Веб-серверлерди бузуу - жалпы сереп

Веб-сервер - бул веб-сайттарды сактоо, иштеп чыгуу жана жеткирүү үчүн колдонулган тутум. Ал веб-тиркемелерди жайгаштыруу үчүн иштелип чыгып, кардарларга ошол тиркемелерге кирүүгө мүмкүнчүлүк берет.

Ал клиент-сервер моделинин архитектурасын ишке ашырат, анда сервердин ролу, ал эми браузерде кардардын ролу болот.

Веб-серверлер төмөнкүлөрдөн турат:


  • Документтин тамыры - веб-сайттын HTML файлдарын сактаган папка
  • Сервердин тамыры - конфигурацияны, журналды жана аткарылуучу файлдарды сактаган папка
  • Виртуалдык документ дарагы - башка дискте жайгашкан жана түпнуска диск толгондо колдонулуучу сактагычтын түрү
  • Виртуалдык хостинг - бир серверде бирден ашык домендерди жайгаштыруу
  • Веб-прокси - кардар менен сервердин ортосунда жайгаштырылган сервер, демек, кардардан келип түшкөн бардык сурамдар түздөн-түз серверге эмес, прокси аркылуу серверге өтөт.


Веб-сервердеги коркунучтар жана чабуулдар

Эч кандай компьютердик тутумдагыдай эле, веб-серверлер дагы бузулуп калышы мүмкүн. Чабуулчулар ар кандай ыкмаларды колдонуп, максаттуу веб-серверлерге чабуул жасап, уруксатсыз кирүүгө мүмкүнчүлүк алышат.

Айрым кол салуулар төмөнкүлөрдү камтыйт:


DoS / DDoS чабуулдары

DoS / DDoS чабуулу - бул чабуулчу максаттуу веб-серверге сервердин туура иштешине жол бербөө үчүн көптөгөн суроо-талаптарды жиберген чабуул.

DNS Server уурдоо

DNS серверди басып алуу чабуулу - бул кол салуучу DNS серверин бутага алып, анын картага келтирилген орнотуулары менен ачууланып, кардарларды кол салуучунун зыяндуу веб-сайтына кызмат кылган алдамчы серверге багыттайт.

DNS күчөтүү чабуулдары

DNS Amplification Attack - бул чабуулчу рекурсивдүү DNS суроосун колдонуп, максаттуу IP дареги менен көп сандаган сурамдарды DNS серверге жөнөтүп, максаттуу түрдө анын IP дарегине жооп берүүгө түртөт жана ушундай жол менен максаттуу серверди басып калат.

Каталогдорду кесүү чабуулдары

Каталогдорду кесүү чабуулу - чабуулчу чектелген каталогдорго жетүү үчүн максаттуу URL дарегин башкарган чабуул.


MITM чабуулдары

Ортодогу адам - ​​бул чабуулчу кардардан серверге жана артка кетип жаткан трафикти кармай турган чабуул. Алар кардарды алдап, чабуулчу ишенимдүү адам деп алдоо жолу менен жасашат. Кардар чабуулчу менен байланышты кабыл алгандан кийин, кардар менен сервердин ортосундагы баардык байланыш чабуулчу аркылуу өтүп, аларга маалымат уурдап алууга мүмкүнчүлүк берет.

Фишинг чабуулдары

Фишингдик чабуул - бул чабуулчу бутага зыяндуу шилтемелер менен электрондук почта билдирүүлөрүн жиберген чабуул. Максаттуу шилтемени чыкылдатып, алар зыяндуу веб-сайтына багытталып, аларды купуя маалымат менен камсыз кылууга түртөт. Андан кийин кол салган адам бул маалыматты уурдап алат.

Вебсайтты бузуу

Вебсайтты бузууга кол салуу - бул чабуулчу максаттуу веб-сайттын мазмунуна өзгөртүүлөрдү киргизген чабуул.

Веб-сервердин туура эмес конфигурациясы

Веб-сервердин туура эмес конфигурацияланган чабуулу - бул чабуулчу сервердин туура эмес конфигурациясындагы аялуу жерлерин пайдаланган чабуул.


HTTP Response Splitting Attacks

HTTP Response Splitting чабуулу - чабуулчу жооп саптарына жаңы саптарды киргизип, сервер бир жоопту экиге бөлүп салган чабуул. Андан кийин чабуулчу серверден келген биринчи жоопту башкарып, кардарды зыяндуу веб-сайтка багыттай алат.

