تاپیک هکر های تازه وارد

[SafeMaster]

درود مجدد به عزیزان فرا رسیدن ماه مبارک رمضانو به همه عزیزان تبریک میگم .

در ادامه آموزش ها به بحث Email میرسیم باز هم متذکر میشوم ما در این آموزش ها تنها اصول را شرح میدهیم و مسئولیت استفاده نادرست از آموزش ها به عهده خود فرد میباشد .

راههای دسترسی به ایمیل چیست ؟

طبق آموزش های بالا تاکنون روش هایی نظیر :

کیلاگر / رت / تروجان
سرقت کوکی ها | Cookie Theft
phishing attack یا حملات فیشینگ
Watering hole
حملات بروت فورس و دیکشنری اتک
حملات وای فای جعلی FAKE WAP

را توضیح دادیم شما با دانستن این روش ها در اولین قدم هوشیاری کافی برای جلوگیری از سرقت اطلاعات شخصی خودتان را دارید و در قدم دوم میتوانید سایر افراد را از خطر از دست دادن داده ها و اکانت های شخصی خودشان آگاه کنید .

در این تاپیک به مقوله پسورد ضعیف و حملات بروت فورس اشاره ویژه ای کردیم ، متاسفانه یا خوشبختانه مردم همیشه از پسورد های سخت برای اکانت های خودشون استفاده نمیکنند و همین مورد باعث میشه اکانت های نظیر ایمیل ، وبسایت و شبکه های اجتماعی آنها همیشه در معرض خطر باشه اگر تمامی موارد امنیتی را رعایت کنید اما پسورد تان قابل هک شدن باشد منتظر حمله یک هکر باشید .
پسورد ساده یا سخت بلاخره قابل شناسایی و هک شدن هست اما ما اینجا با مسئله زمان برای نفوذگر مطرح هستیم یک پسورد سخت زمان زیادی برای یک نفوذگر درست میکنه بطور مثال اگر بخواد پسورد یک ایمیل که شامل 10 کاراکتر عددی ، حروف و علائم باشه رو بزنه حالا حالا ها باید بروت فورس انجام بده ، اما اینجا یک نکته مهم هست .... اگر پسورد شما رو حدس بزنه چی ؟
بطور مثال شما این پسورد را انتخاب کردید

Ali2021@1366

این نوع پسورد ها قابل ساختن و حمله هست از طریق دیکشنری اتک یعنی نفوذگر میاد یه نمونه رو آماده میکنه شامل 1000 پسورد و فقط کافیه حالت های اونو تغییر بده :

Ali2021@1366
Ali2021@1369
Ali2021@1370
1370@ali2021
ali@2021
ali@21366
Ali@2020
....

اگر از این حالت نتیجه نگیره میره دنبال pure bruteforce که از 0-9 A-Z و تمامی علائم دونه به دونه از 1 گراکتر تا الی اخر پیش میره تا به پسورد شما برسه این نوع حمله بسته به سرعت اینترنت و سیستم و تعداد کارکتری که شما گذاشتین زمانش مشخص میشه بطور مثال شما اگر پسورد 6 کارکتری بزارین خوب نفوذگر با یه اینترنت پر سرعت میتونه ظرف مدت 1 ماه پسوردتونو بزنه حتی با سخترین حالت
پس بنابراین تا اینجا فقط سختی پسورد مهم نیست بلکه طول اون هم مهمه اگر شما 10 کارکتر بزارین چندین سال باید زمان بزاره تا پسوردتونو بزنه تازه اگر نتونه اونو حدس بزنه !

یک وبسایتو در نظر بگیرید با یوزر admin و پسورد $5FS&6G تعداد کاراکتر کمه حدس اون مشکله ولی زمان بزاره هکر اونو بدست میاره ... چون کاراکتر کمه
در مورد ایمیل هم همینطوره اینکه یوزر و پسورد بروت فورس بشه الگوریتم های بای پس متعددی برای جلوگیری از بلاک شدن ip هکر وجود داره بطور مثال سالها قبل از طریق smtp که امتیازاتی رو برای برنامه نویس ها فراهم میکرد هکر میتونست بینهایت کاراکتر بروت فورس کنه تا پسوردو بدست بیاره ، در صورتی که ip هم بلاک بشه میتونه از پروکسی لیست استفاده کنه تا جلوی محدودیت لاگین روی ip رو بگیره .

همه اینا رو گفتم تا از پسورد سخت به همراه کارکتر زیاد استفاده کنید تا اگر هکری به سراغتون اومد حالا حالا ها درگیر باشه و پیشنهاد میکنم هر چند وقت یکبار حتما پسوردتونو عوض کنید .

ابزارهایی همانند hydra و namp و... امکان حمله بروت فورس به سامانه های مختلفو به هکر ها میده بطور مثال در مثال زیر از طریق ابزار nmap سرویس ssh یک وبسایت مورد بروت فورس قرار میگیره :

nmap -p 22 --script ssh-brute --script-args userdb=users.lst,passdb=pass.lst \

و یا به واسطه ابزار hydra نفوذگر پسورد gmail رو بروت میزنه

hydra -l ********@gmail.com -P passwords.txt -s 465 -S -v -V -t 4 smtp.gmail.com smtp

با ما همراه باشین تا بریم سراغ بقیه داستان...

[SafeMaster]

ابزارهای متعددی تا به امروز برای حملات دیشکنری و بروت فورس به اکانت های شبکه های اجتماعی و ایمیل ها ایجاد شده است ، برخی برای بهبود امنیت فرآیند حملات بروت فورس را محدود می سازند بطور مثال با سه بار پسورد اشتباه باید مدت زمانی صبر کنید تا دوباره وارد شوید و یا اینکه پس از چندین بار تلاش ناموفق ip نفوذگر بلاک میشود برای این حالات معمولا نفوذگر ها از یک لیست پ و ر و کسی استفاده میکنند تا اگر زمانی بلاک شدند به سرعت ip جدید وارد عمل شود و پسورد لیست را بررسی نماید در لینک های زیر به چندین ابزار برای بروت فورس سرویس های ایمیل اشاره میکنیم :

https://github.com/0xfff0800/Brute-force-gmail

https://github.com/Matrix07ksa/Brute_Force

https://github.com/DEMON1A/GmailBruterV2

https://github.com/Ha3MrX/Gemail-Hack

https://kalilinuxtutorials.com/brute-force-gmail-hotmail-twitter-facebook-netflix

ابزار هایی همانند ncrack , hydra در کالی لینوکس برای این حملات کمک شایانی به نفوذگر میکنند .
همیش از پسورد دو مرحله ای برای اکانت های خود استفاده کنید تا اگر نفوذگر پسورد شما را بدست آورد باز هم برای رسیدن به داده های داخل ایمیل نیاز به بای پس داشته باشد و عملا سد راه او شوید .

با تشکر منتظر آموزش های ما باشید .

[SafeMaster]

Bait and switch | طعمه و سوئیچ

طعمه و سوئیچ

با استفاده از روش هک کردن طعمه و سوئیچ ، یک مهاجم می تواند فضاهای تبلیغاتی را در وب سایت ها خریداری کند. بعداً ، هنگامی که یک کاربر بر روی تبلیغ کلیک می کند ، ممکن است به صفحه ای آلوده به بدافزار هدایت شود. به این ترتیب ، آنها می توانند بدافزارها یا نرم افزارهای مخرب را بیشتر در رایانه شما نصب کنند. تبلیغات و پیوندهای بارگیری نشان داده شده در این روش بسیار جذاب هستند و انتظار می رود کاربران در آخر روی همان کلیک کنند.

هکر می تواند یک برنامه مخرب را اجرا کند که به نظر کاربر معتبر است. به این ترتیب ، پس از نصب برنامه مخرب بر روی رایانه ، هکر دسترسی غیرمجاز به رایانه شما پیدا می کند.

