वापरकर्ता चाचणी;
• खोट्या सकारात्मक गोष्टी काढून टाकणे - आमची ऑपरेशनल टीम परिणामांचे पुनरावलोकन करते आणि योग्य तीव्रता आणि धोका रेटिंग नियुक्त करते;
• विकास आणि गुणवत्ता नियंत्रण - व्हाईटहॅट सॅटेलाइट उपकरण प्रणाली आम्हाला अंतर्गत नेटवर्कमध्ये प्रवेशाद्वारे क्लायंट सिस्टमची दूरस्थपणे सेवा करण्यास अनुमती देते;
• सुधारणा आणि सुधारणा - वास्तववादी स्कॅनिंग आपल्याला सिस्टम द्रुत आणि कार्यक्षमतेने अद्यतनित करण्यास अनुमती देते.

म्हणून, आम्ही जगातील प्रत्येक साइटचे ऑडिट करतो, आमच्याकडे वेब ऍप्लिकेशन पेंटेस्टर्सची सर्वात मोठी टीम आहे, आम्ही दर आठवड्याला 600-700 मूल्यांकन चाचण्या करतो आणि या सादरीकरणात तुम्हाला दिसणारा सर्व डेटा आमच्या या प्रकारच्या कामाच्या अनुभवातून येतो. .
पुढील स्‍लाइडवर तुम्‍हाला जागतिक वेबसाइट्सवरील हल्ले होण्‍याचे 10 सर्वात सामान्य प्रकार पहा. हे विशिष्ट हल्ल्यांच्या असुरक्षिततेची टक्केवारी दर्शवते. तुम्ही बघू शकता, सर्व साइट्सपैकी 65% क्रॉस-साइट स्क्रिप्टिंगसाठी असुरक्षित आहेत, 40% माहिती गळतीला परवानगी देतात आणि 23% सामग्री स्पूफिंगसाठी असुरक्षित आहेत. क्रॉस-साइट स्क्रिप्टिंग व्यतिरिक्त, एसक्यूएल इंजेक्शन्स आणि कुख्यात क्रॉस-साइट विनंती खोटे, जे आमच्या टॉप टेनमध्ये समाविष्ट नाहीत, सामान्य आहेत. परंतु या यादीमध्ये गूढ नावांसह हल्ले आहेत, ज्यांचे वर्णन अस्पष्ट भाषा वापरून केले जाते आणि ज्याचे वैशिष्ट्य म्हणजे ते विशिष्ट कंपन्यांविरुद्ध निर्देशित केले जातात.

हे प्रमाणीकरण त्रुटी, अधिकृतता प्रक्रियेतील त्रुटी, माहिती गळती इत्यादी आहेत.

पुढील स्‍लाइड व्‍यवसाय तर्कांवरील हल्ल्यांबद्दल बोलतो. गुणवत्ता आश्वासनामध्ये गुंतलेले QA संघ सहसा त्यांच्याकडे लक्ष देत नाहीत. सॉफ्टवेअरने काय केले पाहिजे, ते काय करू शकत नाही याची ते चाचणी करतात आणि नंतर तुम्हाला हवे ते पाहू शकता. स्कॅनर, हे सर्व पांढरे/काळे/राखाडी बॉक्स, हे सर्व बहु-रंगीत बॉक्स बहुतेक प्रकरणांमध्ये या गोष्टी शोधण्यात सक्षम नसतात, कारण ते फक्त हल्ला काय असू शकतो किंवा जेव्हा ते घडते तेव्हा काय घडते याच्या संदर्भात निश्चित केले जाते. त्यांच्याकडे बुद्धिमत्तेचा अभाव आहे आणि काहीही काम केले की नाही हे त्यांना माहित नाही.

हेच IDS आणि WAF ऍप्लिकेशन फायरवॉलसाठी देखील आहे, जे व्यवसाय तर्क दोष शोधण्यात देखील अपयशी ठरतात कारण HTTP विनंत्या पूर्णपणे सामान्य दिसतात. आम्‍ही तुम्‍हाला दाखवू की व्‍यवसाय तर्क दोषांशी संबंधित हल्ले पूर्णपणे नैसर्गिकरित्या उद्भवतात, तेथे कोणतेही हॅकर्स नसतात, कोणतेही मेटाकॅरेक्‍टर किंवा इतर विचित्रता नसतात, ते नैसर्गिकरित्या घडणार्‍या प्रक्रियेसारखे दिसतात. मुख्य गोष्ट अशी आहे की वाईट लोकांना या गोष्टी आवडतात कारण व्यवसायाच्या तर्कातील त्रुटींमुळे त्यांना पैसे मिळतात. ते XSS, SQL, CSRF वापरतात, परंतु या प्रकारचे हल्ले करणे कठीण होत चालले आहे आणि गेल्या 3-5 वर्षांमध्ये ते कमी झाल्याचे आपण पाहिले आहे. परंतु ते स्वतःच अदृश्य होणार नाहीत, जसे बफर ओव्हरफ्लो दूर होणार नाही. तथापि, वाईट लोक अधिक अत्याधुनिक हल्ले कसे वापरायचे याचा विचार करत आहेत कारण त्यांचा असा विश्वास आहे की "खरे वाईट लोक" नेहमी त्यांच्या हल्ल्यांमधून पैसे कमविण्याचा प्रयत्न करतात.

