ਹੈਕਟੀਵਿਟੀ ਕਾਨਫਰੰਸ 2012. ਦਿ ਬਿਗ ਬੈਂਗ ਥਿਊਰੀ: ਸੁਰੱਖਿਆ ਪੈਂਟੈਸਟਿੰਗ ਦਾ ਵਿਕਾਸ। ਭਾਗ 2

ਹੈਕਟੀਵਿਟੀ ਕਾਨਫਰੰਸ 2012. ਦਿ ਬਿਗ ਬੈਂਗ ਥਿਊਰੀ: ਸੁਰੱਖਿਆ ਪੈਂਟੈਸਟਿੰਗ ਦਾ ਵਿਕਾਸ। ਭਾਗ 1

ਹੁਣ ਅਸੀਂ SQL ਇੰਜੈਕਸ਼ਨ ਦਾ ਇੱਕ ਹੋਰ ਤਰੀਕਾ ਅਜ਼ਮਾਵਾਂਗੇ। ਆਓ ਦੇਖੀਏ ਕਿ ਕੀ ਡੇਟਾਬੇਸ ਗਲਤੀ ਸੁਨੇਹੇ ਸੁੱਟਣਾ ਜਾਰੀ ਰੱਖਦਾ ਹੈ। ਇਸ ਵਿਧੀ ਨੂੰ "ਦੇਰੀ ਦਾ ਇੰਤਜ਼ਾਰ" ਕਿਹਾ ਜਾਂਦਾ ਹੈ, ਅਤੇ ਦੇਰੀ ਖੁਦ ਇਸ ਤਰ੍ਹਾਂ ਲਿਖੀ ਜਾਂਦੀ ਹੈ: waitfor delay 00:00:01'। ਮੈਂ ਇਸਨੂੰ ਸਾਡੀ ਫਾਈਲ ਤੋਂ ਕਾਪੀ ਕਰਦਾ ਹਾਂ ਅਤੇ ਇਸਨੂੰ ਬ੍ਰਾਊਜ਼ਰ ਦੇ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ ਪੇਸਟ ਕਰਦਾ ਹਾਂ।

ਇਸ ਸਭ ਨੂੰ "ਅੰਨ੍ਹੇ ਅਸਥਾਈ SQL ਇੰਜੈਕਸ਼ਨ" ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਅਸੀਂ ਇੱਥੇ ਸਭ ਕੁਝ ਕਹਿ ਰਹੇ ਹਾਂ, "10 ਸਕਿੰਟਾਂ ਦੀ ਦੇਰੀ ਲਈ ਉਡੀਕ ਕਰੋ।" ਜੇ ਤੁਸੀਂ ਦੇਖਿਆ ਹੈ, ਤਾਂ ਉੱਪਰ ਖੱਬੇ ਪਾਸੇ ਸਾਡੇ ਕੋਲ "ਕਨੈਕਟਿੰਗ..." ਸ਼ਿਲਾਲੇਖ ਹੈ, ਯਾਨੀ ਸਾਡਾ ਪੰਨਾ ਕੀ ਕਰਦਾ ਹੈ? ਇਹ ਕਨੈਕਸ਼ਨ ਦੀ ਉਡੀਕ ਕਰਦਾ ਹੈ, ਅਤੇ 10 ਸਕਿੰਟਾਂ ਬਾਅਦ ਤੁਹਾਡੇ ਮਾਨੀਟਰ 'ਤੇ ਸਹੀ ਪੰਨਾ ਦਿਖਾਈ ਦਿੰਦਾ ਹੈ। ਇਸ ਤਕਨੀਕ ਦੀ ਵਰਤੋਂ ਕਰਦੇ ਹੋਏ, ਅਸੀਂ ਡੇਟਾਬੇਸ ਨਾਲ ਸੰਪਰਕ ਕਰਦੇ ਹਾਂ ਤਾਂ ਜੋ ਇਹ ਸਾਨੂੰ ਇਸ ਨੂੰ ਕੁਝ ਹੋਰ ਸਵਾਲ ਪੁੱਛਣ ਦੀ ਇਜਾਜ਼ਤ ਦੇਵੇ, ਉਦਾਹਰਨ ਲਈ, ਜੇਕਰ ਉਪਭੋਗਤਾ ਜੋਅ ਹੈ, ਤਾਂ ਸਾਨੂੰ 10 ਸਕਿੰਟ ਉਡੀਕ ਕਰਨ ਦੀ ਲੋੜ ਹੈ। ਇਹ ਸਪੱਸ਼ਟ ਹੈ? ਜੇਕਰ ਉਪਭੋਗਤਾ dbo ਹੈ, ਤਾਂ 10 ਸਕਿੰਟ ਵੀ ਉਡੀਕ ਕਰੋ। ਇਹ ਅੰਨ੍ਹੇ SQL ਇੰਜੈਕਸ਼ਨ ਵਿਧੀ ਹੈ।

ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਪੈਚ ਬਣਾਉਣ ਵੇਲੇ ਡਿਵੈਲਪਰ ਇਸ ਕਮਜ਼ੋਰੀ ਨੂੰ ਠੀਕ ਨਹੀਂ ਕਰਦੇ ਹਨ. ਇਹ ਇੱਕ SQL ਇੰਜੈਕਸ਼ਨ ਹੈ, ਪਰ ਸਾਡਾ IDS ਪ੍ਰੋਗਰਾਮ ਇਸ ਨੂੰ ਵੀ ਨਹੀਂ ਦੇਖਦਾ, ਜਿਵੇਂ ਕਿ SQL ਇੰਜੈਕਸ਼ਨ ਦੀਆਂ ਪਿਛਲੀਆਂ ਵਿਧੀਆਂ।
ਆਓ ਕੁਝ ਹੋਰ ਦਿਲਚਸਪ ਕੋਸ਼ਿਸ਼ ਕਰੀਏ। ਆਓ ਇਸ ਲਾਈਨ ਨੂੰ IP ਐਡਰੈੱਸ ਨਾਲ ਕਾਪੀ ਕਰੀਏ ਅਤੇ ਇਸਨੂੰ ਬ੍ਰਾਊਜ਼ਰ ਵਿੱਚ ਪੇਸਟ ਕਰੀਏ। ਇਹ ਕੰਮ ਕੀਤਾ! ਸਾਡੇ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ TCP ਪੱਟੀ ਲਾਲ ਹੋ ਗਈ, ਪ੍ਰੋਗਰਾਮ ਨੇ 2 ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਨੂੰ ਨੋਟ ਕੀਤਾ।

ਬਹੁਤ ਵਧੀਆ, ਆਓ ਦੇਖੀਏ ਅੱਗੇ ਕੀ ਹੋਇਆ। ਸਾਡੇ ਕੋਲ XP ਸ਼ੈੱਲ ਲਈ ਇੱਕ ਖ਼ਤਰਾ ਹੈ, ਅਤੇ ਇੱਕ ਹੋਰ ਖ਼ਤਰਾ - ਇੱਕ SQL ਇੰਜੈਕਸ਼ਨ ਦੀ ਕੋਸ਼ਿਸ਼. ਕੁੱਲ ਮਿਲਾ ਕੇ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ 'ਤੇ ਹਮਲਾ ਕਰਨ ਦੀਆਂ ਦੋ ਕੋਸ਼ਿਸ਼ਾਂ ਨੋਟ ਕੀਤੀਆਂ ਗਈਆਂ ਸਨ।

ਠੀਕ ਹੈ, ਹੁਣ ਤਰਕ ਨਾਲ ਮੇਰੀ ਮਦਦ ਕਰੋ। ਸਾਡੇ ਕੋਲ ਇੱਕ ਘੁਸਪੈਠ ਡੇਟਾ ਪੈਕੇਟ ਹੈ ਜਿਸ ਵਿੱਚ IDS ਕਹਿੰਦਾ ਹੈ ਕਿ ਉਸਨੇ XP ਸ਼ੈੱਲ ਵਿੱਚ ਕਈ ਘੁਸਪੈਠਾਂ ਦਾ ਜਵਾਬ ਦਿੱਤਾ ਹੈ।

ਜੇਕਰ ਅਸੀਂ ਹੇਠਾਂ ਸਕ੍ਰੋਲ ਕਰਦੇ ਹਾਂ, ਤਾਂ ਅਸੀਂ HEX ਕੋਡਾਂ ਦੀ ਇੱਕ ਸਾਰਣੀ ਵੇਖਦੇ ਹਾਂ, ਜਿਸ ਦੇ ਸੱਜੇ ਪਾਸੇ xp_cmdshell + &27ping ਸੰਦੇਸ਼ ਵਾਲਾ ਇੱਕ ਝੰਡਾ ਹੈ, ਅਤੇ ਸਪੱਸ਼ਟ ਤੌਰ 'ਤੇ ਇਹ ਬੁਰਾ ਹੈ।

ਆਓ ਇੱਥੇ ਵੇਖੀਏ ਕਿ ਕੀ ਹੋਇਆ. SQL ਸਰਵਰ ਨੇ ਕੀ ਕੀਤਾ?

SQL ਸਰਵਰ ਨੇ ਕਿਹਾ: "ਤੁਹਾਡੇ ਕੋਲ ਮੇਰੇ ਡੇਟਾਬੇਸ ਦਾ ਪਾਸਵਰਡ ਹੋ ਸਕਦਾ ਹੈ, ਤੁਸੀਂ ਮੇਰੇ ਡੇਟਾਬੇਸ ਵਿੱਚ ਸਾਰੇ ਰਿਕਾਰਡ ਪ੍ਰਾਪਤ ਕਰ ਸਕਦੇ ਹੋ, ਪਰ ਦੋਸਤੋ, ਮੈਂ ਨਹੀਂ ਚਾਹੁੰਦਾ ਕਿ ਤੁਸੀਂ ਮੇਰੇ 'ਤੇ ਆਪਣੀਆਂ ਕਮਾਂਡਾਂ ਚਲਾਓ, ਇਹ ਬਿਲਕੁਲ ਵੀ ਵਧੀਆ ਨਹੀਂ ਹੈ"!