قبل از هر چیز معنی این کلماتو درک کنیم :

"طعمه" در یک طعمه و سوئیچ می تواند یک محصول یا خدمات فیزیکی تبلیغ شده باشد که دارای قیمت یا شرایط قابل توجهی است. همچنین در مورد وام مسکن ، وام یا کالای سرمایه گذاری می تواند به شکل نرخ بهره باشد. هنگامی که مشتری برای جویا شدن در مورد قیمت یا نرخ تبلیغاتی وارد فروشگاه یا دفتر می شود ، تبلیغ کننده تلاش می کند کالای گران تری را که "سوئیچ" است به مشتری بفروشد. خیلی آشناست .... عع همه ایرانیای عزیزمون اینکاره ان که طرف یه کالایی رو با شرایط استثنایی تبلیغ میکنه میری برای معامله میبینی نه بابا ازین خبرا نیست طرف خواسته بیارت پای معالمه با قیمت 10 برابر بیشتر . هکرها پیوندی بی خطر را جایگزین تبلیغ می کنند که بعداً می تواند برای بارگیری بدافزار یا قفل مرورگر یا به خطر انداختن سیستم های هدف استفاده شود.

تاکتیکهای طعمه و سوئیچ ، به عنوان نوعی تبلیغات کاذب ، ممکن است در بسیاری از کشورها از جمله ایالات متحده ، انگلیس و کانادا مورد پیگرد قانونی قرار گیرد. با این حال ، هر چقدر تبلیغ کننده در تلاش برای جلب مشتری بالقوه به کالای گران تری باشد ، اگر بتواند محصول تیزر تبلیغ شده را بفروشد ، هیچ اقدامی برای مصرف کننده وجود ندارد.


SEO کلاه سیاه

اگر بخواهید "دانلود بازی ها" را در گوگل سرچ کنید ، "bitcoin" و "polish bank" را در صفحه اول Google پیدا خواهید کرد. با این حال ، ممکن است برای برخی افراد تعجب آور باشد که هیچ یک از آنها وب سایتی در زمینه بازی نیستند.تبلیغات طعمه و سوئیچ یک استراتژی ایجاد پیوند است که شامل بهینه سازی یک وب سایت به روشی است که لینک ها ، بازدیدها و اشتراک ها را به خود جلب کند و پس از دستیابی به اقتدار کافی ، تغییر در کل هدف وب سایت انجام می شود. طعمه و سوئیچ به طور کلی در خارج از SEO غیرقانونی است - و هنگامی که به عنوان بخشی از یک فعالیت SEO استفاده می شود ، هرزنامه محسوب می شود ، نیازی به ذکر نیست که غیراخلاقی است.

در هر استراتژی طعمه و سوئیچ ، از دو وب سایت به طور معمول استفاده می شود - یک وب سایت بهینه شده و یک وب سایت "معمولی". وب سایت بهینه شده برای کلمات کلیدی رتبه بندی شده است که لزوماً مربوط به تجارت شرکت نیستند ، اما در عوض کلمات کلیدی هستند که رقابت کمی دارند - کلمات کلیدی غلط. با استفاده از کلمات کلیدی که سایر مشاغل از آن استفاده نمی کنند ، با اینکار ایجاد ترافیک هدفمند برای وب سایت بهینه شده آسان تر می شود. هنگامی که وب سایت بهینه سازی شده به اندازه کافی در الگوریتم Google رتبه بندی می شود ، سپس با وب سایت "معمولی" جایگزین می شود .

طعمه و سوئیچ به عنوان یک تاکتیک SEO کلاه سیاه دسته بندی می شود. بیشتر موتورهای جستجو الگوریتم های خود را تغییر داده اند تا تاکتیک هایی از این قبیل را از بین ببرند - بنابراین اگرچه این استراتژی ممکن است به طور موقت به ایجاد ترافیک برای سایت شما کمک کند ، اما برای همیشه دوام نخواهد داشت. رتبه بندی موتور جستجوگر وب سایت شما در نهایت کاهش می یابد. سئوکاران کلاه سیاه برای استفاده از این روش یک محتوای ارزشمند تولید میکنند تا رتبه بالایی در موتورهای جستجو از جمله گوگل پیدا کنند. سپس به صورت زیرکانه محتوای صفحه را تغییر میدهند و در آن به فروش محصولات و خدمات خود میپردازند. در واقع آنها دامی پهن کردهاند که به واسطه آن بتوانند، محصولات و خدمات خود را بفروشند.


به دنبال کرک یک نرم افزار ارزشمند هستید در گو.گل سرچ میکنید چندین وبسایت صفحاتی مبتنی بر دانلود کرک رایگان همان ابزار برای شما گذاشته اند دانلود میکنید نصب میکنید اتفاقی نمیافتد !
شما طعمه هستید نرم افزار جعلی بود و سیستم شما آلوده به نرم افزاری شده که برای هدف هکر طراحی شده در بهترین حالت برای استفاده در تبلیغات کاذب میباشد مرورگر شما شروع به باز کردن صفحاتی میکند که از کنترل شما خارج است . برخی سریعا برای رفع آن اقدام میکنند ولی برخی به همین منوال پیش میروند و مرورگر در یک بازنه زمانی شروع به باز کردن سایتهای طرف قرار داد تبلیغات خود میکند و شما فقط یک طعمه هستید تا در ثروتمند شدن نفوذگر یک مهره باشید .

امیدوارم استفاده کرده باشین منتظر آموزش های بعدی باشید.

[SafeMaster]

حدس زدن و بازنشانی رمز عبور

این یکی دیگر از تکنیک های مهندسی اجتماعی است که توسط هکرهای ایمیل استفاده می شود. اگر در حال یادگیری نحوه هک کردن حساب های ایمیل هستید ، نباید نگران تکنیک حدس / بازنشانی رمز عبور باشید. استفاده از این روش برای دسترسی به صندوق های پستی افرادی که شما آنها را نسبت به غریبه ها می شناسید آسان تر است. این روش شامل دستکاری ذهن قربانی هدف برای کشف و کشف اطلاعات شخصی وی است.

حدس زدن و تنظیم مجدد رمز عبور به قدرت تفکر بی عیب و نقص و مهارت های اجتماعی نیاز دارد ، بنابراین نیاز به شناختن قربانی مورد نظر به میزان قابل توجهی است. اغلب ، هکرهایی که از این روش استفاده می کنند اعضای نزدیک خانواده ، دوستان یا همکاران هستند. چنین افرادی دانش قابل توجهی در مورد شما دارند ، از جمله سرگرمی ها ، تاریخ تولد و سایر مشخصات شخصی شما. بنابراین ، برای آنها راحت تر است که رمز ورود ایمیل شما ، و به ویژه سوال امنیتی را کشف کنند.

شخصی را در نظر میگیریم غیر از اطلاعات فردی همانند شماره شناسنامه ، تلفن و تاریخ تولد چه مورد های میتواند بر روی ساخت پسورد او اثر بگذارد ؟

اسم حیوان خانگی ، اسم دوست ، غذای مورد علاقه ، رنگ ، خواننده مورد علاقه ، شماره کارت بانکی ، اعداد ذهنی

پسورد هایی که در سایتهای مختلف استفاده میکنید روزی بر ضد خود شما استفاده میشوند ، سایت یک بازی آنلاین ، یا شبکه اجتماعی و .... پسورد شما در معرض خطر است ، با نگاهی به سایت زیر مفهوم در خطر بودن پسورد را متوجه خواهید شد . این وبسایت یک دیتابیس جامع از سایتهای هک شده است و وقتی شما ایمیل خود را به او میدهدی در دیتابیس خود جستجو میکند در تمام سایتهایی که امکان عضویت شما در ان وجود داشته ، در نهایت در صورت وجود پسورد هایی که برای اکانت ها و سایت های مختلف درست کرده بودید به شما نمایش داده میشود .

https://scatteredsecrets.com

اگر پسورد های تکراری استفاده میکنید یک هکر می تواند تنها با جستجو در دیتابیس های هک شده و پیدا کردن پسورد های تکراری شما به تمامی اکانت هایتان دسترسی پیدا کند.

ادامه دارد ...