मी तुम्हाला वास्तविक युक्त्या दाखवू इच्छितो ज्या तुम्ही बोर्डवर घेऊ शकता आणि तुमच्या व्यवसायाचे संरक्षण करण्यासाठी त्यांचा योग्य मार्गाने वापर करू शकता. आमच्या सादरीकरणाचा आणखी एक उद्देश असा आहे की तुम्हाला नैतिकतेबद्दल आश्चर्य वाटत असेल.

ऑनलाइन मतदान आणि मतदान

म्हणून, व्यवसाय तर्कशास्त्रातील कमतरतांबद्दल चर्चा सुरू करण्यासाठी, ऑनलाइन सर्वेक्षणांबद्दल बोलूया. ऑनलाइन मतदान हा सार्वजनिक मत जाणून घेण्याचा किंवा प्रभावित करण्याचा सर्वात सामान्य मार्ग आहे. आम्ही $0 च्या नफ्यासह सुरुवात करू आणि नंतर 5, 6, 7 महिन्यांच्या फसव्या योजनांचे परिणाम पाहू. चला एक अतिशय साधे सर्वेक्षण करून सुरुवात करूया. तुम्हाला माहिती आहे की प्रत्येक नवीन वेबसाइट, प्रत्येक ब्लॉग, प्रत्येक न्यूज पोर्टल ऑनलाइन सर्वेक्षण करते. असे म्हटले आहे की, कोणतेही कोनाडे खूप मोठे किंवा खूप अरुंद नसते, परंतु आम्हाला विशिष्ट भागात लोकांचे मत पहायचे आहे.

ऑस्टिन, टेक्सास येथे झालेल्या एका सर्वेक्षणाकडे मी तुमचे लक्ष वेधून घेऊ इच्छितो. ऑस्टिन बीगलने वेस्टमिन्स्टर डॉग शो जिंकल्यामुळे, ऑस्टिन अमेरिकन स्टेटसमनने सेंट्रल टेक्सासच्या कुत्र्यांच्या मालकांसाठी ऑनलाइन ऑस्टिनचे बेस्ट इन शो पोल आयोजित करण्याचा निर्णय घेतला. हजारो मालकांनी फोटो सबमिट केले आणि त्यांच्या आवडीसाठी मत दिले. इतर अनेक सर्वेक्षणांप्रमाणे, तुमच्या पाळीव प्राण्यांसाठी बढाई मारण्याच्या अधिकारांव्यतिरिक्त कोणतेही बक्षीस नव्हते.

मतदानासाठी वेब 2.0 सिस्टम ऍप्लिकेशन वापरण्यात आले. जर तुम्हाला कुत्रा आवडला असेल आणि तो जातीतील सर्वोत्कृष्ट कुत्रा आहे की नाही हे तुम्हाला कळले तर तुम्ही “होय” क्लिक केले. त्यामुळे तुम्ही शोच्या विजेत्यासाठी उमेदवार म्हणून साइटवर पोस्ट केलेल्या शेकडो कुत्र्यांना मत दिले.

या मतदान पद्धतीमुळे 3 प्रकारची फसवणूक शक्य होती. पहिले म्हणजे अंतहीन मत, जिथे तुम्ही त्याच कुत्र्याला वारंवार मत देता. हे खूप सोपे आहे. दुसरी पद्धत नकारात्मक एकाधिक मतदान आहे, जिथे तुम्ही प्रतिस्पर्धी कुत्र्याविरुद्ध मोठ्या संख्येने मतदान करता. तिसरा मार्ग असा होता की, अक्षरशः स्पर्धेच्या शेवटच्या क्षणी, तुम्ही एक नवीन कुत्रा ठेवला, त्याला मतदान केले, जेणेकरून नकारात्मक मते मिळण्याची शक्यता कमी होती आणि तुम्ही १००% सकारात्मक मते मिळवून जिंकलात.