ਸਾਨੂੰ ਇਹ ਯਕੀਨੀ ਬਣਾਉਣ ਦੀ ਲੋੜ ਹੈ ਕਿ ਭਾਵੇਂ IDS XP ਸ਼ੈੱਲ ਲਈ ਖਤਰੇ ਦੀ ਰਿਪੋਰਟ ਕਰਦਾ ਹੈ, ਧਮਕੀ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕੀਤਾ ਜਾਂਦਾ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ SQL ਸਰਵਰ 2005 ਜਾਂ SQL ਸਰਵਰ 2008 ਦੀ ਵਰਤੋਂ ਕਰ ਰਹੇ ਹੋ, ਜੇਕਰ ਇੱਕ SQL ਇੰਜੈਕਸ਼ਨ ਕੋਸ਼ਿਸ਼ ਦਾ ਪਤਾ ਲਗਾਇਆ ਜਾਂਦਾ ਹੈ, ਤਾਂ ਓਪਰੇਟਿੰਗ ਸਿਸਟਮ ਕਮਾਂਡ ਸ਼ੈੱਲ ਲਾਕ ਹੋ ਜਾਵੇਗਾ, ਤੁਹਾਨੂੰ ਆਪਣਾ ਕੰਮ ਜਾਰੀ ਰੱਖਣ ਤੋਂ ਰੋਕਦਾ ਹੈ। ਇਹ ਬਹੁਤ ਤੰਗ ਕਰਨ ਵਾਲਾ ਹੈ। ਤਾਂ ਸਾਨੂੰ ਕੀ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ? ਤੁਹਾਨੂੰ ਸਰਵਰ ਨੂੰ ਬਹੁਤ ਪਿਆਰ ਨਾਲ ਪੁੱਛਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ. ਕੀ ਤੁਹਾਨੂੰ ਇਹ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ: "ਕਿਰਪਾ ਕਰਕੇ ਡੈਡੀ, ਕੀ ਮੈਂ ਇਹ ਕੂਕੀਜ਼ ਲੈ ਸਕਦਾ ਹਾਂ"? ਜੋ ਮੈਂ ਕਰਦਾ ਹਾਂ, ਗੰਭੀਰਤਾ ਨਾਲ, ਮੈਂ ਸਰਵਰ ਨੂੰ ਬਹੁਤ ਨਿਮਰਤਾ ਨਾਲ ਪੁੱਛਦਾ ਹਾਂ! ਮੈਂ ਵਾਧੂ ਵਿਕਲਪਾਂ ਦੀ ਮੰਗ ਕਰਦਾ ਹਾਂ, ਮੈਂ ਮੁੜ ਸੰਰਚਨਾ ਲਈ ਕਹਿੰਦਾ ਹਾਂ, ਅਤੇ ਮੈਂ ਸ਼ੈੱਲ ਨੂੰ ਪਹੁੰਚਯੋਗ ਬਣਾਉਣ ਲਈ XP ਸ਼ੈੱਲ ਸੈਟਿੰਗਾਂ ਨੂੰ ਬਦਲਣ ਲਈ ਕਹਿੰਦਾ ਹਾਂ ਕਿਉਂਕਿ ਮੈਨੂੰ ਇਸਦੀ ਲੋੜ ਹੈ!

ਅਸੀਂ ਦੇਖਦੇ ਹਾਂ ਕਿ IDS ਨੇ ਇਸਦਾ ਪਤਾ ਲਗਾਇਆ ਹੈ - ਤੁਸੀਂ ਦੇਖੋ, ਇੱਥੇ 3 ਧਮਕੀਆਂ ਪਹਿਲਾਂ ਹੀ ਨੋਟ ਕੀਤੀਆਂ ਗਈਆਂ ਹਨ।

ਬਸ ਇੱਥੇ ਦੇਖੋ - ਅਸੀਂ ਸੁਰੱਖਿਆ ਲੌਗ ਨੂੰ ਉਡਾ ਦਿੱਤਾ ਹੈ! ਇਹ ਕ੍ਰਿਸਮਸ ਟ੍ਰੀ ਵਰਗਾ ਲੱਗਦਾ ਹੈ, ਇੱਥੇ ਬਹੁਤ ਕੁਝ ਲਟਕਿਆ ਹੋਇਆ ਹੈ! 27 ਸੁਰੱਖਿਆ ਖ਼ਤਰੇ! ਹੁਰੇ ਦੋਸਤੋ, ਅਸੀਂ ਇਸ ਹੈਕਰ ਨੂੰ ਫੜ ਲਿਆ, ਅਸੀਂ ਉਸਨੂੰ ਫੜ ਲਿਆ!

ਸਾਨੂੰ ਚਿੰਤਾ ਨਹੀਂ ਹੈ ਕਿ ਉਹ ਸਾਡਾ ਡੇਟਾ ਚੋਰੀ ਕਰ ਲਵੇਗਾ, ਪਰ ਜੇ ਉਹ ਸਾਡੇ "ਬਾਕਸ" ਵਿੱਚ ਸਿਸਟਮ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾ ਸਕਦਾ ਹੈ - ਇਹ ਪਹਿਲਾਂ ਹੀ ਗੰਭੀਰ ਹੈ! ਤੁਸੀਂ ਇੱਕ ਟੇਲਨੈੱਟ ਰੂਟ, FTP ਬਣਾ ਸਕਦੇ ਹੋ, ਤੁਸੀਂ ਮੇਰੇ ਡੇਟਾ ਨੂੰ ਲੈ ਸਕਦੇ ਹੋ, ਇਹ ਵਧੀਆ ਹੈ, ਪਰ ਮੈਂ ਇਸ ਬਾਰੇ ਚਿੰਤਾ ਨਹੀਂ ਕਰਦਾ, ਮੈਂ ਨਹੀਂ ਚਾਹੁੰਦਾ ਕਿ ਤੁਸੀਂ ਮੇਰੇ "ਬਾਕਸ" ਦੇ ਸ਼ੈੱਲ ਨੂੰ ਸੰਭਾਲੋ।

ਮੈਂ ਉਨ੍ਹਾਂ ਚੀਜ਼ਾਂ ਬਾਰੇ ਗੱਲ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹਾਂ ਜੋ ਅਸਲ ਵਿੱਚ ਮੈਨੂੰ ਮਿਲੀ। ਮੈਂ ਸੰਸਥਾਵਾਂ ਲਈ ਕੰਮ ਕਰਦਾ ਹਾਂ, ਮੈਂ ਉਨ੍ਹਾਂ ਲਈ ਕਈ ਸਾਲਾਂ ਤੋਂ ਕੰਮ ਕੀਤਾ ਹੈ, ਅਤੇ ਮੈਂ ਤੁਹਾਨੂੰ ਇਹ ਇਸ ਲਈ ਦੱਸ ਰਿਹਾ ਹਾਂ ਕਿਉਂਕਿ ਮੇਰੀ ਪ੍ਰੇਮਿਕਾ ਸੋਚਦੀ ਹੈ ਕਿ ਮੈਂ ਬੇਰੁਜ਼ਗਾਰ ਹਾਂ। ਉਹ ਸੋਚਦੀ ਹੈ ਕਿ ਮੈਂ ਸਟੇਜ 'ਤੇ ਖੜ੍ਹ ਕੇ ਗੱਲਬਾਤ ਕਰਦੀ ਹਾਂ, ਇਸ ਨੂੰ ਕੰਮ ਨਹੀਂ ਮੰਨਿਆ ਜਾ ਸਕਦਾ। ਪਰ ਮੈਂ ਕਹਿੰਦਾ ਹਾਂ: "ਨਹੀਂ, ਮੇਰੀ ਖੁਸ਼ੀ, ਮੈਂ ਇੱਕ ਸਲਾਹਕਾਰ ਹਾਂ"! ਇਹੀ ਫਰਕ ਹੈ - ਮੈਂ ਆਪਣੇ ਮਨ ਦੀ ਗੱਲ ਕਰਦਾ ਹਾਂ ਅਤੇ ਮੈਨੂੰ ਇਸਦਾ ਭੁਗਤਾਨ ਮਿਲਦਾ ਹੈ।

ਮੈਂ ਇਹ ਕਹਾਂਗਾ - ਅਸੀਂ, ਹੈਕਰਾਂ ਦੇ ਰੂਪ ਵਿੱਚ, ਸ਼ੈੱਲ ਨੂੰ ਤੋੜਨਾ ਪਸੰਦ ਕਰਦੇ ਹਾਂ, ਅਤੇ ਸਾਡੇ ਲਈ "ਸ਼ੈੱਲ ਨੂੰ ਨਿਗਲਣ" ਨਾਲੋਂ ਦੁਨੀਆ ਵਿੱਚ ਕੋਈ ਵੱਡੀ ਖੁਸ਼ੀ ਨਹੀਂ ਹੈ। ਜਦੋਂ IDS ਵਿਸ਼ਲੇਸ਼ਕ ਆਪਣੇ ਨਿਯਮ ਲਿਖਦੇ ਹਨ, ਤੁਸੀਂ ਦੇਖਦੇ ਹੋ ਕਿ ਉਹ ਉਹਨਾਂ ਨੂੰ ਸ਼ੈੱਲ ਟੈਂਪਰਿੰਗ ਤੋਂ ਬਚਾਉਣ ਲਈ ਲਿਖਦੇ ਹਨ। ਪਰ ਜੇਕਰ ਤੁਸੀਂ ਡਾਟਾ ਕੱਢਣ ਦੀ ਸਮੱਸਿਆ ਬਾਰੇ CIO ਨਾਲ ਗੱਲ ਕਰਦੇ ਹੋ, ਤਾਂ ਉਹ ਤੁਹਾਨੂੰ ਦੋ ਵਿਕਲਪਾਂ ਬਾਰੇ ਸੋਚਣ ਲਈ ਕਹੇਗਾ। ਮੰਨ ਲਓ ਕਿ ਮੇਰੇ ਕੋਲ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਹੈ ਜੋ ਪ੍ਰਤੀ ਘੰਟਾ 100 "ਟੁਕੜੇ" ਕਰਦੀ ਹੈ। ਮੇਰੇ ਲਈ ਹੋਰ ਮਹੱਤਵਪੂਰਨ ਕੀ ਹੈ: ਇਸ ਐਪਲੀਕੇਸ਼ਨ ਵਿੱਚ ਸਾਰੇ ਡੇਟਾ ਦੀ ਸੁਰੱਖਿਆ ਜਾਂ "ਬਾਕਸ" ਸ਼ੈੱਲ ਦੀ ਸੁਰੱਖਿਆ ਨੂੰ ਯਕੀਨੀ ਬਣਾਉਣਾ? ਇਹ ਇੱਕ ਗੰਭੀਰ ਸਵਾਲ ਹੈ! ਤੁਹਾਨੂੰ ਹੋਰ ਕਿਸ ਬਾਰੇ ਚਿੰਤਾ ਕਰਨੀ ਚਾਹੀਦੀ ਹੈ?