[SafeMaster]

جعل ایمیل | email spoofing

جعل ایمیل نوعی حمله سایبری است که در آن یک هکر ایمیلی را می فرستد که دستکاری شده است و به نظر می رسد از یک منبع معتبر سرچشمه گرفته است. کلاهبرداری از طریق ایمیل روش رایجی است که در کمپین های فیشینگ و هرزنامه استفاده می شود ، زیرا افراد وقتی فکر می کنند نامه توسط یک فرستنده شناخته شده ارسال شده است ، بیشتر باز می کنند. هدف از کلاهبرداری از طریق ایمیل ، فریب گیرندگان برای باز کردن یا پاسخ دادن به پیام است.

چرا جعل ایمیل مهم است
اگرچه اکثر ایمیل های جعلی به راحتی قابل شناسایی هستند و با حذف ساده پیام می توانند برطرف شوند ، اما برخی از انواع مختلف می توانند مشکلات جدی ایجاد کنند و خطرات امنیتی را ایجاد کنند. به عنوان مثال ، یک ایمیل جعلی ممکن است وانمود کند که از یک وب سایت معروف خرید است و از گیرنده می خواهد داده های حساس مانند رمز عبور یا شماره کارت اعتباری را ارائه دهد.

متناوباً ، یک ایمیل جعلی ممکن است شامل پیوندی باشد که در صورت کلیک ، بدافزار را بر روی دستگاه کاربر نصب می کند. یک مثال متداول برای مصالحه با ایمیل تجارت (BEC) شامل جعل ایمیل های مدیر اجرایی (مدیر عامل) یا مدیر مالی (CFO) یک شرکت است که درخواست انتقال سیم یا اعتبار دسترسی به سیستم داخلی را دارد.

دلایل جعل ایمیل
به دلایل زیر ، مهاجمان علاوه بر فیشینگ از ایمیل جعلی استفاده می کنند:

هویت واقعی فرستنده جعلی را پنهان کنید.
فیلترهای هرزنامه و لیست های بلوک را دور بزنید. کاربران می توانند با ایجاد بلاک در آدرس دهی ارائه دهندگان خدمات اینترنت (ISP) و پروتکل اینترنت (IP) این تهدید را به حداقل برسانند.
وانمود کنید که یک فرد مورد اعتماد - یک همکار یا یک دوست - هستید تا اطلاعات محرمانه را بیرون بیاورد.
وانمود کنید که یک سازمان قابل اعتماد است - برای مثال ، خود را به عنوان یک شرکت مالی برای دسترسی به داده های کارت اعتباری معرفی کنید.
با جعل هویت از یک قربانی هدفمند و درخواست اطلاعات قابل شناسایی شخصی (PII) ، اقدام به سرقت هویت کنید.
به اعتبار فرستنده آسیب برساند.
بدافزار مخفی در پیوست ها را راه اندازی و پخش کنید.
حمله ای در میانه راه (MitM) را برای به دست آوردن اطلاعات حساس از افراد و سازمان ها انجام دهید.
به اطلاعات حساس جمع آوری شده توسط فروشندگان شخص ثالث دسترسی پیدا کنید.
چه تفاوتی بین فیشینگ ، کلاهبرداری و جعل هویت دامنه وجود دارد؟
مجرمان اینترنتی معمولاً از کلاهبرداری به عنوان بخشی از حمله فیشینگ استفاده می کنند. فیشینگ روشی است که برای بدست آوردن داده ها از طریق جعل آدرس ایمیل و ارسال ایمیلی استفاده می شود که به نظر می رسد از منبع معتبری می آید که می تواند به طرز منطقی چنین اطلاعاتی را درخواست کند. هدف این است که قربانیان بر روی پیوند کلیک کنند یا پیوستی را که بدافزار را روی سیستم آنها نصب می کند بارگیری کنند.

کلاهبرداری همچنین مربوط به جعل هویت دامنه است که در آن از یک آدرس ایمیل مشابه آدرس ایمیل دیگر استفاده می شود. در جعل هویت دامنه ، یک ایمیل ممکن است از آدرسی مانند [email protected] ارسال شود ، در حالی که ، در یک حمله جعلی ، آدرس ارسال کننده جعلی ظاهری واقعی دارد ، مانند [email protected].

نحوه جعل ایمیل
جعل ایمیل از طریق سرور ساده پروتکل انتقال ایمیل (SMTP) و بستر ایمیل مشترک مانند Outlook یا Gmail به راحتی قابل دستیابی است. هنگامی که یک پیام ایمیل تشکیل می شود ، کلاهبردار می تواند زمینه هایی را که در سربرگ پیام یافت می شود مانند آدرس FROM ، REPLY-TO و RETURN-PATH جعل کند. وقتی گیرنده ایمیل را دریافت می کند ، به نظر می رسد از آدرس جعلی آمده است.

این امکان پذیر است زیرا SMTP راهی برای تأیید اعتبار آدرسها ارائه نمی دهد. اگرچه پروتکل ها و روش هایی برای مقابله با کلاهبرداری از طریق ایمیل ساخته شده است ، اما پذیرش این روش ها کند بوده است.

چگونه تشخیص دهیم که ایمیلی جعل شده است ?
اگر به نظر نمی رسد ایمیل جعلی برای کاربران مشکوک باشد ، احتمالاً شناسایی نخواهد شد. با این حال ، اگر کاربران احساس کنند اشتباهی رخ داده است ، می توانند کد منبع ایمیل را باز و بازرسی کنند. در اینجا ، گیرندگان می توانند آدرس IP اصلی ایمیل را پیدا کرده و آن را به فرستنده واقعی ردیابی کنند. کاربران همچنین می توانند تأیید کنند که آیا پیامی از چک سیاست چارچوب فرستنده (SPF) عبور کرده است یا خیر. SPF یک پروتکل احراز هویت است که در بسیاری از سیستم عامل های ایمیل و محصولات امنیتی ایمیل موجود است. بسته به تنظیمات ایمیل کاربران ، پیام هایی که به عنوان "شکست نرم" طبقه بندی می شوند ممکن است همچنان در صندوق ورودی آنها وارد شوند. یک نتیجه شکست نرم اغلب می تواند به یک فرستنده نامشروع اشاره کند.

9 بهترین راه برای جلوگیری از جعل ایمیل
کاربران و مشاغل می توانند از طرق مختلف از دسترسی spoof های ایمیل به سیستم های خود جلوگیری کنند.

1. یک درگاه امنیتی ایمیل ایجاد کنید
دروازه های امنیت ایمیل با مسدود کردن ایمیل های ورودی و خروجی که عناصر مشکوکی دارند یا با سیاست های امنیتی که یک کسب و کار اعمال می کند مطابقت ندارند ، از مشاغل محافظت می کنند. برخی از دروازه ها توابع اضافی را ارائه می دهند ، اما همه می توانند بیشتر بدافزارها ، هرزنامه ها و حملات فیشینگ را تشخیص دهند.

2. از نرم افزار ضد بد افزار استفاده کنید
برنامه های نرم افزاری می توانند وب سایت های مشکوک را شناسایی و مسدود کنند ، حملات جعلی را شناسایی کرده و ایمیل های جعلی را قبل از رسیدن به صندوق های ورودی کاربر متوقف کنند.

3. برای محافظت از ایمیل ها از رمزگذاری استفاده کنید
یک گواهی امضای ایمیل ایمیل ها را رمزگذاری می کند ، فقط به گیرنده مورد نظر اجازه دسترسی به محتوا را می دهد. در رمزگذاری نامتقارن ، یک کلید عمومی ایمیل را رمزگذاری می کند و یک کلید خصوصی متعلق به گیرنده ، پیام را رمزگشایی می کند. یک امضای دیجیتالی اضافی می تواند گیرنده را از معتبر بودن فرستنده اطمینان دهد. در محیط های فاقد رمزگذاری گسترده ، کاربران می توانند رمزگذاری پیوست های ایمیل را یاد بگیرند.

4- از پروتکل های امنیتی ایمیل استفاده کنید
پروتکل های امنیتی ایمیل زیرساختی با استفاده از احراز هویت دامنه می توانند تهدیدات و هرزنامه ها را کاهش دهند. علاوه بر SMTP و SPF ، مشاغل می توانند از DomainKeys Identified Mail (DKIM) برای ایجاد لایه امنیتی دیگری با امضای دیجیتال استفاده کنند. تأیید اعتبار ، گزارشگری و انطباق پیام مبتنی بر دامنه (DMARC) نیز می تواند برای تعریف اقداماتی که باید در هنگام خرابی پیام ها تحت SPF و DKIM انجام شوند ، پیاده سازی شود.