शिवाय, विजय टक्केवारी म्हणून निर्धारित केला गेला होता, एकूण मतांच्या संख्येने नव्हे, म्हणजे, कोणत्या कुत्र्याला जास्तीत जास्त सकारात्मक रेटिंग मिळाले हे आपण निर्धारित करू शकत नाही, केवळ विशिष्ट कुत्रासाठी सकारात्मक आणि नकारात्मक रेटिंगची टक्केवारी मोजली गेली. . सर्वोत्तम सकारात्मक/नकारात्मक गुणोत्तर असलेला कुत्रा जिंकला.

सहकारी रॉबर्ट "आरएसनेक" हॅन्सनच्या मित्राने त्याला तिच्या चिहुआहुआ टिनीला स्पर्धा जिंकण्यास मदत करण्यास सांगितले. तुम्हाला रॉबर्ट माहित आहे, तो ऑस्टिनचा आहे. त्याने, एका सुपर हॅकरप्रमाणे, बर्प प्रॉक्सी निश्चित केली आणि कमीतकमी प्रतिकाराचा मार्ग अवलंबला. त्याने फसवणूकीचे तंत्र #1 वापरले, बर्प लूपद्वारे ते अनेक शेकडो किंवा हजार विनंत्यांद्वारे चालवले आणि यामुळे कुत्र्याला 2000 अपव्होट मिळाले आणि त्याला पहिल्या स्थानावर आणले.

पुढे, त्याने चुचू टोपणनाव असलेल्या टिनीच्या स्पर्धकाविरुद्ध फसवणूक तंत्र क्रमांक 2 चा वापर केला. स्पर्धेच्या शेवटच्या मिनिटांत, त्याने चुचूच्या विरोधात 450 मते दिली, ज्यामुळे 1:2 पेक्षा जास्त मत गुणोत्तरासह 1ल्या स्थानावर टिनीचे स्थान आणखी मजबूत झाले, परंतु सकारात्मक आणि नकारात्मक पुनरावलोकनांच्या टक्केवारीच्या बाबतीत, टिनी अजूनही हरला. या स्लाइडवर तुम्हाला सायबर गुन्हेगाराचा नवा चेहरा दिसत आहे, जो या निकालामुळे निराश झाला आहे.

होय, ही एक मनोरंजक परिस्थिती होती, परंतु मला वाटते की माझ्या मित्राला ही कामगिरी आवडली नाही. तुम्हाला फक्त ऑस्टिनमधील चिहुआहुआ स्पर्धा जिंकायची होती, पण कोणीतरी तुम्हाला हॅक करण्याचा प्रयत्न केला आणि तेच केले. बरं, आता मी कॉल ट्रेकडे वळवतो.

कृत्रिम मागणी निर्माण करणे आणि त्यावर पैसे कमवणे

ट्रे फोर्ड: जेव्हा आपण ऑनलाइन तिकिटे खरेदी करतो तेव्हा "कृत्रिम DoS" ची संकल्पना विविध मनोरंजक परिस्थितींचा संदर्भ देते. उदाहरणार्थ, फ्लाइटमध्ये विशेष सीट आरक्षित करताना. हे कोणत्याही प्रकारच्या तिकिटांना लागू होऊ शकते, जसे की क्रीडा कार्यक्रम किंवा मैफिली.

एअरलाइन सीट्स, भौतिक वस्तू, वापरकर्तानावे इ. सारख्या दुर्मिळ वस्तूंची वारंवार खरेदी रोखण्यासाठी, संघर्ष टाळण्यासाठी अनुप्रयोग विशिष्ट कालावधीसाठी आयटम लॉक करतो. आणि येथे आगाऊ काहीतरी आरक्षित करण्याच्या क्षमतेशी संबंधित असुरक्षा येते.

आपल्या सर्वांना कालबाह्य बद्दल माहिती आहे, सत्र समाप्तीबद्दल आपल्या सर्वांना माहिती आहे. परंतु या विशिष्ट तार्किक दोषामुळे आम्हाला फ्लाइटमध्ये जागा निवडता येते आणि नंतर काहीही न देता पुन्हा निवड करण्यासाठी परत येते. तुमच्यापैकी बरेच जण बिझनेस ट्रिपला जातात हे नक्की, पण माझ्यासाठी हा नोकरीचा एक अत्यावश्यक भाग आहे. आम्ही अनेक ठिकाणी या अल्गोरिदमची चाचणी केली आहे: तुम्ही फ्लाइट निवडा, सीट निवडा आणि जेव्हा तुम्ही तयार असाल तेव्हाच तुम्ही तुमची पेमेंट माहिती प्रविष्ट करता. म्हणजेच, तुम्ही एखादे ठिकाण निवडल्यानंतर, ते तुमच्यासाठी ठराविक कालावधीसाठी राखीव असते - काही मिनिटांपासून ते अनेक तासांपर्यंत, आणि या काळात इतर कोणीही हे ठिकाण बुक करू शकत नाही. या प्रतीक्षा कालावधीमुळे, तुम्हाला फक्त साइटवर परत येऊन आणि तुम्हाला हव्या असलेल्या जागा बुक करून विमानातील सर्व जागा आरक्षित करण्याची खरी संधी आहे.

