آموزش دایرکت ادمین، سی پنل، وب سایت پنل

خانه / امنیت (صفحه ی 2)

امنیت

مکانیزم HSTS چیست؟

​مکانزیم HSTS چیست و چگونه کار میکند.
HTTP Strict Transport Security (HSTS)  مکانیزم انتقال اطلاعات با امنیت بالا در سطح سیاست های وب web policy است که به حفظ اطلاعات منتقل شده در دنیای وب در برابر حملات شنود و جمع آوری اطلاعات و ربودن کوکی ها cookie hijacking کمک میکند.
این پروتکل اجازه میدهد تا وب سرورها از طریق شناسایی مرورگرها ( یا سایر agent های کاربر) تنها اجازه تبادل اطلاعات از طریق HTTPS  داشته باشند و امکان ارتباط HTTP وجود نخواهد داشت.  در حقیقت کاربران ملزم به استفاده از پروتکل HTTPS خواهند بود.

هنگامی که HSTS فعال میشود دو موضوع اتفاق می افتد:
– همیشه از https استفاده خواهد شد حتی اگر آدرس را بصورت http وارد کنید.
– حدف قابلیت انتخاب کاربر برای ورود به سایت هایی که گواهی SSL invalid دارند.

مهمترین آسیب پذیری که SSL-stripping man-in-the-middle نام دارد با استفاده از hsts قابل جلوگیری خواهد بود.  این حمله در سال ۲۰۰۹ اتفاق افتاد (حتی برای TLS) که توسط آن درخواست اتصال https به اتصال http تبدیل میشد. استفاده این مکانیزم امکان قرار گیری هکرها در میان ارتباط شما با سایت مقصد و مشاهده اطلاعات و داده های رد و بدل شده را نخواهد داد.
​این مکانیزم در حال حاضر توسط وب سایت های PayPal، Blogspot و Etsy مورد استفاده قرار گرفته است. همچنین فرایند مذکور در مرورگرهای کروم، فایرفاکس ۴ و اپرای ۱۲ مورد استفاده قرار گرفته است. با این وجود هنوز IE و اپل سفری به این رویه روی نیاورده اند.​

باج افزار چیست و چگونه کار میکند

Ransomware یک نمونه پیچیده و پیشرفته از نرم افزارهای مخرب است که به فایل های سیستم قربانی دسترسی پیدا میکند.
دو نوع  ransomware وجود دارد:
 
— Encrypting ransomware
شامل الگوریتم های رمزنگاری پیشرفته، این طراحی برای مسدودکردن دسترسی فایل های سیستم و تقاضای پرداخت وجه (Bitcoin) از قربانی برای بازگشایی محتوای رمزنگاری شده می باشد مانند CryptoLocker, Locky, CrytpoWall
 
— Locker ransomware
سیستم عامل قربانی را قفل میکند بصورتی که دسترسی به دسکتاپ یا هر برنامه ای دیگری را غیر ممکن می سازد، فایل ها در این نوع رمزنگاری نمیشوند اما حمله کنندگان برای باز کردن دسترسی ها درخواست وجه (Bitcoin) میکنند. مانند police-themed ransomware یا Winlocker
 
نوع دیگری از باج افزارها مربوط به Master Boot Record (MBR) ها می شود به این صورت که امکان بوت شدن بصورت معمول را نمیدهد و یک پیغام بصورت prompt به کاربر نمایش داده میشود. مانند Satana و Petya ransomwar

ادامه ی مطلب

دستورات پرکاربرد CXS scanner

CXS ConfigServer eXploit Scanner commands

در این پست با برخی از دستورات command های پرکاربرد اسنکر CXS آشنا می شویم.