5- برای احراز هویت فرستنده ها از جستجوی IP معکوس استفاده کنید
جستجوی معکوس IP تأیید کننده ارسال کننده واقعی است و منبع ایمیل را با شناسایی نام دامنه مرتبط با آدرس IP تأیید می کند.

صاحبان وب سایت همچنین می توانند یک سیستم ثبت نام دامنه (DNS) را بیان کنند که می گوید چه کسی می تواند از طرف دامنه خود ایمیل ارسال کند. پیام ها قبل از بارگیری متن ایمیل بازرسی می شوند و می توانند قبل از آسیب رساندن رد شوند.

6. کارمندان را در آگاهی سایبری آموزش دهید
علاوه بر اقدامات ضد تقلب مبتنی بر نرم افزار ، مشاغل باید احتیاط کاربر را تشویق کنند ، و به کارکنان در مورد امنیت سایبری و نحوه شناخت عناصر مشکوک و محافظت از خود آموزش دهند. برنامه های آموزشی ساده می توانند کاربران را به نمونه های جعل ایمیل مجهز کرده و به آنها توانایی ردیابی و مدیریت تاکتیک های جعل ، همراه با روش هایی را که باید در هنگام کشف یک جعل کلاهبرداری دنبال کنند ، می دهند. آموزش باید مداوم باشد تا بتوان مواد و روشها را با بروز تهدیدهای جدید به روز کرد.

7. مراقب آدرس های ایمیل جعلی احتمالی باشید
آدرس های ایمیل که کاربران با آنها ارتباط برقرار می کنند اغلب قابل پیش بینی و آشنا هستند. افراد می توانند یاد بگیرند که قبل از تعامل با ایمیل ، مراقب آدرس های ایمیل ناشناخته یا عجیب و غریب بوده و منبع ایمیل را تأیید کنند. مهاجمان اغلب چندین بار از یک روش استفاده می کنند ، بنابراین کاربران باید هوشیار باشند.

8- هرگز اطلاعات شخصی خود را اعلام نکنید
در بسیاری از موقعیت ها ، حتی اگر ایمیل های جعلی وارد صندوق ورودی شوند ، فقط در صورت پاسخ کاربر با اطلاعات شخصی ، آسیب واقعی به آنها وارد می شود. با در نظر گرفتن یک عمل معمول که هرگز اطلاعات شخصی را در ایمیل ها منتشر نمی کند ، کاربران می توانند تأثیرات جعل ایمیل را به میزان قابل توجهی محدود کنند.

9. از پیوست های عجیب یا پیوندهای ناشناخته خودداری کنید
همچنین کاربران باید از پیوست ها و پیوندهای مشکوک جلوگیری کنند. به عنوان یک بهترین روش ، آنها می توانند قبل از شروع به کار و باز کردن پیوند یا پیوست ، هر عنصر یک ایمیل را بررسی کنند ، به دنبال علائم قابل شنیدن مانند غلط املایی و پسوند فایل های ناآشنا باشند.

تهدیدات رایج رایانامه دیگر شامل تحویل بدافزار ، فیشینگ و جعل دامنه است.

[SafeMaster]

در ادامه به معرفی یک ابزار در جهت مشاهده این حملات می پردازیم :

اسپوفر
espoofer ابزاری تست منبع باز برای دور زدن احراز هویت SPF ، DKIM و DMARC در سیستم های ایمیل است. این ابزار به مدیران سرور پست الکترونیکی و آزمایش کنندگان نفوذ کمک می کند تا بررسی کنند آیا سرور ایمیل و مشتری هدف در برابر حملات جعل ایمیل آسیب پذیر هستند یا می توانند برای ارسال ایمیل های جعلی از آنها سواستفاده استفاده کنند.

چرا این ابزار ساخته شده است؟
کلاهبرداری از طریق ایمیل تهدید بزرگی برای افراد و سازمان ها است (یاهو نقض ، جان پادستا). برای رفع این مشکل ، سرویس های ایمیل و وب سایت های مدرن از پروتکل های احراز هویت - SPF ، DKIM و DMARC - استفاده می کنند تا از جعل ایمیل جلوگیری کنند.

آخرین تحقیقات ما نشان می دهد که اجرای آن پروتکل ها با تعدادی از مسائل امنیتی روبرو است که می تواند برای دور زدن محافظت های SPF / DKIM / DMARC مورد سو استفاده قرار گیرد. شکل 1 یکی از حملات جعلی ما را برای دور زدن DKIM و DMARC در Gmail نشان می دهد. برای جزئیات بیشتر فنی ، لطفاً به مقاله Black Hat USA 2020 یا مقاله USENIX Security 2020 مراجعه کنید.

اسلایدهای Black Hat USA 2020 (PDF) 18 حمله به احراز هویت ارسال کننده ایمیل
مقاله USENIX Security 2020 (PDF): Composition Kills: مطالعه موردی احراز هویت ارسال کننده ایمیل
برنده جایزه بهترین مقاله
در این نسخه آزمایشی ، ما تمام موارد آزمایشی را که یافته ایم خلاصه می کنیم و آنها را در این ابزار ادغام می کنیم تا به مدیران و محقققان امنیتی کمک کنیم تا سریعاً چنین موارد امنیتی را شناسایی و مکان یابی کنند.

نصب و راه اندازی

Download this tool
git clone https://github.com/chenjj/espoofer
Install dependencies
sudo pip3 install -r requirements.txt
Python version: Python 3 (>=3.7).

استفاده
espoofer دارای سه حالت کار است: سرور ('s' ، حالت پیش فرض) ، کلاینت ('c') و دستی ('m'). در حالت سرور ، اسپوفر مانند یک سرور نامه کار می کند تا اعتبار سنجی را در دریافت خدمات آزمایش کند. در حالت سرویس گیرنده ، espoofer به عنوان سرویس گیرنده ایمیل کار می کند تا اعتبار سنجی را در ارسال خدمات آزمایش کند. از حالت دستی برای اهداف رفع اشکال استفاده می شود.

حالت سرور
برای اجرای اسپوفر در حالت سرور ، باید: 1) یک آدرس IP (1.2.3.4) ، که پورت خروجی 25 توسط ISP مسدود نشده است ، و 2) یک دامنه (حمله دات کام).

پیکربندی دامنه
کلید عمومی DKIM را برای attack.com تنظیم کنید

selector._domainkey.attacker.com TXT  "v=DKIM1; k=rsa; t=y; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDNjwdrmp/gcbKLaGQfRZk+LJ6XOWuQXkAOa/lI1En4t4sLuWiKiL6hACqMrsKQ8XfgqN76mmx4CHWn2VqVewFh7QTvshGLywWwrAJZdQ4KTlfR/2EwAlrItndijOfr2tpZRgP0nTY6saktkhQdwrk3U0SZmG7U8L9IPj7ZwPKGvQIDAQAB"

رکورد SPF را برای attack.com تنظیم کنید

attack.com TXT "v=spf1 ip4:1.2.3.4 +all"

ابزار را در config.py پیکربندی کنید

config ={
"attacker_site": b"attack.com", # attack.com
"legitimate_site_address": b"[email protected]", # legitimate.com
"victim_address": b"[email protected]", # [email protected]
"case_id": b"server_a1", # server_a1
}

با استفاده از گزینه -l می توانید case_id همه موارد آزمایشی را پیدا کنید:

python3 espoofer.py -l

این ابزار را برای ارسال ایمیل جعلی اجرا کنید:

python3 espoofer.py

برای آزمایش موارد مختلف می توانید case_id را در قسمت config.py یا گزینه -id در خط فرمان تغییر دهید:

python3 espoofer.py -id server_a1

حالت کلاینت
برای اجرای epsoofer در حالت کلاینت ، باید یک حساب کاربری در سرویس های ایمیل هدف داشته باشید. این حمله از عدم موفقیت برخی سرویس های ایمیل در انجام اعتبار سنجی کافی ایمیل های دریافت شده از MUA محلی سوits استفاده می کند. به عنوان مثال ، [email protected] سعی می کند [email protected] را جعل کند.