अशा प्रकारे, DoS हल्ला पर्याय दिसतो: विमानातील प्रत्येक सीटसाठी हे चक्र आपोआप पुन्हा करा.

आम्ही किमान दोन प्रमुख एअरलाइन्सवर याची चाचणी केली आहे. तुम्हाला इतर कोणत्याही बुकिंगमध्ये समान भेद्यता आढळू शकते. तुमच्या तिकिटांची पुनर्विक्री करू इच्छिणाऱ्यांसाठी त्यांच्या किमती वाढवण्याची ही उत्तम संधी आहे. हे करण्यासाठी, सट्टेबाजांना आर्थिक नुकसानीचा कोणताही धोका न घेता उर्वरित तिकिटे बुक करणे आवश्यक आहे. अशाप्रकारे, तुम्ही ई-कॉमर्सला "क्रॅश" करू शकता जे उच्च-मागणी उत्पादने - व्हिडिओ गेम, गेम कन्सोल, iPhones इत्यादी विकतात. म्हणजेच, ऑनलाइन बुकिंग किंवा आरक्षण प्रणालीतील विद्यमान त्रुटी आक्रमणकर्त्याला त्यातून पैसे कमविण्यास किंवा प्रतिस्पर्ध्यांचे नुकसान करण्यास अनुमती देते.

कॅप्चा डिक्रिप्शन

जेरेमी ग्रॉसमन: आता कॅप्चा बद्दल बोलूया. प्रत्येकाला ती त्रासदायक चित्रे माहित आहेत जी इंटरनेटवर कचरा करतात आणि स्पॅमचा सामना करण्यासाठी वापरली जातात. संभाव्यतः, तुम्ही कॅप्चामधून नफा देखील कमवू शकता. कॅप्चा ही पूर्णपणे स्वयंचलित ट्युरिंग चाचणी आहे जी तुम्हाला बॉटपासून खऱ्या व्यक्तीमध्ये फरक करण्यास अनुमती देते. कॅप्चा वापरावर संशोधन करताना मला अनेक मनोरंजक गोष्टी सापडल्या.

कॅप्चा पहिल्यांदा 2000-2001 च्या आसपास वापरला गेला. Gmail, Yahoo Mail, Windows Live Mail, MySpace, FaceBook, इत्यादी विनामूल्य ईमेल सेवांसाठी नोंदणी करण्यासाठी स्पॅमर कॅप्चा काढून टाकू इच्छितात. आणि स्पॅम पाठवा. कॅप्चा मोठ्या प्रमाणात वापरला जात असल्याने, सर्वव्यापी कॅप्चाला बायपास करण्याची ऑफर देणारी सेवांची संपूर्ण बाजारपेठ दिसू लागली आहे. शेवटी, यामुळे नफा मिळतो - एक उदाहरण स्पॅम पाठवणे असेल. कॅप्चा बायपास करण्याचे 3 मार्ग आहेत, चला त्या पाहू.

पहिली म्हणजे कल्पनेच्या अंमलबजावणीतील त्रुटी किंवा कॅप्चा वापरातील त्रुटी.
अशा प्रकारे, प्रश्नांच्या उत्तरांमध्ये खूप कमी एन्ट्रॉपी असते, जसे की "4+1 काय आहे ते लिहा." समान प्रश्न अनेक वेळा पुनरावृत्ती होऊ शकतात आणि संभाव्य उत्तरांची श्रेणी अगदी लहान आहे.

कॅप्चाची प्रभावीता अशा प्रकारे तपासली जाते:

• चाचणी अशा परिस्थितीत केली पाहिजे जिथे व्यक्ती आणि सर्व्हर एकमेकांपासून दूर आहेत,
  चाचणी एखाद्या व्यक्तीसाठी कठीण नसावी;
• प्रश्न असा असावा की माणसाला काही सेकंदात त्याचे उत्तर देता येईल,
  ज्याला प्रश्न विचारला त्यानेच उत्तर द्यावे;
• प्रश्नाचे उत्तर देणे संगणकासाठी कठीण असणे आवश्यक आहे;
• मागील प्रश्नांचे ज्ञान, उत्तरे किंवा त्यांचे संयोजन पुढील परीक्षेच्या अंदाजावर परिणाम करू नये;
• चाचणीने दृष्टी किंवा श्रवणदोष असलेल्या लोकांमध्ये भेदभाव केला जाऊ नये;
• चाचणी भौगोलिक, सांस्कृतिक किंवा भाषिकदृष्ट्या पक्षपाती नसावी.