اسکن یک یوزر خاص :
cxs --user USERNAME
اسکن تمام یوزرها:
cxs --allusers
اسکن یک فایل:
cxs /path of the file
cxs /home/USERNAME/public_html/xmlrpc.php
اسکن در حالت کنترل load سرور
cxs -T [num]
اسکن در background
cxs -B
بروز رسانی نسخه CXS
cxs -U
ارسال گزارش فایل مخرب جدید به دیتابیس cxs
cxs --wttw​ [filename]
اسکن کردن تنها از public_html و دایرکتوری ها داخلی آن
cxs --www [file]
پیوست کردن log نتیجه اسکن به یک فایل خاص
cxs --logfile [file]
حذف فایل های قرنطینه شده
cxs -D

دلایل هک شدن سایت و جلوگیری از آن

How to Clean a WordPress Hack

​امروز با دلایل هک شدن سایت ها آشنا میشویم و در ادامه با روش های امن سازی سایت بخصوص سایت های وردپرسی آشنا خواهیم شد.

​مشکلات اصلی:
قالب ها :
استفاده از قالب  های رایگان و بدون گسترش دهنده.  عموما احتمال اینکه محتوای مخرب در قالب های رایگانی  که در سایت های  متفرقه ارائه می شود بسیار زیاد است، بنابراین توصیه ما این است که هرگز از قالب های آماده استفاده نکنید.
همیشه نسبت به بروزرسانی قالب ها اقدام کنید، هر لحظه ممکن است راه نفوذی در کدهای قالب پیدا شود بنابراین اگر تا کنون مشکلی برای سایت و قالب سایت شما رخ نداده است به این معنی نیست که در آینده نیز مشکلی وجود نخواهد داشت.
  • همیشه از یک متخصص کدنویسی یا وردپرس برای سایت خود استفاده کنید!
پلاگین ها:
مکانی بسیار مناسبی برای مخفی کردن کد های آلود است، به سه علت :
– کاربران به پلاگین ها دقت و توجه نمیکنند​ و تنها آن را نصب میکنند.
– کاربران علاقه ای به بروز رسانی پلاگین ها ندارد.
– برخی پلاگین های از کدهای ضعیف و دارای احتمال آسیب پذیری استفاده میکنند.
  • از نصب بیش از اندازه پلاگین ها پرهیز کنید و هر پلاگینی را به صرف رایگان بودن فعال نکنید، همیشه بصورت مداوم پلاگین ها را بروز کنید.
پوشه آپلود:
به عنوان یک مدیر وب سایت هرگز پوشه آپلود را بررسی نمیکنید! تنها فایل های خود را آپلود میکنید. آپلود کردن یک backdoor در این پوشه بسیار راحت است زیرا این فایل در میان هزاران فایل دیگر پنهان میشود. از طرفی دسترسی به این پوشه در حالت write قرار دارد و این نفوذ را برای هکر ها آسان تر میکند.
روش های برای امنیت پوشه آپلود وجود دارد که در مقاله راهکارهای امنیت و ایمن سازی سایت وردپرسمیتوانید مشاهده کنید.
راهکارهایی برای پیدا کردن فایل های آلوده و مخرب:
– استفاده از ابزارهای اسکن فایل های سایت مانند cxs (این ابزار باید از طریق مدیر سرور نصب شود)
– استفاده از WAF بروی سرور برای جلوگیری از باگ های شناخته شده (این ابزار باید از طریق مدیر سرور نصب شود)
– استفاده از ابزارهای اسکن آنلاین سایت مانند:

https://sucuri.net/scanner
https://freescan.qualys.com

– از پلاگین های malware scanner  مانند Sucuri (نسخه پرداخت شده بسیار کارامد است)
– بررسی لاگ های ورود به کنترل پنل و FTP​ و بخش مدیریت سایت
– بررسی کدهای موجود در قالب های و پلاگین های
– بررسی فایل config و محدود کردن دسترسی به این فایل
–  استفاده از پسوردهای قدرتمند و غیر ساده
– استفاده از password protect برای صفحه ورود به بخش مدیریت
– استفاده از پلاگین های محدود کننده لاگین Login Attempts
– غیر فعال کردن Editor قالب ها و پلاگین ها در داخل مدیریت
– محدود کردن دسترسی ها به پوشه ها و فایل های پر اهمیت
– بروز کردن هسته CMS و پلاگین ها بصورت مداوم
– حذف دیتابیس ها، فالب ها، پلاگین های اضافه و بدون کاربرد
  • برای راهنمایی و کمک بیشتر در این موضوع میتوانید با پشتبانی سرورستاپ در تماس باشید.
برای آشنایی با روش های امن سازی وردپرس آموزش راهکارهای امنیت و ایمن سازی سایت وردپرسرا مشاهده نمایید.