ਸਿਰਫ਼ ਇਸ ਲਈ ਕਿਉਂਕਿ ਤੁਹਾਡਾ "ਬਾਕਸ" ਸ਼ੈੱਲ ਖਰਾਬ ਹੋ ਗਿਆ ਹੈ, ਇਸਦਾ ਮਤਲਬ ਇਹ ਨਹੀਂ ਹੈ ਕਿ ਕਿਸੇ ਨੇ ਐਪਲੀਕੇਸ਼ਨਾਂ ਦੇ ਅੰਦਰੂਨੀ ਕਾਰਜਾਂ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਹੈ। ਹਾਂ, ਇਹ ਸੰਭਾਵਨਾ ਤੋਂ ਵੱਧ ਹੈ, ਅਤੇ ਜੇਕਰ ਇਹ ਅਜੇ ਤੱਕ ਨਹੀਂ ਹੋਇਆ ਹੈ, ਤਾਂ ਇਹ ਜਲਦੀ ਹੀ ਹੋ ਸਕਦਾ ਹੈ। ਪਰ ਨੋਟ ਕਰੋ ਕਿ ਬਹੁਤ ਸਾਰੇ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਇਸ ਧਾਰਨਾ 'ਤੇ ਬਣਾਏ ਗਏ ਹਨ ਕਿ ਇੱਕ ਹਮਲਾਵਰ ਤੁਹਾਡੇ ਨੈਟਵਰਕ ਰਾਹੀਂ ਅੱਗੇ ਵਧ ਰਿਹਾ ਹੈ। ਇਸ ਲਈ ਉਹ ਹੁਕਮਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ, ਹੁਕਮਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵੱਲ ਧਿਆਨ ਦਿੰਦੇ ਹਨ, ਅਤੇ ਤੁਹਾਨੂੰ ਧਿਆਨ ਦੇਣਾ ਚਾਹੀਦਾ ਹੈ ਕਿ ਇਹ ਇੱਕ ਗੰਭੀਰ ਗੱਲ ਹੈ। ਉਹ ਮਾਮੂਲੀ ਕਮਜ਼ੋਰੀਆਂ ਵੱਲ ਧਿਆਨ ਦਿੰਦੇ ਹਨ, ਬਹੁਤ ਹੀ ਸਧਾਰਨ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਵੱਲ, ਬਹੁਤ ਹੀ ਸਧਾਰਨ SQL ਇੰਜੈਕਸ਼ਨਾਂ ਵੱਲ. ਉਹ ਉੱਨਤ ਧਮਕੀਆਂ ਜਾਂ ਏਨਕ੍ਰਿਪਟਡ ਸੁਨੇਹਿਆਂ ਦੀ ਪਰਵਾਹ ਨਹੀਂ ਕਰਦੇ, ਉਹ ਇਸ ਕਿਸਮ ਦੀਆਂ ਚੀਜ਼ਾਂ ਦੀ ਪਰਵਾਹ ਨਹੀਂ ਕਰਦੇ। ਤੁਸੀਂ ਕਹਿ ਸਕਦੇ ਹੋ ਕਿ ਸਾਰੇ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਰੌਲੇ ਦੀ ਭਾਲ ਕਰ ਰਹੇ ਹਨ, ਉਹ ਯੈਪ ਦੀ ਭਾਲ ਕਰ ਰਹੇ ਹਨ, ਉਹ ਕਿਸੇ ਅਜਿਹੀ ਚੀਜ਼ ਨੂੰ ਰੋਕਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ ਜੋ ਤੁਹਾਡੇ ਗਿੱਟੇ ਨੂੰ ਕੱਟ ਰਿਹਾ ਹੈ। ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨਾਲ ਨਜਿੱਠਣ ਵੇਲੇ ਮੈਂ ਜੋ ਕੁਝ ਸਿੱਖਿਆ ਹੈ ਉਹ ਇੱਥੇ ਹੈ। ਤੁਹਾਨੂੰ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਖਰੀਦਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਤੁਹਾਨੂੰ ਟਰੱਕ ਨੂੰ ਉਲਟਾ ਚਲਾਉਣ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ। ਤੁਹਾਨੂੰ ਸਮਰੱਥ, ਹੁਨਰਮੰਦ ਲੋਕਾਂ ਦੀ ਲੋੜ ਹੈ ਜੋ ਤਕਨਾਲੋਜੀ ਨੂੰ ਸਮਝਦੇ ਹਨ। ਹਾਂ, ਮੇਰੇ ਪਰਮੇਸ਼ੁਰ, ਬਿਲਕੁਲ ਲੋਕੋ! ਅਸੀਂ ਇਹਨਾਂ ਮੁੱਦਿਆਂ 'ਤੇ ਲੱਖਾਂ ਡਾਲਰ ਨਹੀਂ ਸੁੱਟਣਾ ਚਾਹੁੰਦੇ, ਪਰ ਤੁਹਾਡੇ ਵਿੱਚੋਂ ਬਹੁਤ ਸਾਰੇ ਇਸ ਖੇਤਰ ਵਿੱਚ ਕੰਮ ਕਰ ਚੁੱਕੇ ਹਨ ਅਤੇ ਜਾਣਦੇ ਹਨ ਕਿ ਜਿਵੇਂ ਹੀ ਤੁਹਾਡਾ ਬੌਸ ਇੱਕ ਵਿਗਿਆਪਨ ਦੇਖਦਾ ਹੈ, ਉਹ ਚੀਕਦਾ ਹੋਇਆ ਸਟੋਰ ਵੱਲ ਦੌੜਦਾ ਹੈ, "ਸਾਨੂੰ ਇਹ ਚੀਜ਼ ਪ੍ਰਾਪਤ ਕਰਨੀ ਪਵੇਗੀ! " ਪਰ ਸਾਨੂੰ ਅਸਲ ਵਿੱਚ ਇਸਦੀ ਲੋੜ ਨਹੀਂ ਹੈ, ਸਾਨੂੰ ਸਿਰਫ਼ ਉਸ ਗੜਬੜ ਨੂੰ ਠੀਕ ਕਰਨਾ ਹੋਵੇਗਾ ਜੋ ਸਾਡੇ ਪਿੱਛੇ ਹੈ। ਇਹ ਇਸ ਪ੍ਰਦਰਸ਼ਨ ਦਾ ਆਧਾਰ ਸੀ।

ਸੁਰੱਖਿਆ ਵਾਤਾਵਰਣ ਕੁਝ ਅਜਿਹਾ ਹੈ ਜਿੱਥੇ ਮੈਂ ਇਹ ਸਮਝਣ ਵਿੱਚ ਬਹੁਤ ਸਮਾਂ ਬਿਤਾਇਆ ਕਿ ਸੁਰੱਖਿਆ ਵਿਧੀਆਂ ਕਿਵੇਂ ਕੰਮ ਕਰਦੀਆਂ ਹਨ। ਇੱਕ ਵਾਰ ਜਦੋਂ ਤੁਸੀਂ ਸੁਰੱਖਿਆ ਵਿਧੀਆਂ ਨੂੰ ਸਮਝ ਲੈਂਦੇ ਹੋ, ਤਾਂ ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ ਮੁਸ਼ਕਲ ਨਹੀਂ ਹੁੰਦਾ। ਉਦਾਹਰਨ ਲਈ, ਮੇਰੇ ਕੋਲ ਇੱਕ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਹੈ ਜੋ ਇਸਦੇ ਆਪਣੇ ਫਾਇਰਵਾਲ ਦੁਆਰਾ ਸੁਰੱਖਿਅਤ ਹੈ। ਮੈਂ ਸੈਟਿੰਗ ਪੈਨਲ ਦੇ ਐਡਰੈੱਸ ਨੂੰ ਕਾਪੀ ਕਰਦਾ ਹਾਂ, ਇਸਨੂੰ ਬ੍ਰਾਊਜ਼ਰ ਦੇ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ ਪੇਸਟ ਕਰਦਾ ਹਾਂ ਅਤੇ ਸੈਟਿੰਗਾਂ 'ਤੇ ਜਾ ਕੇ ਕਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹਾਂ।

ਨਤੀਜੇ ਵਜੋਂ, ਮੈਨੂੰ ਧਮਕੀ ਬਾਰੇ ਇੱਕ ਫਾਇਰਵਾਲ ਸੁਨੇਹਾ ਮਿਲਦਾ ਹੈ - ਮੈਨੂੰ ਬਲੌਕ ਕੀਤਾ ਗਿਆ ਹੈ।

ਮੈਨੂੰ ਲਗਦਾ ਹੈ ਕਿ ਇਹ ਬੁਰਾ ਹੈ, ਕੀ ਤੁਸੀਂ ਸਹਿਮਤ ਹੋ? ਤੁਸੀਂ ਇੱਕ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਦਾ ਸਾਹਮਣਾ ਕੀਤਾ ਹੈ। ਪਰ ਕੀ ਹੋਵੇਗਾ ਜੇਕਰ ਮੈਂ ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰਦਾ ਹਾਂ: ਮੈਂ ਪੈਰਾਮੀਟਰ Joe'+OR+1='1 ਦਾਖਲ ਕਰਦਾ ਹਾਂ

ਜਿਵੇਂ ਕਿ ਤੁਸੀਂ ਦੇਖ ਸਕਦੇ ਹੋ, ਇਸ ਨੇ ਕੰਮ ਕੀਤਾ. ਜੇਕਰ ਮੈਂ ਗਲਤ ਹਾਂ ਤਾਂ ਮੈਨੂੰ ਠੀਕ ਕਰੋ, ਪਰ ਅਸੀਂ SQL ਇੰਜੈਕਸ਼ਨ ਨੂੰ ਐਪਲੀਕੇਸ਼ਨ ਫਾਇਰਵਾਲ ਨੂੰ ਹਰਾਉਂਦੇ ਦੇਖਿਆ ਹੈ। ਆਉ ਹੁਣ ਦਿਖਾਵਾ ਕਰੀਏ ਕਿ ਅਸੀਂ ਇੱਕ ਸੁਰੱਖਿਆ ਲਾਗੂ ਕਰਨ ਵਾਲੀ ਕੰਪਨੀ ਸ਼ੁਰੂ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ, ਇਸ ਲਈ ਅਸੀਂ ਆਪਣੇ ਸੌਫਟਵੇਅਰ ਮੇਕਰ ਟੋਪੀ ਪਾਵਾਂਗੇ। ਹੁਣ ਅਸੀਂ ਬੁਰਾਈ ਨੂੰ ਮੂਰਤੀਮਾਨ ਕਰਦੇ ਹਾਂ ਕਿਉਂਕਿ ਇਹ ਕਾਲੀ ਟੋਪੀ ਹੈ। ਮੈਂ ਇੱਕ ਸਲਾਹਕਾਰ ਹਾਂ, ਇਸਲਈ ਮੈਂ ਸਾਫਟਵੇਅਰ ਨਿਰਮਾਤਾਵਾਂ ਨਾਲ ਵੀ ਅਜਿਹਾ ਕਰ ਸਕਦਾ ਹਾਂ।

ਅਸੀਂ ਇੱਕ ਨਵਾਂ ਛੇੜਛਾੜ ਖੋਜ ਪ੍ਰਣਾਲੀ ਬਣਾਉਣਾ ਅਤੇ ਤੈਨਾਤ ਕਰਨਾ ਚਾਹੁੰਦੇ ਹਾਂ, ਇਸ ਲਈ ਅਸੀਂ ਇੱਕ ਛੇੜਛਾੜ ਖੋਜ ਕੰਪਨੀ ਸ਼ੁਰੂ ਕਰਾਂਗੇ। Snort, ਇੱਕ ਓਪਨ ਸੋਰਸ ਉਤਪਾਦ ਦੇ ਰੂਪ ਵਿੱਚ, ਸੈਂਕੜੇ ਹਜ਼ਾਰਾਂ ਛੇੜਛਾੜ ਕਰਨ ਵਾਲੇ ਧਮਕੀ ਦੇ ਦਸਤਖਤ ਸ਼ਾਮਲ ਕਰਦੇ ਹਨ। ਸਾਨੂੰ ਨੈਤਿਕਤਾ ਨਾਲ ਕੰਮ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ, ਇਸ ਲਈ ਅਸੀਂ ਇਹਨਾਂ ਦਸਤਖਤਾਂ ਨੂੰ ਹੋਰ ਐਪਲੀਕੇਸ਼ਨਾਂ ਤੋਂ ਚੋਰੀ ਨਹੀਂ ਕਰਾਂਗੇ ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਸਾਡੇ ਸਿਸਟਮ ਵਿੱਚ ਨਹੀਂ ਪਾਵਾਂਗੇ। ਅਸੀਂ ਬੱਸ ਬੈਠਾਂਗੇ ਅਤੇ ਉਹਨਾਂ ਸਾਰਿਆਂ ਨੂੰ ਦੁਬਾਰਾ ਲਿਖਾਂਗੇ - ਹੇ, ਬੌਬ, ਟਿਮ, ਜੋਏ, ਇੱਥੇ ਆਓ, ਇਹਨਾਂ ਸਾਰੇ 100 ਦਸਤਖਤਾਂ ਨੂੰ ਤੇਜ਼ੀ ਨਾਲ ਚਲਾਓ!