हे दिसून येते की, “योग्य” कॅप्चा तयार करणे खूप कठीण आहे.

कॅप्चाचा दुसरा तोटा म्हणजे OCR ऑप्टिकल कॅरेक्टर रेकग्निशन वापरण्याची शक्यता. कोडचा तुकडा कॅप्चा प्रतिमा वाचण्यास सक्षम आहे, त्यात कितीही व्हिज्युअल आवाज असला तरीही, ती कोणती अक्षरे किंवा संख्या तयार करतात ते पहा आणि ओळख प्रक्रिया स्वयंचलित करते. संशोधनात असे दिसून आले आहे की बहुतेक कॅप्चा सहजपणे क्रॅक होऊ शकतात.

मी यूकेच्या न्यूकॅसल विद्यापीठातील स्कूल ऑफ कॉम्प्युटर सायन्समधील तज्ञांचे कोट देईन. ते मायक्रोसॉफ्ट कॅप्चा क्रॅक करण्याच्या सुलभतेबद्दल बोलतात: “आमचा हल्ला 92% च्या विभाजन यशाचा दर प्राप्त करण्यात सक्षम होता, ज्याचा अर्थ असा आहे की MSN कॅप्चा योजना 60% प्रकरणांमध्ये प्रतिमा विभाजित करून आणि नंतर ओळखून क्रॅक केली जाऊ शकते. " याहूचा कॅप्चा क्रॅक करणे तितकेच सोपे होते: “आमच्या दुसऱ्या हल्ल्याने 33,4% चे विभाजन यश मिळविले. अशा प्रकारे, सुमारे 25,9% कॅप्चा क्रॅक होऊ शकतात. आमचे संशोधन असे सूचित करते की स्पॅमर्सनी याहूच्या कॅप्चाला बायपास करण्यासाठी कधीही स्वस्त मानवी श्रम वापरू नयेत, उलट कमी किमतीच्या स्वयंचलित हल्ल्यावर अवलंबून राहावे."

कॅप्चा बायपास करण्याच्या तिसऱ्या पद्धतीला "मेकॅनिकल तुर्क" किंवा "तुर्क" म्हणतात. आम्ही प्रकाशनानंतर लगेचच Yahoo च्या कॅप्चा विरुद्ध त्याची चाचणी केली आणि आजपर्यंत अशा हल्ल्यापासून संरक्षण कसे करावे हे आम्हाला माहित नाही आणि कोणालाही माहित नाही.

हे असे आहे की तुमच्याकडे एक वाईट माणूस आहे जो "प्रौढ" साइट किंवा ऑनलाइन गेम चालवेल जिथून वापरकर्ते काही सामग्रीची विनंती करतात. ते पुढील चित्र पाहण्याआधी, हॅकरच्या मालकीची साइट तुम्हाला परिचित असलेल्या ऑनलाइन सिस्टमला बॅक-एंड विनंती करेल, Yahoo किंवा Google म्हणा, तेथून कॅप्चा घ्या आणि वापरकर्त्याला द्या. आणि वापरकर्त्याने प्रश्नाचे उत्तर देताच, हॅकर अंदाजे कॅप्चा लक्ष्य साइटवर पाठवेल आणि वापरकर्त्याला त्याच्या साइटवरून विनंती केलेली प्रतिमा दर्शवेल. तुमच्याकडे खूप मनोरंजक सामग्री असलेली खूप लोकप्रिय साइट असल्यास, तुम्ही लोकांची संपूर्ण फौज तयार करू शकता जे तुमच्यासाठी इतर लोकांचे कॅप्चा आपोआप भरतील. ही खूप ताकदीची गोष्ट आहे.

तथापि, केवळ लोक कॅप्चास बायपास करण्याचा प्रयत्न करत नाहीत; व्यवसाय देखील हे तंत्र वापरतात. रॉबर्ट “आरएसनेक” हॅन्सनने एकदा त्याच्या ब्लॉगवर रोमानियन “कॅप्चा सॉल्व्हर” सोबत बोलले होते ज्याने सांगितले की तो प्रति तास 300 ते 500 कॅप्चा सोडवू शकतो 9 ते 15 डॉलर प्रति हजार कॅप्चा या दराने.