ابزار را در config.py پیکربندی کنید

config ={
"legitimate_site_address": b"[email protected]",
"victim_address": b"[email protected]",
"case_id": b"client_a1",

"client_mode": {
"sending_server": ("smtp.gmail.com", 587), # SMTP sending serve ip and port
"username": b"[email protected]", # Your account username and password
"password": b"your_passward_here",
},
}

با استفاده از گزینه -l می توانید case_id همه موارد آزمایشی را پیدا کنید:

python3 espoofer.py -l

توجه: ارسال_سرور باید آدرس سرور ارسال کننده SMTP باشد ، نه آدرس سرور گیرنده.

این ابزار را برای ارسال ایمیل جعلی اجرا کنید

python3 espoofer.py -m c

می توانید case_id را در config.py تغییر دهید و دوباره اجرا کنید ، یا می توانید از گزینه -id در خط فرمان استفاده کنید:

python3 espoofer.py -m c -id client_a1

حالت دستی
در اینجا مثالی از حالت دستی آورده شده است:

python3 espoofer.py -m m -helo attack.com -mfrom <[email protected]> -rcptto <[email protected]> -data raw_msg_here -ip 127.0.0.1 -port 25

مروری کوتاه بر موارد آزمایشی.

دریافت ابزار :

https://github.com/chenjj/espoofer

[SafeMaster]

سلام عزیزان در ادامه خدمت شما هستیم با مقاله ای راجب هک کردن اکانت های تلگرام به واسطه ابزار های جاسوسی این تاپیک ادامه دارد تا روش های معمول نیز بررسی شود :

، Telegram یک پیام رسان محبوب و راحت است که مردم از طریق آن پیام می فرستند و دریافت می کنند. در تاریخ راه اندازی ، شرکت مادر ادعا کرد که برنامه پیام رسان غیرقابل کنترل و از امنیت بالایی برخوردار است و فکر نمی کنم این ادعا تا به امروز دروغ بوده باشد. حتی تا این لحظه که این نوشته منتشر می شود ، هک شدن حساب کاربری تلگرام اساساً یک کابوس است.

با داشتن ویژگی های بسیار ایمن همراه با این برنامه پیام رسان ، جای تعجب نیست که می توانید آن را به عنوان بخشی از برنامه هایی که امروزه در تلفن های هوشمند نسل جوان با آن روبرو خواهید شد ، پیدا کنید. حتی بیشتر بزرگسالان به دلیل ماهیت ایمن تلگرام از آن استفاده می کنند زیرا بیشتر مکالمات مخفیانه به سمت آن سوق یافته است. در حالی که برنامه های پیام رسان رقیب مانند مسنجر و واتساپ در تلاشند تا از ویژگی مکالمه مخفی استفاده کنند ، تلگرام سالهای نوری پیش رو دارد. یکی از نقاط (های) فروش استفاده از تلگرام مرکزیت حساب شماست. پس از ایجاد یک حساب کاربری با شماره تلفن شما ، یک فضای ذخیره سازی ابری گسترده باز می شود و تمام مکالمه هایی که تاکنون با یک مخاطب داشته اید را دست نخورده نگه می دارد حتی اگر مجبور باشید دوباره برنامه را نصب کنید.

نحوه دسترسی به تلگرام شخصی
هک شدن حساب کاربری تلگرام کاری برای بچه ها نیست. اگر یک هکر برتر نباشید و سالها تجربه فضای مجازی هم داشته باشید ، قادر به انجام آن نخواهید بود. اگرچه برنامه ها و سرویس های زیادی وجود دارد که دسترسی شما را فراهم می کند ، اما اکثر آنها جعلی هستند.

هر کاری که هک حساب می خواهد از آن اجتناب کند ، نیاز به ریشه یا جیلبریک دستگاه مورد نظر است و این کاری است که اکثر برنامه های جاسوسی موجود در اینترنت انجام می دهند. به یاد می آورم که وقتی با اولین تلفن هوشمند اندرویدی خود ور می رفتم. برای استفاده از نسخه های جدیدتر برنامه های مورد علاقه خود ، مجبور شدم دستگاه را روت کنم. از ویژگی ها و گزینه های جدیدی که با روت شدن داشتم لذت بردم. اما در پایان ، دستگاه من غیر قابل استفاده شد ، با وجود تمام بازدیدهای منظم من از مرکز های مهندسی، دستگاه دوباره روشن نشد.

چگونه می توانم پیام شخصی تلگرام شخصی را بدون اطلاع وی هک کنم

جهان ، همانطور که امروزه آن را می شناسیم ، مکانی اجتماعی است و همه ما می خواهیم بدانیم آخرین موضوع مورد علاقه چیست. با فناوری که شیوه معاشرت و برقراری ارتباط بنیادی را تغییر می دهد ، وقتی می توانیم به راحتی با عزیزانمان در اقیانوس ها صحبت کنیم ، نفس راحتی می کشد. چرا که موجودات اجتماعی هستیم ، پس چرا باید نگران باشیم که بچه ها و عزیزان ما در وهله اول در سیستم عامل های شبکه های اجتماعی هستند؟ چه نیازی به پیگیری و هک پیام های تلگرامی آنها است؟

خوب ، ممکن است فقط اینطور به نظر برسد که آنها فقط از غریزه طبیعی خود برای معاشرت اطاعت می کنند اما موارد بدرفتاری زیادی در حال حاضر در فضاهای رسانه های اجتماعی پخش می شود و این نگرانی والدین را بیشتر میکند. اگر فرزند شما به دروغگویی روی آورده ، چگونه می توانید اطمینان داشته باشید که وی با مسئولیت پذیری از بستر پیام رسانی استفاده می کند؟

سناریوی دیگر ممکن است این باشد که شما یک کارفرما هستید و کارمندی دارید که کاملاً به او اعتماد ندارید یا حتی شریکی که به وفاداری شخص مهم دیگر خود اعتقاد ندارد. اگر کارفرما هستید ، باید اطمینان حاصل کنید که اطلاعات مهم شرکت به دست رقیب نیافتد یا رابطه زناشویی زن متاهل شما نشت نمی کند. شما باید اطمینان حاصل کنید که شوهر شما با زن دیگری شما را فریب نمی دهد. متاسفانه بیشتر اقدام های نفوذ در چند وقت اخیر در کشور ایران بر پایه حس خیانت و عدم اعتماد به شریک زندگی انجام میپذیرد .

با این وجود عدم اطمینان به هک شدن حساب کاربری تلگرام ، نیازی به نگرانی ندارد و در نهایت هکر به یک برنامه جاسوسی پرهزینه و منسوخ متوسل می شود .

با پیشرفت سریع علم و فناوری ، تمام آنچه شما باید انجام دهید این است که قدرت نرم افزار جاسوسی را برای ردیابی تمام پیامهای رد و بدل شده در تلگرام بهینه کنید. دیگر منتظر نخواهید بود تا قبل از اینکه بتوانید گپ هایشان را ببینید ، تلفنشان را بدون نظارت رها کنند. تنها کاری که باید انجام شود نصب ابزار جاسوسی است (برای دستگاههای Android - برای کاربران iOS بسیار متفاوت است) و جاسوسی از آنها استفاده کنید. برای انجام این کار نیازی نیست که یک هکر سطح یک باشید. نرم افزار جاسوسی کار را برای شما کامل کرده و پیام ها را هنگام رد و بدل شدن ، در زمان واقعی ، به داشبورد آنلاین شما ارسال می کند.

نحوه جاسوسی در تلگرام شخصی
در شروع نوشتن در مورد بهترین برنامه های جاسوسی که می توانید بدون آسیب رساندن به دستگاه یا هدف خود استفاده کنید ، چند عامل در نظر گرفته شده است. بسیاری از نرم افزارهای جاسوسی فقط كلیکی و ویروسهای مخربی هستند كه به دنبال جمع آوری اطلاعاتی درباره شما و دستگاه شما هستند و به همین دلیل است كه ما همیشه به شما خوانندگان خود توصیه می كنیم كه مراقب باشید از كجا نرم افزار را انتخاب می كنید.