ਸਾਨੂੰ ਇੱਕ ਕਮਜ਼ੋਰੀ ਸਕੈਨਰ ਬਣਾਉਣ ਦੀ ਵੀ ਲੋੜ ਹੈ। ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ ਕਿ Nessus, ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਖੋਜ ਕਰਨ ਲਈ ਇੱਕ ਪ੍ਰੋਗਰਾਮ, ਕੋਲ 80 ਹਜ਼ਾਰ ਦਸਤਖਤ ਅਤੇ ਸਕ੍ਰਿਪਟਾਂ ਹਨ ਜੋ ਕਮਜ਼ੋਰੀਆਂ ਦੀ ਜਾਂਚ ਕਰਦੀਆਂ ਹਨ। ਅਸੀਂ ਦੁਬਾਰਾ ਨੈਤਿਕਤਾ ਨਾਲ ਕੰਮ ਕਰਾਂਗੇ ਅਤੇ ਉਹਨਾਂ ਸਾਰਿਆਂ ਨੂੰ ਆਪਣੇ ਪ੍ਰੋਗਰਾਮ ਵਿੱਚ ਖੁਦ ਲਿਖਾਂਗੇ।
ਲੋਕ ਮੈਨੂੰ ਪੁੱਛਦੇ ਹਨ, "ਜੋ, ਤੁਸੀਂ ਇਹ ਸਾਰੇ ਟੈਸਟ ਓਪਨ ਸੋਰਸ ਸੌਫਟਵੇਅਰ ਜਿਵੇਂ ਕਿ ਮੋਡ ਸਕਿਓਰਿਟੀ, ਸਨੌਰਟ ਅਤੇ ਇਸ ਤਰ੍ਹਾਂ ਦੀ ਵਰਤੋਂ ਕਰਕੇ ਕਰਦੇ ਹੋ, ਇਹ ਦੂਜੇ ਨਿਰਮਾਤਾਵਾਂ ਦੇ ਉਤਪਾਦਾਂ ਨਾਲ ਕਿੰਨੇ ਸਮਾਨ ਹਨ?" ਮੈਂ ਉਨ੍ਹਾਂ ਨੂੰ ਜਵਾਬ ਦਿੰਦਾ ਹਾਂ: "ਉਹ ਬਿਲਕੁਲ ਇੱਕੋ ਜਿਹੇ ਨਹੀਂ ਲੱਗਦੇ!" ਕਿਉਂਕਿ ਨਿਰਮਾਤਾ ਓਪਨ ਸੋਰਸ ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਤੋਂ ਸਮੱਗਰੀ ਨਹੀਂ ਚੋਰੀ ਕਰਦੇ ਹਨ, ਉਹ ਬੈਠ ਕੇ ਇਹ ਸਾਰੇ ਨਿਯਮ ਖੁਦ ਲਿਖਦੇ ਹਨ।

ਜੇਕਰ ਤੁਸੀਂ ਓਪਨ ਸੋਰਸ ਉਤਪਾਦਾਂ ਦੀ ਵਰਤੋਂ ਕੀਤੇ ਬਿਨਾਂ ਆਪਣੇ ਖੁਦ ਦੇ ਦਸਤਖਤ ਅਤੇ ਹਮਲੇ ਦੀਆਂ ਤਾਰਾਂ ਬਣਾ ਸਕਦੇ ਹੋ, ਤਾਂ ਇਹ ਤੁਹਾਡੇ ਲਈ ਇੱਕ ਵਧੀਆ ਮੌਕਾ ਹੈ। ਜੇਕਰ ਤੁਸੀਂ ਵਪਾਰਕ ਉਤਪਾਦਾਂ ਦਾ ਮੁਕਾਬਲਾ ਕਰਨ ਵਿੱਚ ਅਸਮਰੱਥ ਹੋ, ਸਹੀ ਦਿਸ਼ਾ ਵਿੱਚ ਅੱਗੇ ਵਧਦੇ ਹੋ, ਤਾਂ ਤੁਹਾਨੂੰ ਇੱਕ ਸੰਕਲਪ ਲੱਭਣਾ ਚਾਹੀਦਾ ਹੈ ਜੋ ਤੁਹਾਡੇ ਖੇਤਰ ਵਿੱਚ ਮਸ਼ਹੂਰ ਹੋਣ ਵਿੱਚ ਤੁਹਾਡੀ ਮਦਦ ਕਰੇਗਾ।

ਹਰ ਕੋਈ ਜਾਣਦਾ ਹੈ ਕਿ ਮੈਂ ਪੀਂਦਾ ਹਾਂ. ਆਓ ਮੈਂ ਤੁਹਾਨੂੰ ਦਿਖਾਵਾਂ ਕਿ ਮੈਂ ਕਿਉਂ ਪੀਂਦਾ ਹਾਂ. ਜੇਕਰ ਤੁਸੀਂ ਆਪਣੀ ਜ਼ਿੰਦਗੀ ਵਿੱਚ ਕਦੇ ਸੋਰਸ ਕੋਡ ਆਡਿਟ ਕੀਤਾ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਜ਼ਰੂਰ ਪੀਓਗੇ, ਮੇਰੇ 'ਤੇ ਭਰੋਸਾ ਕਰੋ, ਉਸ ਤੋਂ ਬਾਅਦ ਤੁਸੀਂ ਪੀਣਾ ਸ਼ੁਰੂ ਕਰ ਦਿਓਗੇ।

ਇਸ ਲਈ, ਸਾਡੀ ਪਸੰਦੀਦਾ ਭਾਸ਼ਾ C++ ਹੈ। ਆਓ ਇਸ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਵੇਖੀਏ - ਵੈੱਬ ਨਾਈਟ, ਇਹ ਵੈੱਬ ਸਰਵਰਾਂ ਲਈ ਇੱਕ ਫਾਇਰਵਾਲ ਐਪਲੀਕੇਸ਼ਨ ਹੈ। ਇਸ ਵਿੱਚ ਮੂਲ ਰੂਪ ਵਿੱਚ ਅਪਵਾਦ ਹਨ। ਇਹ ਦਿਲਚਸਪ ਹੈ - ਜੇਕਰ ਮੈਂ ਇਸ ਫਾਇਰਵਾਲ ਨੂੰ ਤੈਨਾਤ ਕਰਦਾ ਹਾਂ, ਤਾਂ ਇਹ ਮੈਨੂੰ ਆਉਟਲੁੱਕ ਵੈੱਬ ਐਕਸੈਸ ਤੋਂ ਸੁਰੱਖਿਅਤ ਨਹੀਂ ਕਰੇਗਾ।

ਸ਼ਾਨਦਾਰ! ਇਹ ਇਸ ਲਈ ਹੈ ਕਿਉਂਕਿ ਬਹੁਤ ਸਾਰੇ ਸੌਫਟਵੇਅਰ ਵਿਕਰੇਤਾ ਇੱਕ ਐਪਲੀਕੇਸ਼ਨ ਤੋਂ ਨਿਯਮਾਂ ਨੂੰ ਖਿੱਚਦੇ ਹਨ ਅਤੇ ਖੋਜ ਦੇ ਪੂਰੇ ਸਮੂਹ ਦੇ ਬਿਨਾਂ ਉਹਨਾਂ ਨੂੰ ਆਪਣੇ ਉਤਪਾਦ ਵਿੱਚ ਪੇਸਟ ਕਰਦੇ ਹਨ। ਇਸ ਲਈ ਜਦੋਂ ਮੈਂ ਵੈਬ ਫਾਇਰਵਾਲ ਐਪਲੀਕੇਸ਼ਨ ਨੂੰ ਤੈਨਾਤ ਕਰਦਾ ਹਾਂ, ਤਾਂ ਮੈਨੂੰ ਪਤਾ ਲੱਗਦਾ ਹੈ ਕਿ ਵੈਬਮੇਲ ਬਾਰੇ ਸਭ ਕੁਝ ਗਲਤ ਕੀਤਾ ਗਿਆ ਹੈ! ਕਿਉਂਕਿ ਲਗਭਗ ਕੋਈ ਵੀ ਵੈਬਮੇਲ ਮੂਲ ਰੂਪ ਵਿੱਚ ਸੁਰੱਖਿਆ ਨੂੰ ਤੋੜਦਾ ਹੈ। ਤੁਹਾਡੇ ਕੋਲ ਵੈਬ ਕੋਡ ਹੈ ਜੋ LDAP ਜਾਂ ਕਿਸੇ ਹੋਰ ਉਪਭੋਗਤਾ ਡੇਟਾਬੇਸ ਸਟੋਰ ਲਈ ਸਿੱਧੇ ਇੰਟਰਨੈਟ 'ਤੇ ਸਿਸਟਮ ਕਮਾਂਡਾਂ ਅਤੇ ਪੁੱਛਗਿੱਛਾਂ ਨੂੰ ਚਲਾਉਂਦਾ ਹੈ।