तो थेट म्हणतो की त्याच्या टीमचे सदस्य दिवसाचे 12 तास काम करतात, या काळात सुमारे 4800 कॅप्चा सोडवतात आणि कॅप्चा किती कठीण आहेत यावर अवलंबून, ते त्यांच्या कामासाठी दररोज $50 पर्यंत मिळवू शकतात. ही एक मनोरंजक पोस्ट होती, परंतु ब्लॉग वापरकर्त्यांनी या पोस्टखाली दिलेल्या टिप्पण्या त्याहूनही मनोरंजक आहेत. व्हिएतनाममधून ताबडतोब एक संदेश आला, जिथे एका विशिष्ट क्वांग हंगने त्याच्या 20 लोकांच्या गटाबद्दल अहवाल दिला, ज्यांनी अंदाजे 4 कॅप्चसाठी $1000 साठी काम करण्यास सहमती दर्शविली.

पुढचा संदेश बांगलादेशचा होता: “नमस्कार! आशा आहे की तुम्ही ठीक आहात! आम्ही बांगलादेशातील एक आघाडीची प्रक्रिया कंपनी आहोत. सध्या, आमचे 30 ऑपरेटर दररोज 100000 पेक्षा जास्त कॅप्चा सोडविण्यास सक्षम आहेत. Yahoo, Hotmail, Mayspace, Gmail, Facebook, इ. साइट्सवरील 2 अंदाजित कॅप्चासाठी आम्ही उत्कृष्ट परिस्थिती आणि कमी दर - $1000 ऑफर करतो. आम्ही पुढील सहकार्याची अपेक्षा करतो."

आणखी एक मनोरंजक संदेश एका विशिष्ट बाबूने पाठविला: "मला या कामात रस आहे, कृपया मला फोनवर कॉल करा."

त्यामुळे ते खूप मनोरंजक आहे. हा उपक्रम किती कायदेशीर किंवा बेकायदेशीर आहे यावर आपण वाद घालू शकतो, परंतु वस्तुस्थिती अशी आहे की लोक त्यातून पैसे कमावतात.

इतर लोकांच्या खात्यांमध्ये प्रवेश मिळवणे

ट्रे फोर्ड: आपण ज्या पुढील परिस्थितीबद्दल बोलू तो म्हणजे दुसऱ्याचे खाते ताब्यात घेऊन पैसे कमविणे.

प्रत्येकजण पासवर्ड विसरतो, आणि अनुप्रयोग सुरक्षा चाचणीसाठी, पासवर्ड रीसेट आणि ऑनलाइन नोंदणी दोन वेगळ्या, केंद्रित व्यवसाय प्रक्रियांचे प्रतिनिधित्व करतात. तुमचा पासवर्ड रीसेट करण्‍याची सोपी आणि साइन अप करण्‍याची सहजता यामध्‍ये मोठे अंतर आहे, त्यामुळे तुम्ही पासवर्ड रीसेट प्रक्रिया शक्य तितकी सोपी बनवण्‍याचा प्रयत्न केला पाहिजे. परंतु जर आपण ते सोपे करण्याचा प्रयत्न केला तर एक समस्या उद्भवते कारण पासवर्ड रीसेट करणे जितके सोपे असेल तितके ते कमी सुरक्षित असेल.

स्प्रिंटची वापरकर्ता पडताळणी सेवा वापरून ऑनलाइन नोंदणीचा ​​समावेश असलेल्या सर्वात उच्च-प्रोफाइल प्रकरणांपैकी एक. दोन व्हाईट हॅट टीम सदस्यांनी ऑनलाइन नोंदणीसाठी स्प्रिंटचा वापर केला. तुमच्या सेल फोन नंबरसारख्या सोप्या गोष्टीपासून सुरुवात करून तुम्ही तुम्ही आहात हे सिद्ध करण्यासाठी तुम्ही काही गोष्टींची पुष्टी करणे आवश्यक आहे. तुमचे बँक खाते व्यवस्थापित करणे, सेवांसाठी पैसे देणे इत्यादी गोष्टींसाठी तुम्हाला ऑनलाइन नोंदणीची आवश्यकता आहे. फोन खरेदी करणे खूप सोयीचे आहे जर तुम्ही ते दुसऱ्याच्या खात्यातून करू शकत असाल आणि नंतर खरेदी करा आणि बरेच काही करू शकता. घोटाळ्याच्या पर्यायांपैकी एक म्हणजे पेमेंट पत्ता बदलणे, तुमच्या पत्त्यावर संपूर्ण मोबाईल फोनची डिलिव्हरी ऑर्डर करणे आणि पीडिताला त्यांच्यासाठी पैसे देण्यास भाग पाडले जाईल. पाठलाग करणारे वेडे देखील या संधीचे स्वप्न पाहतात: त्यांच्या पीडितांच्या फोनमध्ये GPS ट्रॅकिंग कार्यक्षमता जोडणे आणि कोणत्याही संगणकावरून त्यांच्या प्रत्येक हालचालीचा मागोवा घेणे.