Веб-кэштен уулануу

Веб-кэштен уулануу - чабуулчу кэштелген мазмунун зыяндуу мазмунуна алмаштырган чабуул.

SSH Brute Force Attacks

SSH brute force чабуулу - бул чабуулчу SSH кирүү грамоталарын алган жана эки хосттун ортосунда SSH туннелин түзгөн, андан кийин зыяндуу мазмунду өткөрүп бере турган чабуул.

Веб-сервердин паролун бузуп жаткан чабуулдар

Веб-сервердин сыр сөзүн бузуу чабуулу - бул чабуулчу максаттуу сервердин сырсөздөрүн бузуп, аларды жаңы чабуулдарды жасоодо колдонуучу чабуул.


Веб тиркемесинин чабуулдары

Веб тиркемесинин чабуулу - бул чабуулчу колдонмо кодундагы аялуу жерлерин пайдаланган чабуул.



Hacking Methodology

Веб-серверди бузуу методикасы чабуулчуларга ийгиликтүү чабуулду жүзөгө ашыруу үчүн кадамдарды камсыз кылат.

Бул кадамдар:

  • Максаттуу веб-сервер жөнүндө маалымат топтоо
  • Сервердин алыстан кирүү мүмкүнчүлүктөрү, порттору жана кызматтары жөнүндө билип алыңыз
  • Вебсайтты оффлайн режиминде карап көрүү үчүн аны чагылдырыңыз
  • Ачуу жерлерин табыңыз
  • Сеанс басып алуу жана паролду бузуп чабуул жасоо

Маалымат чогултуу кадамы учурунда чабуулчу бутага robots.txt ээ болууга аракет кылышы мүмкүн файл, анда веб-жөрмөлөгүчтөрдөн жашырылган каталогдор жана файлдар бар. Бул файл чабуулчуну сырсөздөр, электрондук почталар жана жашыруун шилтемелер сыяктуу маалымат менен камсыз кылышы мүмкүн.


Жогоруда айтылган кадамдарды жүзөгө ашыруу жана хакердик чабуулда ийгиликке жетүү үчүн чабуулчулар ушул сыяктуу шаймандарды колдонушат Metasploit жана Wfetch .

Metasploit - бул аялуу жерлерди табууга, эксплуатациялоого жана текшерүүгө мүмкүнчүлүк берген өтмө тестирлөө платформасы.

Wfetch - бул баарлашууну оңой түшүнүү үчүн суроо-талапты жана жоопту чагылдырган курал. Аны жаңы веб-сайттардын же жаңы элементтерди камтыган веб-сайттардын, мисалы, Active Server Pages (ASP) же зымсыз протоколдордун иштешин текшерүүчү HTTP сурамдарын түзүү үчүн колдонсо болот.



Веб-серверге каршы аракеттер

Веб-хостинг тармагы үч бөлүктөн турушу сунушталат:

  • Интернет
  • DMZ
  • Ички тармак

Веб-серверди Интернеттен жана ички тармактан бөлүп тургандай кылып DMZге жайгаштыруу керек. Ар бир бөлүгү брандмауэр менен корголуп, өзүнүн борбору же которуштургучу болушу керек.

Дагы бир каршы чара - бул сервердин жаңыланып турушун жана коопсуздук тактары менен түзөтүүлөрүнүн колдонулушун камсыз кылуу. Колдонулбай жаткан портторду жана протоколдорду, ошондой эле бардык керексиз ICMP трафиктерин бөгөт коюу керек.

Демейки сырсөздөр жана колдонулбаган демейки каттоо эсептери өзгөртүлүп, өчүрүлүшү керек.

Сервер бузулбаганы үчүн, журналдарды тез-тез көзөмөлдөп туруу керек.

Аткарылуучу жана кадимки файлдардагы өзгөрүүлөрдү Вебсайттын Өзгөрүүсүн Детектор Системасынын сценарийи аркылуу табууга болот, ал мезгил-мезгили менен файлдарда таштанды салыштыруу жүргүзүлүп, аларга кандайдыр бир өзгөртүүлөр киргизилгендигин жана эскертүү берет.

Кызыктуу Макалалар