نحوه رهگیری پیام های تلگرام شخصی
برنامه های جاسوسی با آنچه در گذشته بوده اند فاصله زیادی داشته اند. اکنون ، شما می توانید تعداد متنوعی از عملکردها را انجام دهید و بدون اینکه عرق کنید ، کارهای خاصی را با آنها انجام دهید. برخی از ویژگی های جدیدی که با یک برنامه جاسوسی جدید و بهتر بهبود یافته مانند Flexispy ارائه می شوند:

سازگار با سیستم عامل های مختلف از جمله iOS ، Android ، Mac OS و Windows.
در صورت استفاده از دستگاه های متعلق به شرکت ، می توانید موقعیت مکانی عزیزان و حتی کارمندان خود را ردیابی کنید.
با هر مرورگر وب قابل دسترسی است.
در حین حرکت و شبانه روز پشتیبانی چندزبانه دریافت کنید.
از نوجوان و کارمندان کنجکاو خود محافظت و نظارت کنید بدون اینکه آنها احساس کنند "تحت نظر" هستند.
چگونه پیام های تلگرام شخصی را بخوانیم
با روشی که برنامه های جاسوسی برای استفاده در زمان کنونی ما طراحی شده اند ، استفاده از آنها تقریباً بی فایده است. تمام کاری که شما باید انجام دهید این است که قبل از پیگیری هدف خود ، چند مرحله را دنبال کنید. طولی نمی کشد که شما شروع به کار می کنید. تمام آنچه شما نیاز دارید یک آدرس ایمیل معتبر است .

قبل از شروع نصب مطمئن شوید دستگاه Android یا iOS که می خواهید ردیابی کنید سازگار است. توجه داشته باشید که دستگاههای iOS قبل از اینکه بتوانید هدف خود را جاسوسی کنید نیازی به نصب فیزیکی ندارند. برای شروع کار فقط لازم است مدارک iCloud آنها را تهیه کنید.
نصب از دو ثانیه بیشتر طول نمی کشد ، زیرا برنامه ها همیشه در اندازه فضای ذخیره سازی کوچک هستند. چند دقیقه وقت بگذارید تا تمام اطلاعات موجود در دستگاه مورد نظر را جمع آوری کنید.
وقتی این کار را انجام داد ، اکنون می توانید وارد داشبورد آنلاین خود شوید و نظارت بر پیام های دستگاه مورد نظر را شروع کنید ..
این مراحل خلاصه ای است که باید برای خواندن پیام های تلگرام کسی انجام دهید. تمام پروتکل کامل سنگین نیست ، ممکن است یک یا دو مرحله وجود داشته باشد که باید قبل از شروع کار آن را طی کنید. اما مطمئن باشید هیچ ارزشی زمانی اتلاف نمی شود زیرا ارزش تلاش را دارد.

آیا می توانم تلگرام شخصی را هک کنم
اگر در یک رابطه شریک نگران هستید و احساس می کنید فرد مهم شما در مورد محرمانه بودن اطلاعات شرکت شما یا شما را به کارفرمایی مشغول تقلب است ، ممکن است به فکر هک حساب تلگرام وی باشید. من هر روز این نوع سوالات را در صندوق ورودی خود می بینم و اینکه کسی مجبور است این مسیر تخلیه عاطفی را طی کند ، دردناک است.

این امر باعث می شود که بیش از حد زندگی شخص تحت تأثیر قرار گیرد زیرا بهره وری آنها به دلیل افزایش اعتماد به نفس پایین و اعتماد به نفس کاهش می یابد. ایستادن و جنگیدن برای ازدواجشان به یک شریک شجاع نیاز دارد. بنابراین اگر در حال حاضر در حالت شک هستید ، مطمئن باشید که حتماً از بین خواهد رفت.

چگونه می توان تلگرام شخصی را بدون رمز ورود خود هک کرد
بهترین راه برای رسیدن به این مهم بدون ایجاد فشار در خود و هزینه های سنگین خود با استفاده از بازرسان خصوصی ، استفاده از برنامه های جاسوسی است. هیچ کس دوست ندارد که مسائل شخصی خود با اطافیان خود در میان گذاشته شود ، بنابراین اگر می خواهید در امور خود رازداری سطح بالایی داشته باشید ، می توانید به برنامه های جاسوسی اعتماد کنید. یکی از آنها که ما توصیه می کنیم عبارتند از:

Flexispy
Mspy
Xnspy
Spyic
Spyera
Spyier
Truthspector
Blur spy
Highster mobile
Kids guard pro
And so many others

[SafeMaster]

حداقل 9 مورد از 10 حمله سایبری از طریق ایمیل آغاز می شود ، این ارقام براساس مطالعه انجام شده توسط Fireeye گزارش شده است. یک ایمیل مخرب می تواند از نظر مالی و اعتباری به شرکت آسیب برساند .
از 100٪ ایمیل هایی که ارسال و دریافت می شوند ، از طریق آنها ، حدود 67٪ ایمیل ها هرزنامه هستند که به معنای این است که فقط 33٪ ایمیل ها اصلی هستند.
اکنون هک کردن یک ایمیل کار ساده ای نیست. افراد معمولاً در معرض خطر ایمیل های فیشینگ که مربوط به برخی از هدیه ها یا کوپن ها است ، قرار میگیرند که به واسطه کلیک به صفحه مد نظر نفوذگر هدایت میشوند ، پس از کلیک کردن چندین شانس برای به خطر افتادن حساب شما وجود دارد ، به جای این فیشینگ ، چند مورد بیشتر وجود دارد راه های هک کردن ایمیل ها :

Keylogging

Phishing

Bruteforce

Browser’s Password Manager

معمولا ایمیل های مربوط به شرکت های gmail , yahoo , hotmail , ... از امنیت بیشتری نسبت به ایمیل های سازمانی یا شخصی دارند از این رو حمله به ایمیل یک ارگان که از نرم افزار شخصی استفاده میکند خیلی راحت تر از سرویس های معروف هستند به طور مثال در نظر داشته باشید یک سازمان از سیستم outlook استفاده میکند و حدود 3000 نیرو دارد از این 3000 نیرو شما کافی است 1 هدف را بدست اورید و ازطریق 1 هدف به سایر ایمیل های سازمانی دسترسی پیدا کنید با توجه به اینکه برخی افراد پسورد های مشابه بر روی اکانت های خود استفاده میکنند فرصت دسترسی به سایر اکانت های هدف خود را نیز خواهید داشت .

[SafeMaster]

تست نفوذ با نام مستعار PenTest متداول ترین روش تست امنیتی برای برنامه های وب است.

تست نفوذ برنامه وب با شبیه سازی حملات مختلف به صورت بررسی داخلی یا خارجی برای دسترسی به داده های حساس انجام می شود.

نفوذ وب ، کمک می کند تا هکر بتواند به داده ها از اینترنت دسترسی پیدا کند ، از امنیت و اطلاعات سرورهای ایمیل آنها مطلع شود و همچنین از امنیت وب سایت و سرور میزبانی وب مطلع شود.

خوب ، بیایید اکنون محتوای این مقاله را پوشش دهیم:

در این آموزش تست نفوذ سعی کرده ام موارد زیر را پوشش دهم:

نیاز به Pentest برای آزمایش برنامه های وب ،
روش های استاندارد موجود برای Pentest ،
انواع آزمایشاتی که می توانیم انجام دهیم ،
مراحل انجام آزمایش نفوذ ،
ابزارهایی که می توانند برای آزمایش استفاده شوند ،
برخی از ارائه دهندگان خدمات تست نفوذ و برخی از گواهینامه ها برای آزمایش نفوذ وب

ابزار اسکن آسیب پذیری توصیه شده:

شماره 1) نت اسپارکر

استفاده از Netsparker از یک پلت فرم خودکار تست امنیت برنامه های وب است که می توانید برای شناسایی آسیب پذیری های واقعی و قابل بهره برداری در وب سایت های خود استفاده کنید.