فعال سازی ایمیل هشدار برای port scan و login faild در CSF

طیف زیادی از تنظیمات در CSF در فایل های پیکیربندی وجود دارد. بحث در مورد راه اندازی ایمیل هشدار برای ورود به سیستم ناموفق غیر مجاز و اسکن پورت است. ایمیل های از پیش تعریف شده برای موارد مختلف در مسیر زیر وجود دارد.

/usr/local/csf/tpl/

برای فعال کردن هشدار Login Failur از طریق ایمیل باید در فایل csf.conf مقدار زیر را تنظیم کنید.

LF_EMAIL_ALERT = 1

برای فعال کردن هشدار Port Scanning از طریق ایمیل باید در فایل csf.conf مقدار زیر را تنظیم کنید.

PS_EMAIL_ALERT = 1

آسیب پذیری Freak

Attack of the week: FREAK

داستان یک backdoor در encryption

Washington post  در مقاله ای یک اشکال ناامید کننده برخی از سرورهای TLS/SSL و کاربران که امکان کاهش امنیت در اتصالات TLS را فراهم میکند گزارش داده است. یک گروه از متخخصین رمزنگاری در INRIA، تحقیقات مایکروسافت و IMDEA آسیب پذیری ها جدی را در OpenSSL (به عنوان مثال، آندروید) و Apple TLS/SSL را که به یک مهاجم man in the middle اجازه میدهد تا امنیت اطلاعات از از حالت رمز نگاری قوی RSA به حالت export-grade تغییر دهند را کشف نموده اند.

Freak در واقع یک نوع حمله متقاطع روی کلید RSA است که میتوانید رمزنگاری بسیاری از سایت ها را بشکند. در واقع بسیاری از سایت ها از SSL استفاده میکنند که شامل الگوریتم های رمزنگاری قوی و الگوریتم های رمزنگاری ضعیف هستند. انتظار می رود تمام connection ها از نوع اتصال قوی ایجاد شود اما در بسیاری از موارد مهاجم می تواند وب سایت را مجبور به استفاده از الگوریتم های رمزنگاری، ضعیف تر و سپس رمزگشایی ترافیک ارسالی نماید.

در حقیقت به نوع حملات security rollback گفته می شود که مهاجم سعی میکند سیستم را مجبور به استفاده از گزینه های قدیمی و ناامن کند.

اطلاعات بیشتری در لینک های زیر قابل مطالعه است:

http://blog.cryptographyengineering.com/2015/03/attack-of-week-freak-or-factoring-nsa.html

https://www.smacktls.com/

http://www.networkworld.com/article/2894746/microsoft-subnet/march-2015-patch-tuesday-5-of-14-rated-critical-and-microsoft-issues-a-fix-for-freak.html

سرقت اطلاعات کارت بانک

mobile-banking-370x229

شناختن و دانستن راه های کلاه‌برداری خوب است اما «تبهکاران همیشه یک گام جلوتر از پلیس‌ها هستند»  چرا؟ چون سارقان از نتیجه عمل خود نمی ترسند و در این راه حتی ممکن است جان شما را نیز به خطر بیاندازند، بنابراین از هر شیوه ای که به ذهن برسد استفاده خواهند کرد.

برای دزدی و جعل اطلاعات کارت مغناطیسی بانکی شما (که در ایران استفاده می شود و امنیت بسیار پایینی هم دارند) تنها چند چیز ساده نیاز است:

۱- رمز (گذرواژه/پین کد) کارت
۲- اطلاعات ضبط شده ساده در کارت مغناطیسی که رمزگذاری هم نشده اند.
کارت‌های هوشمند (ویزا، مستر، کارت سوخت و ….) امنیت بسیار بیشتری نسبت به کارت‌های مغناطیسی بانکی رایج در کشور دارند.
۳- کارت‌های مغناطیسی خام که بسیار ارزان و فراوان هستند.

۴- دستگاه کپی و یا رایت روی این کارت ها که تنها کمتر از چند صد هزارتومان قیمت دارند.

