இணையத்தள தாக்குதல்-02

 

சரி. கடந்த இணையத்தள தாக்குதல் பற்றிய பதிவில் நாம் ஓர் இணையத்தளம் பற்றிய தகவல்களினை எவ்வாறு தேடிப்பெற்றுக்கொள்வது என்று பார்த்திருந்தோம். இந்தப்பதிவில் அவ்வாறு பெற்றுக்கொண்ட தகவல்களில் அடிப்படையில் எவ்வாறு தாக்குதலினை தொடுப்பது என்றும் குறித்த தளத்திலிருக்கும் தரவுகளினை எவ்வாறு பதிவிறக்கி கொள்வது என்றும் பார்க்கலாம். கடந்த இணையத்தள தாக்குதல் பதிவில் நாம் ஓர் மென்பொருளினை அறிமுகப்படுத்தியிருந்தோம். சிலருக்கு விண்டோஸ் இயங்குதளத்தினில் அதனை உபயோகிப்பது சற்று சவாலாகவே இருந்திருக்கின்றது. நீங்கள் எமக்கு அனுப்பிய தகவல்கள் மூலம் அதனை புரிந்து கொள்ள கூடியதாக இருக்கின்றது. நீங்கள் விண்டோஸ் இயங்கு தளத்தினை உபயோகிப்பதினை விடுத்து Linux Distribution ஆன Ubuntu உபயோகிப்பீர்களே ஆனால் இலகுவில் குறித்த மென்பொருளினை இயக்க முடியும்.

சரி. நாம் விடையத்திற்கு வருவோம். இப்பொழுது நாங்கள் நாம் தாக்கவிருக்கும் இணையத்தளம் பற்றிய போதுமான தகவல்களினை சேர்த்தாகி விட்டது. இனி நாம் தளத்தினை தாக்கி எமக்கு தேவையானதை பெற்றுக்கொண்டால் சரி. முதலில், குறித்த உங்கள் இலக்கு என்ன மென்பொருளினை கொண்டு உருவாக்க பட்டுள்ளது என்று நீங்கள் ஏற்கனவே அறிந்திருப்பீர்கள். அதற்கேற்றால் போல் அத்தளத்தின் Database என்ன என்பதையும் நாம் இலகுவாக அனுமானித்துக்கொள்ளலாம். உதாரணமாக குறித்த தளம் PHP இல் இயங்குகின்றது என்றால் அத்தளமானது கட்டாயம் MYSQL database இனை தன்னகத்தே கொண்டிருக்குக்குமாயின் SQL Injection முறை மூலமாக எங்கள் தாக்குதலினை மேற்கொள்ளலாம். இல்லாது போயின் அனேக தளங்கள் தங்கள் தளத்தினுடைய Administration page URL இனை பாதுகாப்பின்றி இலகுவாக நாங்கள் கண்டுபிடிக்க கூடியவகையில் அமைத்திருப்பார்கள். உதாரணமாக www.yourtarget.com/admin/ இல்லாது போயின் www.yourtarget.com/manage/ இவ்வாறு இலகுவாக நாங்கள் அனுமானிக்க கூடிய வகையில் அமைந்திருக்கும். அவ்வாறு உங்கள் இலக்கு இருக்குமாயின் நீங்கள் Brute force Attack முறை மூலமாக தளத்தின் Admin புகுபதிகைகளை அனுமானித்து தாக்குதல் நடத்தலாம். சரி. இத்தாகுலும் குறித்த தளத்தினில் மேற்கொள்ள முடியாதுபோயின் நீங்கள் செய்ய வேண்டியது XSS தாக்குதலாகும். இத்தாக்குதல் முறைபற்றி நான் ஏற்கனவே ஓர் பதிவிட்டிருக்கின்றேன். அதனை பார்ப்பதற்கு இங்கு சொடுக்கவும். XSS முறையும் உங்களுக்கு வெற்றியளிக்காது போயின் நீங்கள் செய்ய வேண்டியது அல்லது உபயோகப்படுத்த வேண்டியது Exploits ஆகும். Exploits என்பது ஓர் குறித்த மென்பொருளிலோ அல்லது குறித்த சர்வர் மென்பொருளிலே உள்ள ஓட்டையினை பயன்படுத்தி உள்நுழைவதற்கு பயன்படுத்தப்படும் நிரலியாகும். இவை உலகின் பல்வேறு பட்ட கணனி பாதுகாப்பு விற்பன்னர்களால் கண்டறியப்பட்டு தளங்களில் பகிரப்பட்பட்டிருக்கும். நீங்கள் அவற்றினை பதிவிறக்கி உங்கள் தேவைக்கு உபயோகித்துக்கொள்ளலாம். www.exploit-db.com புதிய புதிய Exploits ஜ நாளாந்தம் வெளியிட்ட படி இருக்கும். இத்தளத்தில் உங்களுக்கு தேவையான Exploits நீங்கள் பதிவிறக்கி உபயோகித்துக்கொள்ளலாம்.