त्यामुळे, तुमची ओळख सत्यापित करण्यासाठी स्प्रिंट काही सोप्या प्रश्नांची ऑफर देते. आपल्याला माहिती आहे की, एंट्रॉपीच्या विस्तृत श्रेणीद्वारे किंवा अत्यंत विशिष्ट समस्यांद्वारे सुरक्षा सुनिश्चित केली जाऊ शकते. मी तुम्हाला स्प्रिंट नोंदणी प्रक्रियेचा भाग वाचतो कारण एन्ट्रॉपी खूप कमी आहे. उदाहरणार्थ, एक प्रश्न आहे: "खालील पत्त्यावर नोंदणीकृत कार ब्रँड निवडा," आणि ब्रँड पर्याय म्हणजे Lotus, Honda, Lamborghini, Fiat आणि "वरीलपैकी काहीही नाही." मला सांगा, तुमच्यापैकी कोणाकडे वरीलपैकी काही आहे? तुम्ही बघू शकता, हे आव्हानात्मक कोडे महाविद्यालयीन विद्यार्थ्यासाठी स्वस्त फोन मिळवण्याची एक उत्तम संधी आहे.

दुसरा प्रश्न: “खालीलपैकी कोणते लोक तुमच्यासोबत राहतात किंवा खालील पत्त्यावर राहतात”? जरी आपण या व्यक्तीला अजिबात ओळखत नसला तरीही या प्रश्नाचे उत्तर देणे खूप सोपे आहे. जेरी स्टिफ्लिन - या आडनावामध्ये तीन "ays" आहेत, आम्ही एका सेकंदात ते मिळवू - राल्फ आर्गेन, जेरोम पोनिकी आणि जॉन पेस. या सूचीबद्दल मनोरंजक गोष्ट अशी आहे की दिलेली नावे पूर्णपणे यादृच्छिक आहेत आणि ती सर्व समान पॅटर्नच्या अधीन आहेत. जर तुम्ही त्याची गणना केली, तर तुम्हाला खरे नाव ओळखण्यात कोणतीही अडचण येणार नाही, कारण ते यादृच्छिकपणे निवडलेल्या नावांपेक्षा वैशिष्ट्यपूर्ण काहीतरी वेगळे आहे, या प्रकरणात "i" तीन अक्षरे आहेत. अशा प्रकारे, स्टेफ्लिन हे स्पष्टपणे यादृच्छिक नाव नाही आणि अंदाज लावणे सोपे आहे की ही व्यक्ती आपले लक्ष्य आहे. हे खूप, खूप सोपे आहे.

तिसरा प्रश्न: “तुम्ही कोणत्या सूचीबद्ध शहरांमध्ये कधीच राहिलो नाही किंवा तुमच्या पत्त्यावर हे शहर वापरले नाही?” — लाँगमॉन्ट, नॉर्थ हॉलीवूड, जेनोवा किंवा बट्टे? आमच्याकडे वॉशिंग्टन डीसीच्या आसपास तीन दाट लोकवस्तीचे क्षेत्र आहेत, म्हणून स्पष्ट उत्तर उत्तर हॉलीवूड आहे.

स्प्रिंट ऑनलाइन नोंदणीसह तुम्हाला काही गोष्टींची काळजी घेणे आवश्यक आहे. मी आधी म्हटल्याप्रमाणे, आक्रमणकर्ता तुमच्या पेमेंट माहितीमधील खरेदीसाठी शिपिंग पत्ता बदलण्यात सक्षम असल्यास तुम्हाला गंभीर दुखापत होऊ शकते. खरोखर भितीदायक गोष्ट म्हणजे आमच्याकडे मोबाईल लोकेटर सेवा आहे.

लोक मोबाईल फोन आणि जीपीएस वापरत असल्याने तुम्ही तुमच्या कर्मचाऱ्यांच्या हालचालींचा मागोवा घेऊ शकता आणि ते कुठे आहेत ते तुम्ही नकाशावर पाहू शकता. तर या प्रक्रियेत घडणाऱ्या इतरही काही मनोरंजक गोष्टी आहेत.

तुम्हाला माहिती आहे की, पासवर्ड रीसेट करताना, वापरकर्ता पडताळणी आणि सुरक्षा प्रश्नांच्या इतर पद्धतींपेक्षा ईमेल अॅड्रेसला प्राधान्य दिले जाते. पुढील स्लाइड अनेक सेवा दर्शविते ज्या वापरकर्त्याला त्याच्या खात्यात लॉग इन करण्यात अडचण येत असल्यास तुमचा ईमेल पत्ता सूचित करण्यासाठी ऑफर करतात.

