жертвы или компьютер с компьютера,который был скомпрометирован.Попав на сервер или компьютер через это соединение, хакер может выполнить ряд вредоносных действий.Он может создать бэкдоры,чтобы разрешить последу- ющие входы в систему,скопировать ценную информацию,а также установить вредоносное ПО, которое может распространяться по сети.

Обсуждаемые атаки выявили способы,с помощью которых можно скомпро- метировать компьютеры.Хакеры могутэксплуатировать веб-приложения,как компьютеры и серверы.

В следующей теме будут обсуждаться способы, с помощью которых хакеры незаконно получают доступ к веб-приложениям. Мы также обсудим приемы, с помощью которых хакеры манипулируют конфиденциальностью,доступно- стью и целостностью систем.

Компрометация веб-приложений

Почти все организации присутствуют в сети. Некоторые используют свои сайты для предоставления услуг или продажи продуктов онлайн-клиентам. Такие организации, как школы, имеют онлайн-порталы, которые помогают им управлять информацией и отображать ее несколькими способами раз- ным пользователям. Хакеры давно начали нацеливаться на подобные сайты и веб-приложения, но раньше это делалось просто забавы ради. Сегодня вебприложения содержат очень ценные и конфиденциальные данные.

Хакеры хотят получить эти данные, чтобы украсть их и продать другим сто- ронам или потребовать за них огромный выкуп. Иногда клиенты обращаются к хакерам, чтобы вывести из строя сайты своих конкурентов. Есть несколько способов, с помощью которых можно скомпрометировать сайты.

В следующем обсуждении рассмотрим наиболее распространенные из них. Важная рекомендация – всегда смотрите список Топ-10 уязвимостей от OWASP, чтобы найти последние обновления в списке наиболее важных вебприложений.Посетитесайтwww.owasp.orgдляполучениядополнительнойин-

формации.

SQL-инъекция

Это атака с внедрением кода, нацеленная на обработку входных данных, предоставляемых­ пользователями, в серверной части сайтов, написанных на PHP и SQL. Возможно, это устаревший тип атаки, но некоторые организации слишком небрежны и нанимают кого попало, чтобы им сделали корпоратив- ный сайт. Некоторые даже используют старые версии веб-движков, которые уязвимы для такой атаки. Хакеры предоставляют входные данные, которые могут манипулировать SQL-операторами, приводя к компрометации в сер- верной части и предоставляя доступ к основной базе данных. SQL-инъекции можно использовать для чтения,изменения или удаления баз данных и их со- держимого. Чтобы выполнить атаку с использованием SQL-инъекции, хакеру необходимо создать действительный SQL-сценарий и ввести его в любое поле

манывают SQL-код, работающий в серверной части. По сути, вышеописанные сценарии дополняют ожидаемый запрос корректным условием.Если это было в поле входа в систему, в серверной части, разработчики написали бы SQL- и PHP-код,чтобы проверить,соответствуютли значения,введенные пользова- телем в поля Имя пользователя и Пароль, значениям в базе данных. Вместо этого дополнение 'or '1'='1 предлагает SQL либо завершить сравнение, либо проверить, равны ли между собой единицы. Хакер может добавить еще более вредоносный код с помощьютаких команд,как select или drop.Это можетпри- вести к тому, что база данных выдаст свое содержимое или, соответственно, удалиттаблицы.

Межсайтовый скриптинг

Эта атака напоминает SQL-внедрение, но ее жертвы используют код, напи- санный на JavaScript.В отличие от SQL-инъекций,атака осуществляется в вебинтерфейсе и выполняется динамически. В ходе этой атаки эксплуатируются поля для ввода на сайте, если они не очищены. Межсайтовый скриптинг ис- пользуется хакерами для кражи куков и сессий, а также для отображения окон с предупреждениями.Существуютразличные способы выполнения межсайто- вого скриптинга: хранимый XSS, отраженный XSS и DOM-модели.

Хранимый XSS–это разновидность межсайтового скриптинга,при которой хакер хочет сохранить вредоносный XSS-скрипт в HTML-коде страницы или в базе данных.Затем он выполняется,когда пользователь загружает уязвимую страницу. На форуме хакер может зарегистрировать аккаунт с вредоносным кодом JavaScript.

Этот код хранится в базе данных,но когда пользователь загружает страницу участниковфорума,XSSбудетвыполняться.Другиетипымежсайтовогоскрип- тинга легко распознаются новыми версиями браузеров, поэтому они уже ста- ли неэффективными. Другие примеры XSS-атак можно посмотреть на сайте extra-xss.com.

Ошибки в механизме аутентификации

Это обычная атака, используемая на общедоступных компьютерах, особенно в интернет-кафе. Эти атаки нацелены на компьютеры, поскольку сайты уста- навливают сеансы и хранят cookie-файлы на физических компьютерах, но не удаляют их, когда пользователь закрывает браузер и при этом не выходит из системы. В этом случае хакеру не нужно особо усердствовать, чтобы получить доступ к учетной записи.Следует всего лишь открыть сайт в истории браузера и украсть информацию из зарегистрированных учетных записей.В другом ва- рианте этоготипа взлома хакер наблюдаетв социальных сетях или на форумах чата за ссылками, которые публикуют пользователи. Некоторые идентифика- торы сессии встроены в URL-адрес браузера, и как только пользователь поде- литсяссылкойсидентификатором,хакерысмогутиспользоватьеедлядоступа к учетной записи и поиска личной информации о пользователе.