در یکی از فیلم های دوربین های دستگاه خودپرداز دیده شد شخصی پشت سر فرد قربانی که در حال وارد کردن اطلاعات کارت خود در عابربانک بود ایستاده و با چشم رمز کارت فرد را مشاهده و در موبایل خود ذخیره کرد. سپس با اشاره به همدست خود که دورتر منتظر است، یک دعوا ساختگی با فردی که در جلو دستگاه قرار دارد به بهانه ایجاد مزاحمت برای خانواده انجام داده و فرد را از جلو دستگاه به سمت دیگری میکشد و این زد و خورد ساختگی ادامه دارد، در حالی که قربانی در شوک به سر می برد و در حال دست و پنجه نرم کردن با ضارب می باشد، فرد اول به جلو دستگاه رفته و کارت او را خارج میکند و از صحنه دور میشود. پس از اتمام درگیری فرد قربانی به دستگاه باز می گردد و مشاهده میکند کارت ا.و در دستگاه نیست و به خیال اینکه دستگاه کارت او را ضبط کرده است صحنه را ترک میکند تا موضوع را از بانک در روز آینده پیگیری کند. اما تا آن زمان حساب او براحتی به سرقت رفته است.

روش های مختلفی دیگری نیز وجود دارد از جمله صفحه کلید (Keypad) روی صفحه کلید اصلی خودپرداز گذاشته می‌شود تا هر کلیدی را که فشار می‌دهید ذخیره کند و زیر آن نیز پایه‌هایی است که در هنگام کار، دکمه های صفحه کلید اصلی هم فشار می‌دهد تا مشتریان بتوانند بدون شک کردن همچنان کارهایشان را با دستگاه انجام دهند.
ضبط کلیدها و دانستن رمز به تنهایی برای دزدان کاربرد ندارد و باید اطلاعات روی کارت شما یعنی چند بایت اطلاعات عددی نوشته شده روی نوار مشکی مغناطیسی کارت را هم داشته باشند تا بتوانند یک کپی از کارت شما برای خودشان Write کنند و با رمزی که از طریق این کیپد به دست آورده اند از کارت شما استفاده کنند! از این رو راهی هم برای خواندن اطلاعات کارت شما باید وجود داشته باشد که یا معمولا یک کارت خوان مغناطیسی ظریف است که در دهانه کارت خوان اصلی خودپرداز گذاشته می‌شود و یا سعی می‌کنند کارت فیزیکی شما را از راهی بربایند!*** دقت کنید که دستگاه‌های دستی کوچک و همراه هم برای کپی کارت وجود دارد که در کمتر از چند دقیقه یک کارت را اسکن و کپی می‌کنند! یعنی اگر کارتتان به دست یک دزد مجهز بیفتد کافیست چند لحظه تنهایش بگذارید تا از کارت کپی بگیرد و سپس کنار دستتان بایستد تا رمزتان را هم بخواند و هر تعداد کپی دقیقا برابر اصل از کارت بانکی شما که بخواهد داشته باشد.

 

متاسفانه تشخیص این ابزارهای شنود و جاسوسی پیشرفته برای افراد عادی اصلا ساده نیست و معمولا کسی هم که میخواهد زود از دستگاه استفاده کند دقت و حوصله چندانی برای وارسی دستگاه به خرج نخواهد داد.

 

ادامه ی مطلب

آسیب پذیری جدی در پلاگین Seo vBulletin

Serious Vulnerability Found in vBulletin SEO Plugin

تیم vbulletin به تمام مشتریان خود را در مورد یک آسیب پذیری امنیتی بالقوه در پلاگین VBseo هشدار داده است. آسیب پذیری (CVE2014-9463) بنا به گزارش  Internet Brands کشف شده است.  از جایی که VBSEO دیگر گسترش پیدا نمیکند بعید است نسخه جدیدی از آن ارائه شود.

برای رفع این مشکل سه راه حل وجود دارد:

– حذف کامل افزونه VBSEO از سایت

اعمال پچ توصیه شده توسط تیم اصلی Vbulletin

– استفاده از فایروال در جهت جلوگیری و بهره برداری از این آسیب پذیری و بسیاری مشکلات امنیتی دیگر.