چرا انجام تست نفوذ الزامی است؟
وقتی از امنیت صحبت می کنیم ، رایج ترین کلمه ای که می شنویم آسیب پذیری است.

هنگامی که من در ابتدا کار خود را به عنوان یک تستر امنیتی آغاز کردم ، معمولاً این مورد را با کلمه آسیب پذیری اشتباه می گرفتم و مطمئن هستم که بسیاری از شما ، عزیزان ، در همان قایق قرار می گیرید.

برای بهره مندی همه شما عزیزان ، ابتدا تفاوت بین آسیب پذیری و تست نفوذ را روشن می کنم.

آسیب پذیری چیست؟ آسیب پذیری اصطلاحی است که برای شناسایی نقص در سیستم استفاده می شود و می تواند سیستم را در معرض تهدیدهای امنیتی قرار دهد.

اسکن آسیب پذیری یا تست نفوذ ؟
Vulnerability Scanning به کاربر اجازه می دهد تا از نقاط ضعف شناخته شده در برنامه مطلع شود و روش هایی را برای رفع و بهبود امنیت کلی برنامه تعریف می کند. در واقع می فهمد که آیا وصله های امنیتی نصب شده اند ، آیا سیستم ها به درستی پیکربندی شده اند آسیب پذیر هستند یا خیر .

تست های نفوذ به طور عمده سیستم های زمان واقعی را شبیه سازی می کنند و به کاربر کمک می کنند دریابد که آیا کاربران غیرمجاز به سیستم دسترسی دارند یا خیر ، بله ، چه خسارتی می تواند ایجاد شود و به کدام داده و غیره

از این رو ، Vulnerability Scanning یک روش کنترل کارآگاهی است که روش هایی را برای بهبود برنامه های امنیتی و اطمینان از عدم بروز مجدد ضعف های شناخته شده پیشنهاد می کند ، در حالی که تست نفوذ یک روش کنترل پیشگیرانه است که نمای کلی لایه امنیتی موجود سیستم را ارائه می دهد.

اگرچه هر دو روش اهمیت خود را دارند ، اما به آنچه واقعاً به عنوان بخشی از آزمایش انتظار می رود بستگی دارد.

اهمیت و نیاز به تست نفوذ در وب:

Pentest در شناسایی آسیب پذیری ها کمک می کند.
در بررسی اثربخشی سیاست های کلی امنیتی کمک می کند.
به کاربران اجازه دهید آسیب پذیرترین مسیری را که می توان از طریق آن حمله کرد ، پیدا کنند
در یافتن روزنه هایی که منجر به سرقت داده های حساس می شود ، کمک می کند.
اگر به تقاضای فعلی بازار نگاهی بیندازید ، افزایش چشمگیری در استفاده از تلفن همراه مشاهده شده است که در حال تبدیل شدن به یک پتانسیل اصلی برای حملات است. دسترسی به وب سایت ها از طریق تلفن های همراه مستعد حملات مکرر و در نتیجه به خطر انداختن داده ها است.

بنابراین آزمایش نفوذ برای اطمینان از ایجاد یک سیستم ایمن که می تواند توسط کاربران استفاده شود بدون نگرانی از هک شدن یا از دست دادن اطلاعات بسیار مهم می شود.

ادامه دارد ...

[SafeMaster]

Web Penetration Testing Methodology | روش های تست نفوذ وب

این روش ها مجموعه ای از دستورالعمل های صنعت امنیت و چگونگی انجام آزمایش میباشد. برخی از روش ها و استانداردهای مشهور وجود دارد که می توانید برای تست نفوذ از آنها استفاده کنید، اما از آنجا که هر برنامه وب نیاز به انجام انواع مختلف آزمایش دارد ، آزمایش کنندگان می توانند با مراجعه به استانداردهای موجود در بازار ، روش های خاص خود را ایجاد کنند.

برخی از روش ها و استانداردهای تست امنیت عبارتند از :

OWASP (Open Web Application Security Project)
OSSTMM (Open Source Security Testing Methodology Manual)
PTF (Penetration Testing Framework)
ISSAF (Information Systems Security Assessment Framework)
PCI DSS (Payment Card Industry Data Security Standard)

سناریوهای آزمون:

در زیر برخی از سناریوهای آزمون ذکر شده است که می توانند به عنوان بخشی از تست نفوذ برنامه های وب (WAPT) آزمایش شوند:

Cross-Site Scripting
SQL Injection
Broken authentication and session management
File Upload flaws
Caching Servers Attacks
Security Misconfigurations
Cross-Site Request Forgery
Password Cracking

با وجود این لیست استاندارد شما نباید از سایر بررسی های امنیتی قافل شوید ، آزمایش کنندگان نباید کورکورانه روش آزمون خود را بر اساس استانداردهای مرسوم فوق ایجاد کنند.

در اینجا مثالی برای اثبات دلیل آورده ام.

در نظر بگیرید که از شما می خواهد یک وب سایت تجارت الکترونیکی را تست کنید ، اکنون اگر همه آسیب پذیری های یک وب سایت تجارت الکترونیکی را می توان با استفاده از روش های مرسوم OWASP مانند XSS ، تزریق SQL و غیره شناسایی کرد ، و بررسی کرد کار ما تمام است ؟

پاسخ منفی است زیرا تجارت الکترونیکی در مقایسه با سایر وب سایتها در یک بستر و فناوری بسیار متفاوت کار می کند. برای اینکه تست نفوذ شما برای یک وب سایت تجارت الکترونیکی موثر باشد ، آزمایش کنندگان باید روشی شامل اشکالاتی مانند مدیریت سفارش ، مدیریت کوپن و پاداش ، ادغام دروازه پرداخت و ادغام سیستم مدیریت محتوا را طراحی کنند.

بنابراین ، قبل از تصمیم گیری در مورد روش ، بسیار مطمئن باشید که انتظار می رود چه نوع وب سایت هایی آزمایش شوند و کدام روش ها در یافتن حداکثر آسیب پذیری کمک می کنند.

به طور مثال درگاههای پرداخت در اینگونه وبسایت ها از حساس ترین نقطه ها میباشد و حتما باید توع درخواست و هدر های ارسالی جهت جلوگیری از سو استفاده بررسی شود ، در برخی حالات هکر میتواند با شارژ مبلغ 1 دلار هدر بازگشتی به سایت را به هر مبلغی که میخواهند تغییر دهد .

[SafeMaster]

انواع تست نفوذ وب
برنامه های وب را می توان به 2 روش آزمایش نفوذ کرد. آزمایشات را می توان برای شبیه سازی حمله داخلی یا بیرونی طراحی کرد.


Internal Penetration Testing | تست نفوذ داخلی

همانطور که از نامش پیداست ، تست نفوذ داخلی معمولادر داخل سازمان از طریق LAN و wifi انجام می شود ، از این رو شامل آزمایش برنامه های وب میزبان شده در اینترانت است.

این مورد به شما کمک می کند که آیا آسیب پذیری هایی در فایروال شرکت وجود دارد یا خیر.

ما همیشه معتقدیم که حملات فقط در خارج سمت کلاینت ممکن است اتفاق بیفتد و بسیاری از اوقات Pentest داخلی نادیده گرفته می شوند یا به آنها اهمیت زیادی داده نمی شود.

اساساً ، در این نوع حمله شاهد حملات مخرب کارمندان یا پیمانکاران ناراضی است که استعفا داده اند اما از سیاست های امنیتی داخلی و رمزهای عبور ، حملات مهندسی اجتماعی ، شبیه سازی حملات فیشینگ و حملات با استفاده از امتیازات کاربر یا استفاده از یک ترمینال قفل نشده اطلاع دارند.


External Penetration Testing | تست نفوذ خارجی

آزمایش کنندگان مانند هکرهایی رفتار می کنند که خیلی از سیستم داخلی آگاهی ندارند.

برای شبیه سازی چنین حملاتی ، به سیستم آزمایش کننده IP سیستم هدف داده می شود و هیچ اطلاعات دیگری ارائه نمی دهند. هکر ها لازم است صفحات وب عمومی را جستجو و اسکن کنند و یا میزبان ها ، دی ان اس ها ، ساب دامین ها ، سرویس های ایمیل ، سرویس های شبکه خصوصی و... را بررسی کنند .