आम्हाला माहित आहे की बहुतेक लोक ईमेल वापरतात आणि त्यांच्याकडे ईमेल खाते आहे. अचानक लोकांना त्यातून पैसे कमवण्याचा मार्ग शोधायचा होता. तुम्हाला नेहमी पीडिताचा ईमेल पत्ता सापडेल, तो फॉर्ममध्ये एंटर करा आणि तुम्हाला ज्या खात्यात फेरफार करायचा आहे त्याचा पासवर्ड रीसेट करण्याची संधी मिळेल. त्यानंतर तुम्ही ते तुमच्या नेटवर्कवर वापरता आणि तो मेलबॉक्स तुमचा गोल्डन व्हॉल्ट बनतो, मुख्य ठिकाण जिथून तुम्ही पीडिताची इतर सर्व खाती चोरू शकता. तुम्हाला फक्त एक मेलबॉक्स ताब्यात घेऊन पीडितेची संपूर्ण सदस्यता मिळेल. हसणे थांबवा, हे गंभीर आहे!

पुढील स्लाइड दाखवते की किती लाखो लोक संबंधित ईमेल सेवा वापरतात. लोक सक्रियपणे Gmail, Yahoo Mail, Hotmail, AOL Mail चा वापर करतात, परंतु त्यांची खाती ताब्यात घेण्यासाठी तुम्हाला सुपर हॅकर असण्याची गरज नाही, तुम्ही आउटसोर्सिंग करून तुमचे हात स्वच्छ ठेवू शकता. तुम्ही नेहमी म्हणू शकता की त्याचा काही संबंध नाही, तुम्ही असे काहीही केले नाही.

तर, ऑनलाइन सेवा "पासवर्ड रिकव्हरी" चीनमध्ये आहे, जिथे तुम्ही "तुमचे" खाते हॅक करण्यासाठी त्यांना पैसे देता. 300 युआनसाठी, जे सुमारे $43 आहे, तुम्ही 85% यश दरासह परदेशी मेलबॉक्स पासवर्ड रीसेट करण्याचा प्रयत्न करू शकता. 200 युआन किंवा $29 साठी, तुमचा होम ईमेल सेवा मेलबॉक्स पासवर्ड रीसेट करण्यात तुम्हाला 90% यश ​​मिळेल. कोणत्याही कंपनीच्या मेलबॉक्समध्ये हॅक करण्यासाठी एक हजार युआन किंवा $143 खर्च येतो, परंतु यशाची हमी नाही. तुम्ही 163, 126, QQ, Yahoo, Sohu, Sina, TOM, Hotmail, MSN, इ. साठी पासवर्ड क्रॅकिंग सेवा देखील आउटसोर्स करू शकता.

परिषद ब्लॅक हॅट यूएसए. श्रीमंत व्हा किंवा मरा: ब्लॅक हॅट पद्धती वापरून ऑनलाइन पैसे कमवा. भाग २ (लिंक उद्या उपलब्ध होईल)

काही जाहिराती 🙂

आमच्यासोबत राहिल्याबद्दल धन्यवाद. तुम्हाला आमचे लेख आवडतात का? अधिक मनोरंजक सामग्री पाहू इच्छिता? ऑर्डर देऊन किंवा मित्रांना शिफारस करून आम्हाला समर्थन द्या, $4.99 पासून विकसकांसाठी क्लाउड VPS, एंट्री-लेव्हल सर्व्हरच्या अनन्य अॅनालॉगवर Habr वापरकर्त्यांसाठी 30% सवलत, ज्याचा शोध आम्ही तुमच्यासाठी लावला आहे: VPS (KVM) E5-2650 v4 (6 Cores) 10GB DDR4 240GB SSD 1Gbps बद्दल संपूर्ण सत्य $20 पासून किंवा सर्व्हर कसा शेअर करायचा? (RAID1 आणि RAID10 सह उपलब्ध, 24 कोर पर्यंत आणि 40GB DDR4 पर्यंत).

Dell R730xd 2 पट स्वस्त? फक्त इथेच 2 x इंटेल टेट्राडेका-कोर Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 टीव्ही $199 पासून नेदरलँड मध्ये! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 पासून! बद्दल वाचा इन्फ्रास्ट्रक्चर कॉर्पोरेशन कसे तयार करावे. डेल R730xd E5-2650 v4 सर्व्हरचा वापर करून 9000 युरो किमतीचा वर्ग?

स्त्रोत: www.habr.com