به نظر با استفاده از دسترسی از راه دور یک اسکریپت HTML غیر تصدیق شده unauthenticated به محتوای سایت inject میشود. ممکن است این تغییر از طریق کنترل کامل خط فرمان انجام شود.البته این موضوع بطور کامل تایید نشده است.

قسمتی از عملکرد این آسیب پذیری بصورت زیر است:

The vulnerability can be patched by removing a couple of lines of code from the vbseo/includes/functions_vbseo_hook.php file. However, vBulletin noted that users should apply these changes at their own risk.

لینک خبر در فروم vbulletin

Data Breach چیست؟

Data Breach

Data Breache یک رویداد است  که شامل دسترسی غیر مجاز و یا غیر قانونی به اطلاعات برای  مشاهده ، دسترسی و یا بازیابی داده های یک فرد، برنامه و یا خدمات می باشد. این یک نوع نقض امنیتی به طور خاص  برای سرقت و  یا انتشار اطلاعات به موقعیت های نا امن و یا غیر قانونی طراحی شده است.

Data Breach به عنوان یک نفوذپذیری شناخته می شود.
Data Breach هنگامی که یک هکر  و یا مهاجم دسترسی غیر مجاز به پایگاه داده امن و یا اطلاعات اتفاق می افتد . هدف Data Breach به طور معمول به سمت  داده های منطقی و یا دیجیتال است و اغلب بر روی اینترنت و یا یک اتصال شبکه انجام میشود.

Data Breach  ممکن است در از دست دادن داده هایی از جمله مالی، اطلاعات شخصی و سلامت منجر شود .هکر نیز ممکن است داده های سرقت شده را در جهت دسترسی به جایگاه و نقطه دیگری استفاده نماید.. به عنوان مثال،  یک هکر از  اطلاعات معتبر بدست امده برای ورود به عنوان مدیر شبکه می تواند در جهت دسترسی  کل شبکه استفاده نماید.

در تصویر زیر ۱۰ داده مهم به سرفت رفته در سال ۲۰۱۳ را مشاهده می نمایید.

databreaches1

صفحات Google و Lenovo با استفاده از DNS attacks تغییر مسیر داده شدند.

Lenovo, Google websites hijacked by DNS attacks

صفحه سایت Lenovo و همچنین آدرس جستجو موتور جستجوگر google در هفته گذشته در کشور ویتنام hijack شد.

روز چهارشنبه گذشته آدرس اصلی سایت Lenovo در ویتنام،  تصاویر وب کم از یک مرد خسته جوان نشسته در اتاق خواب ، و آهنگ "آخرین رایگان" از دیزنی فیلم های قدیمی را نمایش میداد.

lenovo1-100570054-large
 

روز دوشنبه نیز سایت google.com به ادرس دیگری منتقل می شد. هر دو سایت قربانی domain hijacking شدند که حمله ای روی سرویس DNS برای تغییر مسیر IP با راهکار ترجمه اشتباه DNS می باشد. تغییرات ظاهرا از طریق وب سایت بازرگانی ارتباطات، شناخته شده به عنوان Webnic.cc، یک شرکت مالزیایی انجام شده است.

برای Lenovo تغییر مسیر nameserver ها به CloudFlare انجام شده است و سپس از طریق CloudFlare به مسیر دیگری redirect می شود.  CloudFlare سرویس دهنده رایگان DNS ادعا کرده که برای رفع این مشکل سریعا به Lenovo کمک کرده است. روز دوشنبه برای google.com هم اتفاق مشابه رخ میدهد که مراجعین به این صفحه را به آدرس دیگری منتقل مینماید.

ممکن است که Webnic.cc دارای آسیب پذیری در شبکه خود باشد که اجازه تغییرات را در دامنه ثبت شده میدهد.  این مشکلات لزوم راه اندازی و گسترش روش های جدید محافظت از اطلاعات ثبت شده در دامنه را با روش هایی مانند DNSSEC را روشن مینماید.

منبع خبر :

http://www.pcworld.com/article/2889392/like-google-in-vietnam-lenovo-tripped-up-by-a-dns-attack.html