اصولاً شامل تست سرورها ، فایروال ها و IDS است.

رویکرد محرمانه سازی وب و تست نفوذ در سه مرحله انجام میپذیرد :

Planning Phase (Before Testing) | مرحله برنامه ریزی

قبل از شروع آزمایش ، بهتر است برنامه ریزی کنید که چه نوع آزمایشی انجام می شود ، چگونه آزمایش انجام می شود ، اینکه آیا تارگت به دسترسی اضافی به ابزار و غیره نیاز دارد را تعیین کنید.

تعریف محدوده - این همان آزمایش عملکردی ماست که ما قبل از شروع آزمایش ، دامنه آزمایش خود را تعریف می کنیم.
در دسترس بودن مستندات برای آزمایش کنندگان - اطمینان حاصل کنید که آزمایش کنندگان کلیه اسناد مورد نیاز مانند اسنادی را با جزئیات معماری وب ، نقاط ادغام ، یکپارچه سازی سرویس های وب و غیره در اختیار دارند. آزمایش کننده باید از اصول پروتکل HTTP / HTTPS آگاه باشد و از معماری و ترافیک برنامه وب مطلع باشد. روش های رهگیری.
تعیین معیارهای موفقیت - برخلاف موارد آزمون عملکردی ما ، که می توانیم نتایج مورد انتظار از نیازهای کاربر / نیازهای عملکردی را بدست آوریم ، آزمایش قلم در مدل دیگری کار می کند. معیارهای موفقیت یا معیارهای قبولی در آزمون باید مشخص و تأیید شود.
مرور نتایج آزمون قبلی - اگر قبلاً آزمایش قبلی انجام شده است ، خوب است که نتایج آزمون را مرور کنید تا بفهمید آسیب پذیری هایی که در گذشته وجود داشته است و چه راهکاری برای رفع آن برداشته شده است. این همیشه تصویر بهتری از آزمایش کنندگان می دهد.
درک محیط - آزمایش کنندگان باید قبل از شروع آزمایش در مورد محیط دانش کسب کنند. در این مرحله باید اطمینان حاصل شود که آنها می توانند از دیوارهای آتش یا سایر پروتکل های امنیتی که برای انجام آزمایش غیرفعال می شوند ، اطلاعات کافی داشته باشند. مرورگرهایی که باید آزمایش شوند باید به یک سکوی حمله تبدیل شوند ، این کار معمولاً با تغییر پروکسی انجام می شود.

ادامه دارد ...

[SafeMaster]

Attacks/Execution Phase (During Testing)

با توجه به اینکه هیچ محدودیتی در درگاه ها و خدمات توسط ارائه دهنده اینترنت وجود ندارد ، آزمایش نفوذ وب را می توان از هر مکان انجام داد.

اجرای آزمایشی با نقش های مختلف کاربر را تضمین کنید - آزمایش کنندگان باید اطمینان حاصل کنند که تست هایی را با کاربرانی که نقش های مختلف دارند اجرا می کنند ، زیرا سیستم ممکن است در مورد کاربران دارای امتیازات مختلف رفتار متفاوتی داشته باشد.
آگاهی از نحوه مدیریت پس از بهره برداری - آزمایش کنندگان باید معیارهای موفقیت را که به عنوان بخشی از فاز 1 تعریف شده است رعایت کنند تا هرگونه بهره برداری را گزارش دهند. آنها همچنین باید روند تعریف شده گزارش آسیب پذیری را که هنگام آزمایش پیدا شده است ، دنبال کنند. این مرحله عمدتا شامل آزمایش کننده است که می فهمد چه کاری باید انجام شود بعد از اینکه آنها متوجه شدند سیستم آسیب دیده است.
تولید گزارش های آزمایشی - هر آزمایشی که بدون گزارش دهی مناسب انجام شود ، کمک چندانی به سازمان نمی کند ، این مورد در مورد تست نفوذ در برنامه های وب است. برای اطمینان از اینکه نتایج آزمون به درستی با همه ذینفعان به اشتراک گذاشته شده است ، آزمایش کنندگان باید گزارشات مناسبی با جزئیات مربوط به آسیب پذیری های یافت شده ، روش مورد استفاده برای آزمایش ، شدت و محل بروز مشکل ایجاد کنند.

Post Execution Phase (After Testing)

هنگامی که آزمایش به پایان رسید و گزارشات آزمون با همه تیم های مربوطه به اشتراک گذاشته شد ، لیست زیر باید توسط همه مورد بررسی و کار قرار بگیرد .

پیشنهاد اصلاح - تست نفوذ نباید فقط با شناسایی آسیب پذیری ها پایان یابد. تیم مربوطه شامل یک عضو از برنامه نویس سیستم باید یافته های گزارش شده توسط آزمایش کنندگان را بررسی کند و سپس در مورد اصلاح بحث کند.
آسیب پذیری های مجدد - پس از استفاده و اصلاح ، آزمایش کنندگان باید اطمینان حاصل کنند که آسیب پذیری های ثابت به عنوان بخشی از آزمایش مجدد آنها ظاهر نشده است.
پاکسازی - به عنوان بخشی از Pentest ، آزمایش کنندگان باید کلیه تغییرات را به حالت امن بازیابی کنند ، بنابراین باید تمیزکاری انجام شود و همه تغییرات دوباره برگردانده شود.

[SafeMaster]

برترین ابزارهای تست نفوذ
از آنجایی که مقاله کامل را قبلاً خوانده اید ، معتقدم اکنون ایده بهتری در مورد اینکه چگونه و چگونه می توانیم تست نفوذ یک برنامه وب را انجام دهیم ، دارید.

بنابراین به من بگویید ، آیا می توانیم دستی تست Penetration را انجام دهیم یا این که همیشه با استفاده خودکار با استفاده از یک ابزار اتفاق می افتد؟ بدون شک ، من فکر می کنم اکثر شما می گویید اتوماسیون.

این درست است زیرا اتوماسیون سرعت را به ارمغان می آورد ، از خطاهای انسانی دستی ، پوشش عالی و چندین مزیت دیگر جلوگیری می کند ، اما تا آنجا که به Pen Test مربوط می شود ، انجام برخی تست های دستی را از ما می گیرد.

تست دستی به کشف آسیب پذیری های مرتبط با منطق تجارت و کاهش مثبت کاذب کمک می کند.

ابزارها مستعد ارائه بسیاری از موارد مثبت کاذب هستند و از این رو مداخله دستی برای تعیین آسیب پذیری واقعی مورد نیاز است.


ابزارهایی ایجاد می شوند تا تلاش خود را برای آزمایش خودکار انجام دهند. لطفاً در زیر لیستی از برخی از ابزارهای قابل استفاده برای Pentest را پیدا کنید:

Free Pen Test tool
Veracode
Vega
Burp Suite
NetSparker
Arachni
Acunetix
ZAP

برترین شرکت های تست نفوذ
ارائه دهندگان خدمات شرکت هایی هستند که خدمات مورد نیاز سازمان ها را تأمین می کنند. آنها معمولاً در زمینه های مختلف آزمون سرآمد بوده و از تخصص برخوردارند و می توانند در محیط آزمون میزبانی شده خود تست را انجام دهند.

در زیر برخی از شرکت های پیشرو ارائه خدمات تست نفوذ ذکر شده است (گروه امنیتی ایران هک نیز خدمات تست نفوذ ارائه میدهد.)

PSC (Payments Security Compliance)
Netragard
Securestate
CoalFire
HIGHBIT Security
Nettitude
360
NetSPi
ControlScan
Skods Minotti
2|Sec
Security Assessment
Security Audit Systems
Hacklabs
CQR
Penetrati
IRH - IRaNHaCK Security Team

[[email protected]]

aaaaaali hasti vaghan khooob mrc lezat bordm b omid movafaghiat

[SafeMaster]

ممنون ، اگر دوستان در تاپیک مشارکت و اعلام حضور کنند فیلم های آموزشی مختص به حملات قرار داده میشود .