ਮੈਨੂੰ ਦੱਸੋ, ਕਿਸ ਗ੍ਰਹਿ 'ਤੇ ਅਜਿਹੀ ਚੀਜ਼ ਨੂੰ ਸੁਰੱਖਿਅਤ ਮੰਨਿਆ ਜਾ ਸਕਦਾ ਹੈ? ਜ਼ਰਾ ਇਸ ਬਾਰੇ ਸੋਚੋ: ਤੁਸੀਂ ਆਉਟਲੁੱਕ ਵੈੱਬ ਐਕਸੈਸ ਖੋਲ੍ਹਦੇ ਹੋ, ctrl + K ਦਬਾਉਂਦੇ ਹੋ, ਉਪਭੋਗਤਾਵਾਂ ਦੀ ਖੋਜ ਕਰਦੇ ਹੋ ਅਤੇ ਇਹ ਸਭ ਕੁਝ, ਤੁਸੀਂ ਸਿੱਧੇ ਇੰਟਰਨੈਟ ਤੋਂ ਐਕਟਿਵ ਡਾਇਰੈਕਟਰੀ ਦਾ ਪ੍ਰਬੰਧਨ ਕਰਦੇ ਹੋ, ਤੁਸੀਂ ਲੀਨਕਸ 'ਤੇ ਸਿਸਟਮ ਕਮਾਂਡਾਂ ਨੂੰ ਚਲਾਉਂਦੇ ਹੋ, ਜੇ ਤੁਸੀਂ ਸਕੁਇਰਲ ਮੇਲ, ਜਾਂ ਹੋਰਡ ਜਾਂ ਹੋਰ ਕੁਝ ਵੀ ਵਰਤਦੇ ਹੋ। ਹੋਰ। ਤੁਸੀਂ ਇਹਨਾਂ ਸਾਰੀਆਂ ਈਵਲਾਂ ਅਤੇ ਹੋਰ ਕਿਸਮ ਦੀਆਂ ਅਸੁਰੱਖਿਅਤ ਕਾਰਜਕੁਸ਼ਲਤਾਵਾਂ ਨੂੰ ਬਾਹਰ ਕੱਢ ਰਹੇ ਹੋ। ਇਸ ਲਈ, ਬਹੁਤ ਸਾਰੇ ਫਾਇਰਵਾਲ ਉਹਨਾਂ ਨੂੰ ਸੁਰੱਖਿਆ ਖਤਰਿਆਂ ਦੀ ਸੂਚੀ ਤੋਂ ਬਾਹਰ ਰੱਖਦੇ ਹਨ, ਇਸ ਬਾਰੇ ਆਪਣੇ ਸਾਫਟਵੇਅਰ ਨਿਰਮਾਤਾ ਨੂੰ ਪੁੱਛਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰੋ।

ਆਉ ਵੈੱਬ ਨਾਈਟ ਐਪਲੀਕੇਸ਼ਨ ਤੇ ਵਾਪਸ ਚਲੀਏ। ਇਸ ਨੇ URL ਸਕੈਨਰ ਤੋਂ ਬਹੁਤ ਸਾਰੇ ਸੁਰੱਖਿਆ ਨਿਯਮ ਚੋਰੀ ਕੀਤੇ ਹਨ, ਜੋ ਇਹਨਾਂ ਸਾਰੀਆਂ IP ਐਡਰੈੱਸ ਰੇਂਜਾਂ ਨੂੰ ਸਕੈਨ ਕਰਦਾ ਹੈ। ਤਾਂ, ਕੀ ਇਹ ਸਾਰੀਆਂ ਐਡਰੈੱਸ ਰੇਂਜ ਮੇਰੇ ਉਤਪਾਦ ਤੋਂ ਬਾਹਰ ਹਨ?

ਕੀ ਤੁਹਾਡੇ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਇਹਨਾਂ ਪਤਿਆਂ ਨੂੰ ਆਪਣੇ ਨੈੱਟਵਰਕ 'ਤੇ ਸਥਾਪਤ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹੈ? ਕੀ ਤੁਸੀਂ ਚਾਹੁੰਦੇ ਹੋ ਕਿ ਤੁਹਾਡਾ ਨੈੱਟਵਰਕ ਇਹਨਾਂ ਪਤਿਆਂ 'ਤੇ ਚੱਲੇ? ਹਾਂ, ਇਹ ਹੈਰਾਨੀਜਨਕ ਹੈ। ਠੀਕ ਹੈ, ਆਓ ਇਸ ਪ੍ਰੋਗਰਾਮ ਨੂੰ ਹੇਠਾਂ ਸਕ੍ਰੋਲ ਕਰੀਏ ਅਤੇ ਹੋਰ ਚੀਜ਼ਾਂ ਨੂੰ ਵੇਖੀਏ ਜੋ ਇਹ ਫਾਇਰਵਾਲ ਨਹੀਂ ਕਰਨਾ ਚਾਹੁੰਦੀ।

ਉਹਨਾਂ ਨੂੰ "1999" ਕਿਹਾ ਜਾਂਦਾ ਹੈ ਅਤੇ ਉਹ ਚਾਹੁੰਦੇ ਹਨ ਕਿ ਉਹਨਾਂ ਦਾ ਵੈਬ ਸਰਵਰ ਸਮੇਂ ਵਿੱਚ ਵਾਪਸ ਚਲਾ ਜਾਵੇ! ਕੀ ਤੁਹਾਡੇ ਵਿੱਚੋਂ ਕਿਸੇ ਨੂੰ ਇਹ ਕੂੜਾ ਯਾਦ ਹੈ: /scripts, /ishelp, msads? ਸ਼ਾਇਦ ਇੱਕ ਜੋੜੇ ਨੂੰ ਯਾਦ ਹੋਵੇਗਾ ਕਿ ਅਜਿਹੀਆਂ ਚੀਜ਼ਾਂ ਨੂੰ ਹੈਕ ਕਰਨਾ ਕਿੰਨਾ ਮਜ਼ੇਦਾਰ ਸੀ। "ਕੀ ਤੁਹਾਨੂੰ ਯਾਦ ਹੈ, ਯਾਰ, ਕਿੰਨਾ ਸਮਾਂ ਪਹਿਲਾਂ ਅਸੀਂ ਸਰਵਰਾਂ ਨੂੰ "ਮਾਰਿਆ", ਇਹ ਬਹੁਤ ਵਧੀਆ ਸੀ!

ਹੁਣ, ਜੇ ਤੁਸੀਂ ਇਹਨਾਂ ਅਪਵਾਦਾਂ 'ਤੇ ਨਜ਼ਰ ਮਾਰੋ, ਤਾਂ ਤੁਸੀਂ ਦੇਖੋਗੇ ਕਿ ਤੁਸੀਂ ਇਹ ਸਭ ਕੁਝ ਕਰ ਸਕਦੇ ਹੋ - msads, ਪ੍ਰਿੰਟਰ, iisadmpwd - ਇਹ ਸਾਰੀਆਂ ਚੀਜ਼ਾਂ ਜਿਨ੍ਹਾਂ ਦੀ ਅੱਜ ਕਿਸੇ ਨੂੰ ਲੋੜ ਨਹੀਂ ਹੈ। ਉਹਨਾਂ ਕਮਾਂਡਾਂ ਬਾਰੇ ਕੀ ਜੋ ਤੁਹਾਨੂੰ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਹੈ?

ਇਹ arp, at, cacls, chkdsk, cipher, cmd, com ਹਨ। ਜਿਵੇਂ ਤੁਸੀਂ ਉਹਨਾਂ ਦੀ ਸੂਚੀ ਬਣਾਉਂਦੇ ਹੋ, ਤੁਸੀਂ ਪੁਰਾਣੇ ਦਿਨਾਂ ਦੀਆਂ ਯਾਦਾਂ ਨਾਲ ਉਲਝ ਜਾਂਦੇ ਹੋ, "ਯਾਰ, ਯਾਦ ਰੱਖੋ ਜਦੋਂ ਅਸੀਂ ਉਸ ਸਰਵਰ ਨੂੰ ਸੰਭਾਲਿਆ ਸੀ, ਯਾਦ ਰੱਖੋ ਉਹ ਦਿਨ"?

ਪਰ ਇੱਥੇ ਅਸਲ ਵਿੱਚ ਦਿਲਚਸਪ ਕੀ ਹੈ - ਕੀ ਇੱਥੇ ਕੋਈ WMIC ਜਾਂ ਸ਼ਾਇਦ PowerShell ਦੇਖਦਾ ਹੈ? ਕਲਪਨਾ ਕਰੋ ਕਿ ਤੁਹਾਡੇ ਕੋਲ ਇੱਕ ਨਵੀਂ ਐਪਲੀਕੇਸ਼ਨ ਹੈ ਜੋ ਸਥਾਨਕ ਸਿਸਟਮ 'ਤੇ ਸਕ੍ਰਿਪਟਾਂ ਨੂੰ ਚਲਾ ਕੇ ਕੰਮ ਕਰਦੀ ਹੈ, ਅਤੇ ਇਹ ਆਧੁਨਿਕ ਸਕ੍ਰਿਪਟਾਂ ਹਨ ਕਿਉਂਕਿ ਤੁਸੀਂ ਵਿੰਡੋਜ਼ ਸਰਵਰ 2008 ਨੂੰ ਚਲਾਉਣਾ ਚਾਹੁੰਦੇ ਹੋ, ਅਤੇ ਮੈਂ ਇਸਨੂੰ ਵਿੰਡੋਜ਼ 2000 ਲਈ ਤਿਆਰ ਕੀਤੇ ਨਿਯਮਾਂ ਨਾਲ ਸੁਰੱਖਿਅਤ ਕਰਕੇ ਇੱਕ ਵਧੀਆ ਕੰਮ ਕਰਨ ਜਾ ਰਿਹਾ ਹਾਂ। ਤਾਂ ਕਿ ਅਗਲੀ ਵਾਰ ਜਦੋਂ ਕੋਈ ਵਿਕਰੇਤਾ ਆਪਣੀ ਵੈਬ ਐਪਲੀਕੇਸ਼ਨ ਲੈ ਕੇ ਤੁਹਾਡੇ ਕੋਲ ਆਵੇ, ਤਾਂ ਉਹਨਾਂ ਨੂੰ ਪੁੱਛੋ: “ਹੇ ਆਦਮੀ, ਕੀ ਤੁਸੀਂ ਬਿਟਸ ਐਡਮਿਨ, ਜਾਂ ਪਾਵਰਸ਼ੇਲ ਕਮਾਂਡਾਂ ਚਲਾਉਣ ਵਰਗੀਆਂ ਚੀਜ਼ਾਂ ਨੂੰ ਕਵਰ ਕੀਤਾ ਹੈ, ਕੀ ਤੁਸੀਂ ਹੋਰ ਸਾਰੀਆਂ ਚੀਜ਼ਾਂ ਦੀ ਜਾਂਚ ਕੀਤੀ ਹੈ, ਕਿਉਂਕਿ ਅਸੀਂ ਅਪਡੇਟ ਕਰਨ ਜਾ ਰਹੇ ਹਾਂ। ਅਤੇ DotNET ਦੇ ਨਵੇਂ ਸੰਸਕਰਣ ਦੀ ਵਰਤੋਂ ਕਰੋ"? ਪਰ ਇਹ ਸਾਰੀਆਂ ਚੀਜ਼ਾਂ ਮੂਲ ਰੂਪ ਵਿੱਚ ਇੱਕ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਵਿੱਚ ਮੌਜੂਦ ਹੋਣੀਆਂ ਚਾਹੀਦੀਆਂ ਹਨ!

ਅਗਲੀ ਚੀਜ਼ ਜਿਸ ਬਾਰੇ ਮੈਂ ਤੁਹਾਡੇ ਨਾਲ ਗੱਲ ਕਰਨਾ ਚਾਹੁੰਦਾ ਹਾਂ ਉਹ ਹੈ ਲਾਜ਼ੀਕਲ ਗਲਤੀਆਂ। ਚਲੋ 192.168.2.6 ਤੇ ਚੱਲੀਏ। ਇਹ ਪਿਛਲੇ ਇੱਕ ਦੇ ਰੂਪ ਵਿੱਚ ਇੱਕੋ ਹੀ ਐਪਲੀਕੇਸ਼ਨ ਹੈ.

ਜੇ ਤੁਸੀਂ ਪੰਨੇ ਨੂੰ ਹੇਠਾਂ ਸਕ੍ਰੋਲ ਕਰਦੇ ਹੋ ਅਤੇ ਸਾਡੇ ਨਾਲ ਸੰਪਰਕ ਕਰੋ ਲਿੰਕ 'ਤੇ ਕਲਿੱਕ ਕਰਦੇ ਹੋ ਤਾਂ ਤੁਸੀਂ ਕੁਝ ਦਿਲਚਸਪ ਦੇਖ ਸਕਦੇ ਹੋ।

ਜੇ ਤੁਸੀਂ "ਸਾਡੇ ਨਾਲ ਸੰਪਰਕ ਕਰੋ" ਟੈਬ ਦੇ ਸਰੋਤ ਕੋਡ ਨੂੰ ਦੇਖਦੇ ਹੋ, ਜੋ ਕਿ ਮੈਂ ਹਰ ਸਮੇਂ ਕਰਨ ਵਾਲੇ ਪੈਂਟੈਸਿੰਗ ਤਰੀਕਿਆਂ ਵਿੱਚੋਂ ਇੱਕ ਹੈ, ਤਾਂ ਤੁਸੀਂ ਇਸ ਲਾਈਨ ਨੂੰ ਵੇਖੋਗੇ।

ਇਸ ਬਾਰੇ ਸੋਚੋ! ਮੈਂ ਸੁਣਦਾ ਹਾਂ ਕਿ ਜਦੋਂ ਉਨ੍ਹਾਂ ਨੇ ਇਹ ਦੇਖਿਆ, ਤਾਂ ਕਈਆਂ ਨੇ ਕਿਹਾ: “ਵਾਹ”! ਮੈਂ ਇੱਕ ਵਾਰ ਇੱਕ ਅਰਬਪਤੀ ਬੈਂਕ ਲਈ ਪ੍ਰਵੇਸ਼ ਟੈਸਟਿੰਗ ਕਰ ਰਿਹਾ ਸੀ, ਅਤੇ ਮੈਂ ਅਜਿਹਾ ਕੁਝ ਦੇਖਿਆ। ਇਸ ਲਈ, ਸਾਨੂੰ ਕਿਸੇ SQL ਇੰਜੈਕਸ਼ਨ ਜਾਂ ਕ੍ਰਾਸ-ਸਾਈਟ ਸਕ੍ਰਿਪਟਿੰਗ ਦੀ ਲੋੜ ਨਹੀਂ ਹੈ - ਸਾਡੇ ਕੋਲ ਮੂਲ ਗੱਲਾਂ ਹਨ, ਇਹ ਐਡਰੈੱਸ ਬਾਰ।

ਇਸ ਲਈ, ਬਿਨਾਂ ਕਿਸੇ ਅਤਿਕਥਨੀ ਦੇ - ਬੈਂਕ ਨੇ ਸਾਨੂੰ ਦੱਸਿਆ ਕਿ ਉਹਨਾਂ ਕੋਲ ਇੱਕ ਨੈਟਵਰਕ ਮਾਹਰ ਅਤੇ ਇੱਕ ਵੈਬ ਇੰਸਪੈਕਟਰ ਦੋਵੇਂ ਸਨ, ਅਤੇ ਉਹਨਾਂ ਨੇ ਕੋਈ ਟਿੱਪਣੀ ਨਹੀਂ ਕੀਤੀ. ਭਾਵ, ਉਹਨਾਂ ਨੇ ਇਸਨੂੰ ਆਮ ਸਮਝਿਆ ਕਿ ਇੱਕ ਟੈਕਸਟ ਫਾਈਲ ਨੂੰ ਇੱਕ ਬ੍ਰਾਉਜ਼ਰ ਦੁਆਰਾ ਖੋਲ੍ਹਿਆ ਅਤੇ ਪੜ੍ਹਿਆ ਜਾ ਸਕਦਾ ਹੈ.

ਭਾਵ, ਤੁਸੀਂ ਫਾਈਲ ਸਿਸਟਮ ਤੋਂ ਸਿੱਧੇ ਫਾਈਲ ਨੂੰ ਪੜ੍ਹ ਸਕਦੇ ਹੋ. ਉਨ੍ਹਾਂ ਦੀ ਸੁਰੱਖਿਆ ਟੀਮ ਦੇ ਮੁਖੀ ਨੇ ਮੈਨੂੰ ਦੱਸਿਆ: "ਹਾਂ, ਸਕੈਨਰਾਂ ਵਿੱਚੋਂ ਇੱਕ ਨੇ ਇਹ ਕਮਜ਼ੋਰੀ ਪਾਈ, ਪਰ ਇਸਨੂੰ ਮਾਮੂਲੀ ਸਮਝਿਆ।" ਜਿਸ ਦਾ ਮੈਂ ਜਵਾਬ ਦਿੱਤਾ, ਠੀਕ ਹੈ, ਮੈਨੂੰ ਇੱਕ ਮਿੰਟ ਦਿਓ। ਮੈਂ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ filename=../../../../boot.ini ਟਾਈਪ ਕੀਤਾ ਅਤੇ ਫਾਈਲ ਸਿਸਟਮ ਬੂਟ ਫਾਈਲ ਨੂੰ ਪੜ੍ਹਨ ਦੇ ਯੋਗ ਸੀ!

ਇਸ ਲਈ ਉਹਨਾਂ ਨੇ ਮੈਨੂੰ ਕਿਹਾ: “ਨਹੀਂ, ਨਹੀਂ, ਨਹੀਂ, ਇਹ ਨਾਜ਼ੁਕ ਫਾਈਲਾਂ ਨਹੀਂ ਹਨ”! ਮੈਂ ਜਵਾਬ ਦਿੱਤਾ - ਪਰ ਇਹ ਸਰਵਰ 2008 ਹੈ? ਉਨ੍ਹਾਂ ਨੇ ਕਿਹਾ ਹਾਂ, ਇਹ ਉਹ ਹੈ। ਮੈਂ ਕਹਿੰਦਾ ਹਾਂ - ਪਰ ਇਸ ਸਰਵਰ ਵਿੱਚ ਸਰਵਰ ਦੀ ਰੂਟ ਡਾਇਰੈਕਟਰੀ ਵਿੱਚ ਸਥਿਤ ਇੱਕ ਸੰਰਚਨਾ ਫਾਈਲ ਹੈ, ਠੀਕ ਹੈ? “ਸਹੀ,” ਉਹ ਜਵਾਬ ਦਿੰਦੇ ਹਨ। "ਬਹੁਤ ਵਧੀਆ," ਮੈਂ ਕਹਿੰਦਾ ਹਾਂ, "ਕੀ ਹੋਵੇਗਾ ਜੇਕਰ ਕੋਈ ਹਮਲਾਵਰ ਅਜਿਹਾ ਕਰਦਾ ਹੈ," ਅਤੇ ਮੈਂ ਐਡਰੈੱਸ ਬਾਰ ਵਿੱਚ filename=web.config ਟਾਈਪ ਕਰਦਾ ਹਾਂ। ਉਹ ਕਹਿੰਦੇ ਹਨ - ਤਾਂ ਕੀ, ਤੁਹਾਨੂੰ ਮਾਨੀਟਰ 'ਤੇ ਕੁਝ ਦਿਖਾਈ ਨਹੀਂ ਦਿੰਦਾ?

ਮੈਂ ਕਹਿੰਦਾ ਹਾਂ - ਜੇ ਮੈਂ ਮਾਨੀਟਰ 'ਤੇ ਸੱਜਾ-ਕਲਿੱਕ ਕਰਦਾ ਹਾਂ ਅਤੇ ਪੇਜ ਸਰੋਤ ਦਿਖਾਓ ਵਿਕਲਪ ਚੁਣਦਾ ਹਾਂ ਤਾਂ ਕੀ ਹੋਵੇਗਾ? ਅਤੇ ਮੈਨੂੰ ਇੱਥੇ ਕੀ ਮਿਲੇਗਾ? "ਕੁਝ ਵੀ ਨਾਜ਼ੁਕ ਨਹੀਂ"? ਮੈਂ ਸਰਵਰ ਪ੍ਰਬੰਧਕ ਪਾਸਵਰਡ ਦੇਖਾਂਗਾ!

ਅਤੇ ਤੁਸੀਂ ਕਹਿੰਦੇ ਹੋ ਕਿ ਇੱਥੇ ਕੋਈ ਸਮੱਸਿਆ ਨਹੀਂ ਹੈ?

ਪਰ ਮੇਰਾ ਮਨਪਸੰਦ ਹਿੱਸਾ ਇਹ ਅਗਲਾ ਹੈ. ਤੁਸੀਂ ਮੈਨੂੰ ਬਾਕਸ ਵਿੱਚ ਕਮਾਂਡਾਂ ਚਲਾਉਣ ਦੀ ਇਜਾਜ਼ਤ ਨਹੀਂ ਦਿੰਦੇ ਹੋ, ਪਰ ਮੈਂ ਵੈਬ ਸਰਵਰ ਪ੍ਰਬੰਧਕ ਪਾਸਵਰਡ ਅਤੇ ਡੇਟਾਬੇਸ ਚੋਰੀ ਕਰ ਸਕਦਾ ਹਾਂ, ਪੂਰੇ ਡੇਟਾਬੇਸ ਨੂੰ ਦੇਖ ਸਕਦਾ ਹਾਂ, ਡੇਟਾਬੇਸ ਅਤੇ ਸਿਸਟਮ ਅਸਫਲਤਾਵਾਂ ਬਾਰੇ ਸਾਰੀ ਸਮੱਗਰੀ ਨੂੰ ਬਾਹਰ ਕੱਢ ਸਕਦਾ ਹਾਂ, ਅਤੇ ਇਸ ਸਭ ਤੋਂ ਦੂਰ ਹੋ ਸਕਦਾ ਹਾਂ। ਇਹ ਇੱਕ ਮਾੜੇ ਬੰਦੇ ਦਾ ਮਾਮਲਾ ਹੈ, "ਓਏ ਯਾਰ, ਅੱਜ ਵੱਡਾ ਦਿਨ ਹੈ"!

ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨੂੰ ਤੁਹਾਨੂੰ ਬਿਮਾਰ ਨਾ ਹੋਣ ਦਿਓ! ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨੂੰ ਤੁਹਾਨੂੰ ਬਿਮਾਰ ਨਾ ਹੋਣ ਦਿਓ! ਕੁਝ ਨਾਰਡਜ਼ ਲੱਭੋ, ਉਹਨਾਂ ਨੂੰ ਸਟਾਰ ਟ੍ਰੈਕ ਦੀਆਂ ਸਾਰੀਆਂ ਯਾਦਗਾਰੀ ਚੀਜ਼ਾਂ ਦਿਓ, ਉਹਨਾਂ ਵਿੱਚ ਦਿਲਚਸਪੀ ਲਓ, ਉਹਨਾਂ ਨੂੰ ਤੁਹਾਡੇ ਨਾਲ ਰਹਿਣ ਲਈ ਉਤਸ਼ਾਹਿਤ ਕਰੋ, ਕਿਉਂਕਿ ਉਹ ਬੋਰਿੰਗ ਸਟਿੰਕਰ ਜੋ ਹਰ ਰੋਜ਼ ਨਹਾਉਂਦੇ ਨਹੀਂ ਹਨ, ਉਹ ਹਨ ਜੋ ਤੁਹਾਡੇ ਨੈਟਵਰਕ ਨੂੰ ਕੰਮ ਕਰਨ ਲਈ ਤਿਆਰ ਕਰਦੇ ਹਨ! ਇਹ ਉਹ ਲੋਕ ਹਨ ਜੋ ਤੁਹਾਡੇ ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨੂੰ ਉਸੇ ਤਰ੍ਹਾਂ ਕੰਮ ਕਰਨ ਵਿੱਚ ਮਦਦ ਕਰਨਗੇ ਜਿਵੇਂ ਉਨ੍ਹਾਂ ਨੂੰ ਕਰਨਾ ਚਾਹੀਦਾ ਹੈ।

ਮੈਨੂੰ ਦੱਸੋ, ਤੁਹਾਡੇ ਵਿੱਚੋਂ ਕਿੰਨੇ ਇੱਕ ਵਿਅਕਤੀ ਨਾਲ ਲੰਬੇ ਸਮੇਂ ਲਈ ਇੱਕੋ ਕਮਰੇ ਵਿੱਚ ਰਹਿਣ ਦੇ ਯੋਗ ਹਨ ਜੋ ਲਗਾਤਾਰ ਕਹਿੰਦਾ ਹੈ: "ਓਹ, ਮੈਨੂੰ ਤੁਰੰਤ ਇਹ ਸਕ੍ਰਿਪਟ ਟਾਈਪ ਕਰਨ ਦੀ ਲੋੜ ਹੈ!", ਅਤੇ ਕੌਣ ਇਸ ਵਿੱਚ ਹਰ ਸਮੇਂ ਰੁੱਝਿਆ ਰਹਿੰਦਾ ਹੈ? ਪਰ ਤੁਹਾਨੂੰ ਉਹਨਾਂ ਲੋਕਾਂ ਦੀ ਲੋੜ ਹੈ ਜੋ ਤੁਹਾਡੇ ਸੁਰੱਖਿਆ ਉਤਪਾਦਾਂ ਨੂੰ ਕੰਮ ਕਰਦੇ ਹਨ।

ਮੈਂ ਇਸਨੂੰ ਦੁਬਾਰਾ ਕਹਾਂਗਾ - ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਮੂਰਖ ਹਨ ਕਿਉਂਕਿ ਲਾਈਟਾਂ ਲਗਾਤਾਰ ਗਲਤੀਆਂ ਕਰਦੀਆਂ ਹਨ, ਲਗਾਤਾਰ ਘਟੀਆ ਚੀਜ਼ਾਂ ਕਰਦੀਆਂ ਹਨ, ਉਹ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਨਹੀਂ ਕਰਦੀਆਂ ਹਨ। ਮੈਂ ਕਦੇ ਵੀ ਕੋਈ ਚੰਗਾ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਨਹੀਂ ਦੇਖਿਆ ਜਿਸ ਲਈ ਸਕ੍ਰਿਊਡ੍ਰਾਈਵਰ ਵਾਲੇ ਵਿਅਕਤੀ ਨੂੰ ਇਸ ਨੂੰ ਘੱਟ ਜਾਂ ਘੱਟ ਆਮ ਤੌਰ 'ਤੇ ਕੰਮ ਕਰਨ ਲਈ ਲੋੜ ਪੈਣ 'ਤੇ ਇਸ ਨੂੰ ਕੱਸਣ ਦੀ ਲੋੜ ਨਹੀਂ ਸੀ। ਇਹ ਸਿਰਫ਼ ਨਿਯਮਾਂ ਦੀ ਇੱਕ ਵੱਡੀ ਸੂਚੀ ਹੈ ਜੋ ਕਹਿੰਦੀ ਹੈ ਕਿ ਇਹ ਬੁਰਾ ਹੈ, ਬੱਸ!

ਇਸ ਲਈ ਮੈਂ ਚਾਹੁੰਦਾ ਹਾਂ ਕਿ ਤੁਸੀਂ ਲੋਕ ਸਿੱਖਿਆ, ਸੁਰੱਖਿਆ, ਪੌਲੀਟੈਕਨਿਕ ਸਿਖਲਾਈ ਵਰਗੀਆਂ ਚੀਜ਼ਾਂ ਵੱਲ ਧਿਆਨ ਦਿਓ, ਕਿਉਂਕਿ ਸੁਰੱਖਿਆ ਮੁੱਦਿਆਂ 'ਤੇ ਬਹੁਤ ਸਾਰੇ ਮੁਫਤ ਔਨਲਾਈਨ ਕੋਰਸ ਹਨ। ਪਾਈਥਨ ਸਿੱਖੋ, ਅਸੈਂਬਲੀ ਸਿੱਖੋ, ਵੈੱਬ ਐਪਲੀਕੇਸ਼ਨ ਟੈਸਟਿੰਗ ਸਿੱਖੋ।

ਇਹ ਉਹ ਹੈ ਜੋ ਅਸਲ ਵਿੱਚ ਤੁਹਾਡੇ ਨੈੱਟਵਰਕ ਨੂੰ ਸੁਰੱਖਿਅਤ ਕਰਨ ਵਿੱਚ ਤੁਹਾਡੀ ਮਦਦ ਕਰੇਗਾ। ਸਮਾਰਟ ਲੋਕ ਨੈੱਟਵਰਕ ਦੀ ਰੱਖਿਆ ਕਰਦੇ ਹਨ, ਨੈੱਟਵਰਕ ਉਤਪਾਦ ਨਹੀਂ ਕਰਦੇ! ਕੰਮ 'ਤੇ ਵਾਪਸ ਜਾਓ ਅਤੇ ਆਪਣੇ ਬੌਸ ਨੂੰ ਦੱਸੋ ਕਿ ਤੁਹਾਨੂੰ ਵਧੇਰੇ ਸਮਾਰਟ ਲੋਕਾਂ ਲਈ ਵਧੇਰੇ ਬਜਟ ਦੀ ਜ਼ਰੂਰਤ ਹੈ, ਮੈਂ ਜਾਣਦਾ ਹਾਂ ਕਿ ਇਹ ਇੱਕ ਸੰਕਟ ਹੈ, ਪਰ ਫਿਰ ਵੀ ਉਸਨੂੰ ਦੱਸੋ - ਸਾਨੂੰ ਲੋਕਾਂ ਲਈ, ਉਹਨਾਂ ਦੀ ਸਿਖਲਾਈ ਲਈ ਹੋਰ ਪੈਸੇ ਦੀ ਲੋੜ ਹੈ। ਜੇ ਅਸੀਂ ਕੋਈ ਉਤਪਾਦ ਖਰੀਦਦੇ ਹਾਂ ਪਰ ਇਸਦੀ ਵਰਤੋਂ ਕਰਨ ਬਾਰੇ ਕੋਈ ਕੋਰਸ ਨਹੀਂ ਖਰੀਦਦੇ ਕਿਉਂਕਿ ਇਹ ਮਹਿੰਗਾ ਹੈ, ਤਾਂ ਅਸੀਂ ਇਸ ਨੂੰ ਬਿਲਕੁਲ ਕਿਉਂ ਨਹੀਂ ਖਰੀਦ ਰਹੇ ਹਾਂ ਜੇਕਰ ਅਸੀਂ ਲੋਕਾਂ ਨੂੰ ਇਹ ਨਹੀਂ ਸਿਖਾਉਣ ਜਾ ਰਹੇ ਕਿ ਇਸਦੀ ਵਰਤੋਂ ਕਿਵੇਂ ਕਰਨੀ ਹੈ?

ਮੈਂ ਬਹੁਤ ਸਾਰੇ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਵਿਕਰੇਤਾਵਾਂ ਲਈ ਕੰਮ ਕੀਤਾ ਹੈ, ਉਹਨਾਂ ਉਤਪਾਦਾਂ ਨੂੰ ਲਾਗੂ ਕਰਨ ਵਿੱਚ ਮੇਰੀ ਪੂਰੀ ਜ਼ਿੰਦਗੀ ਬਿਤਾਈ ਹੈ, ਅਤੇ ਮੈਂ ਸਾਰੇ ਨੈਟਵਰਕ ਐਕਸੈਸ ਨਿਯੰਤਰਣ ਅਤੇ ਸਮੱਗਰੀ ਤੋਂ ਬਿਮਾਰ ਹਾਂ ਕਿਉਂਕਿ ਮੈਂ ਉਹਨਾਂ ਸਾਰੇ ਬਕਵਾਸ ਉਤਪਾਦਾਂ ਨੂੰ ਸਥਾਪਿਤ ਅਤੇ ਚਲਾਇਆ ਹੈ। ਮੈਂ ਇੱਕ ਵਾਰ ਇੱਕ ਕਲਾਇੰਟ ਕੋਲ ਆਇਆ ਸੀ, ਉਹ EAP ਪ੍ਰੋਟੋਕੋਲ ਲਈ 802.1x ਸਟੈਂਡਰਡ ਨੂੰ ਲਾਗੂ ਕਰਨਾ ਚਾਹੁੰਦੇ ਸਨ, ਇਸਲਈ ਉਹਨਾਂ ਕੋਲ ਹਰੇਕ ਪੋਰਟ ਲਈ MAC ਪਤੇ ਅਤੇ ਸੈਕੰਡਰੀ ਪਤੇ ਸਨ. ਮੈਂ ਆਇਆ, ਦੇਖਿਆ ਕਿ ਇਹ ਖਰਾਬ ਸੀ, ਪਿੱਛੇ ਮੁੜਿਆ ਅਤੇ ਪ੍ਰਿੰਟਰ 'ਤੇ ਬਟਨ ਦਬਾਉਣ ਲੱਗਾ। ਤੁਸੀਂ ਜਾਣਦੇ ਹੋ, ਪ੍ਰਿੰਟਰ ਸਾਰੇ MAC ਪਤਿਆਂ ਅਤੇ IP ਪਤਿਆਂ ਦੇ ਨਾਲ ਨੈਟਵਰਕ ਉਪਕਰਣਾਂ ਦੇ ਇੱਕ ਟੈਸਟ ਪੰਨੇ ਨੂੰ ਪ੍ਰਿੰਟ ਕਰ ਸਕਦਾ ਹੈ। ਪਰ ਇਹ ਪਤਾ ਚਲਿਆ ਕਿ ਪ੍ਰਿੰਟਰ 802.1x ਸਟੈਂਡਰਡ ਦਾ ਸਮਰਥਨ ਨਹੀਂ ਕਰਦਾ, ਇਸ ਲਈ ਇਸਨੂੰ ਬਾਹਰ ਰੱਖਿਆ ਜਾਣਾ ਚਾਹੀਦਾ ਹੈ.

ਫਿਰ ਮੈਂ ਪ੍ਰਿੰਟਰ ਨੂੰ ਅਨਪਲੱਗ ਕੀਤਾ ਅਤੇ ਆਪਣੇ ਲੈਪਟਾਪ ਦੇ MAC ਐਡਰੈੱਸ ਨੂੰ ਪ੍ਰਿੰਟਰ ਦੇ MAC ਐਡਰੈੱਸ ਨਾਲ ਬਦਲ ਦਿੱਤਾ ਅਤੇ ਆਪਣੇ ਲੈਪਟਾਪ ਨੂੰ ਜੋੜਿਆ, ਇਸ ਤਰ੍ਹਾਂ ਇਸ ਮਹਿੰਗੇ MAC ਹੱਲ ਨੂੰ ਬਾਈਪਾਸ ਕਰਕੇ, ਇਸ ਬਾਰੇ ਸੋਚੋ! ਇਸ ਲਈ ਇਹ MAC ਹੱਲ ਮੇਰੇ ਲਈ ਕੀ ਚੰਗਾ ਕਰ ਸਕਦਾ ਹੈ ਜੇਕਰ ਕੋਈ ਵਿਅਕਤੀ ਸਿਰਫ਼ ਪ੍ਰਿੰਟਰ ਜਾਂ ਇੱਕ VoIP ਫ਼ੋਨ ਦੇ ਤੌਰ 'ਤੇ ਕਿਸੇ ਵੀ ਸਾਜ਼-ਸਾਮਾਨ ਨੂੰ ਪਾਸ ਕਰ ਸਕਦਾ ਹੈ?

ਇਸ ਲਈ ਅੱਜ, ਮੇਰੇ ਲਈ ਪੈਂਟੈਸਟਿੰਗ ਇਹ ਹੈ ਕਿ ਮੈਂ ਉਸ ਸੁਰੱਖਿਆ ਉਤਪਾਦ ਨੂੰ ਸਮਝਣ ਅਤੇ ਸਮਝਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਵਿੱਚ ਸਮਾਂ ਬਿਤਾਉਂਦਾ ਹਾਂ ਜੋ ਮੇਰੇ ਕਲਾਇੰਟ ਨੇ ਖਰੀਦਿਆ ਹੈ। ਅੱਜ ਕੱਲ੍ਹ ਹਰ ਬੈਂਕ ਜਿਸ ਵਿੱਚ ਮੈਂ ਪ੍ਰਵੇਸ਼ ਟੈਸਟਿੰਗ ਕਰਦਾ ਹਾਂ ਵਿੱਚ ਇਹ ਸਾਰੇ HIPS, NIPS, LAUGTHS, MACS ਅਤੇ ਹੋਰ ਸੰਖੇਪ ਸ਼ਬਦਾਂ ਦਾ ਇੱਕ ਸਮੂਹ ਹੈ ਜੋ ਕਿ ਪੂਰੀ ਤਰ੍ਹਾਂ ਬਕਵਾਸ ਹੈ। ਪਰ ਮੈਂ ਇਹ ਪਤਾ ਲਗਾਉਣ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਿਹਾ ਹਾਂ ਕਿ ਇਹ ਉਤਪਾਦ ਕੀ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ ਅਤੇ ਉਹ ਇਸਨੂੰ ਕਿਵੇਂ ਕਰਨ ਦੀ ਕੋਸ਼ਿਸ਼ ਕਰ ਰਹੇ ਹਨ. ਫਿਰ, ਇੱਕ ਵਾਰ ਜਦੋਂ ਮੈਂ ਇਹ ਪਤਾ ਲਗਾ ਲੈਂਦਾ ਹਾਂ ਕਿ ਉਹ ਸੁਰੱਖਿਆ ਪ੍ਰਦਾਨ ਕਰਨ ਲਈ ਕਿਸ ਕਿਸਮ ਦੀ ਵਿਧੀ ਅਤੇ ਤਰਕ ਵਰਤਦੇ ਹਨ, ਤਾਂ ਇਸ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨਾ ਬਿਲਕੁਲ ਵੀ ਮੁਸ਼ਕਲ ਨਹੀਂ ਹੁੰਦਾ।

ਮੇਰਾ ਮਨਪਸੰਦ ਉਤਪਾਦ ਜਿਸ ਨਾਲ ਮੈਂ ਤੁਹਾਨੂੰ ਛੱਡਾਂਗਾ ਉਸਨੂੰ MS 1103 ਕਿਹਾ ਜਾਂਦਾ ਹੈ। ਇਹ ਇੱਕ ਬ੍ਰਾਊਜ਼ਰ-ਅਧਾਰਤ ਸ਼ੋਸ਼ਣ ਹੈ ਜੋ HIPS, ਹੋਸਟ ਘੁਸਪੈਠ ਰੋਕਥਾਮ ਦਸਤਖਤ, ਜਾਂ ਹੋਸਟ ਘੁਸਪੈਠ ਰੋਕਥਾਮ ਹਸਤਾਖਰਾਂ ਨੂੰ "ਸਪਰੇਅ" ਕਰਦਾ ਹੈ। ਵਾਸਤਵ ਵਿੱਚ, ਇਹ HIPS ਦਸਤਖਤਾਂ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਲਈ ਤਿਆਰ ਕੀਤਾ ਗਿਆ ਹੈ। ਮੈਂ ਇਹ ਨਹੀਂ ਦਿਖਾਉਣਾ ਚਾਹੁੰਦਾ ਕਿ ਇਹ ਕਿਵੇਂ ਕੰਮ ਕਰਦਾ ਹੈ ਕਿਉਂਕਿ ਮੈਂ ਇਸਦਾ ਪ੍ਰਦਰਸ਼ਨ ਕਰਨ ਲਈ ਸਮਾਂ ਨਹੀਂ ਚਾਹੁੰਦਾ, ਪਰ ਇਹ ਉਸ ਸੁਰੱਖਿਆ ਨੂੰ ਬਾਈਪਾਸ ਕਰਨ ਦਾ ਵਧੀਆ ਕੰਮ ਕਰਦਾ ਹੈ ਅਤੇ ਮੈਂ ਚਾਹੁੰਦਾ ਹਾਂ ਕਿ ਤੁਸੀਂ ਇਸਨੂੰ ਅਜ਼ਮਾਓ।
ਠੀਕ ਹੈ ਦੋਸਤੋ, ਮੈਂ ਹੁਣ ਜਾ ਰਿਹਾ ਹਾਂ।

ਕੁਝ ਵਿਗਿਆਪਨ 🙂

ਸਾਡੇ ਨਾਲ ਰਹਿਣ ਲਈ ਤੁਹਾਡਾ ਧੰਨਵਾਦ। ਕੀ ਤੁਹਾਨੂੰ ਸਾਡੇ ਲੇਖ ਪਸੰਦ ਹਨ? ਹੋਰ ਦਿਲਚਸਪ ਸਮੱਗਰੀ ਦੇਖਣਾ ਚਾਹੁੰਦੇ ਹੋ? ਆਰਡਰ ਦੇ ਕੇ ਜਾਂ ਦੋਸਤਾਂ ਨੂੰ ਸਿਫਾਰਸ਼ ਕਰਕੇ ਸਾਡਾ ਸਮਰਥਨ ਕਰੋ, $4.99 ਤੋਂ ਡਿਵੈਲਪਰਾਂ ਲਈ ਕਲਾਉਡ VPS, ਪ੍ਰਵੇਸ਼-ਪੱਧਰ ਦੇ ਸਰਵਰਾਂ ਦਾ ਇੱਕ ਵਿਲੱਖਣ ਐਨਾਲਾਗ, ਜਿਸਦੀ ਖੋਜ ਸਾਡੇ ਦੁਆਰਾ ਤੁਹਾਡੇ ਲਈ ਕੀਤੀ ਗਈ ਸੀ: VPS (KVM) E5-2697 v3 (6 ਕੋਰ) 10GB DDR4 480GB SSD 1Gbps ਤੋਂ $19 ਜਾਂ ਸਰਵਰ ਨੂੰ ਕਿਵੇਂ ਸਾਂਝਾ ਕਰਨਾ ਹੈ ਬਾਰੇ ਪੂਰੀ ਸੱਚਾਈ? (RAID1 ਅਤੇ RAID10 ਦੇ ਨਾਲ ਉਪਲਬਧ, 24 ਕੋਰ ਤੱਕ ਅਤੇ 40GB DDR4 ਤੱਕ)।

ਡੈਲ R730xd ਐਮਸਟਰਡਮ ਵਿੱਚ ਈਕੁਇਨਿਕਸ ਟੀਅਰ IV ਡੇਟਾ ਸੈਂਟਰ ਵਿੱਚ 2 ਗੁਣਾ ਸਸਤਾ? ਇੱਥੇ ਹੀ 2 x Intel TetraDeca-Core Xeon 2x E5-2697v3 2.6GHz 14C 64GB DDR4 4x960GB SSD 1Gbps 100 ਟੀਵੀ $199 ਤੋਂ ਨੀਦਰਲੈਂਡ ਵਿੱਚ! Dell R420 - 2x E5-2430 2.2Ghz 6C 128GB DDR3 2x960GB SSD 1Gbps 100TB - $99 ਤੋਂ! ਬਾਰੇ ਪੜ੍ਹੋ ਬੁਨਿਆਦੀ ਢਾਂਚਾ ਕਾਰਪੋਰੇਸ਼ਨ ਕਿਵੇਂ ਬਣਾਇਆ ਜਾਵੇ ਡੇਲ R730xd E5-2650 v4 ਸਰਵਰਾਂ ਦੀ ਵਰਤੋਂ ਨਾਲ ਕਲਾਸ 9000 ਯੂਰੋ ਦੀ ਕੀਮਤ ਦੇ ਇੱਕ ਪੈਸੇ ਲਈ?

ਸਰੋਤ: www.habr.com