சரி. மேற்குறிப்பிட்ட எல்லா வகையிலும் நீங்கள் முயற்சித்தும் உங்கள் தாக்குதல் வெற்றியளிக்கவில்லை என்றால் உங்களுக்கு இருக்கவே இருக்கின்றது மற்றுமொரு தாக்குதல் முறை. ஆம். அதுதான் DNS spoofing or poisoning முறையாகும். இம்முறையானது குறித்த தளத்தின் நேம் சர்வர்களினை தாக்கி குறித்த தளத்திற்கு வரும் உறுப்பினர்களினை நாம் எமது தளத்திற்கு திருப்பிவிடுவதாகும். இத்தாக்குதல் முறைமையினை பயன்படுத்தி அண்மையில் இலங்கையிலிருந்து பல்வேறுபட்ட பிரபலமான தளங்களான Microsoft, Ebay, amazon, apple போன்ற தளங்கள் மீது Srilankan Hackers தாக்குதல் நடத்தியிருப்பதாக ஓர் செய்தி இணையத்தில் பதிவிடப்பட்டிருந்தது. ஆனால் குறித்த தளங்கள் தங்கள் தளங்களில் குறித்த நேரத்தில் பாதுகாப்பாகதான் இருந்தன என்றும் தங்கள் தளங்களில் எந்தவிதமான தாக்குதலும் மேற்கொள்ளபடவில்லை என்றும் செய்தி வெளியிட்டிருக்கின்றன. ஆக.. யார் சொல்வது உண்மை? தெரிவிப்பது நாங்கள் தீர்மானிப்பது நீங்கள். சரி சரி. நாம் விடையத்திற்கு வருவோம்.

குறித்த இந்த DNS spoofing or poisoning முறை மூலத்தாக்குதலும் உங்களுக்கு வெற்றியளிக்காது போயின் இறுதியாக நீங்கள் உபயோகிக்க வேண்டியது Ddos Attack முறையாகும். இம்முறைமையானது தனி ஒருவரால் மட்டும் நடத்தமுடியாத ஒன்றாகும். சொல்லபோனால் Ddos Attack எனப்படுவது குறித்த ஓர் தளத்தின் மீது அளவுக்கதிகமான பயனர்களினை அனுப்பும் போது தளமானது வருகின்ற Traffic ஜ கட்டுப்படுத்த முடியாமல் தளம் செயலிழந்துவிடும். இத்தாக்குதலுக்கு நான்கிற்கும் அதிகமான கணனிகள் உங்களுக்கு தேவை. சில சர்வர்களில் Traffic management நிரலிகள் நிறுவப்பட்டிருக்கின்றன. அத்துடன் IP Deny manager என்கிற மென்பொருளும் நிறுவப்பட்டிருக்கின்றது. இம்மென்பொருளானது ஓர் குறித்த IP முகவரியில் இருந்து அளவுக்கதிகமான Requests வருமாயின் அவற்றினை தானாகவே Block செய்யும் வசதியுடையவை.

என்னடா விலாவாரியாக எல்லாவற்றையும் எழுதுவதாக கூறிவிட்டு இவன் சும்மா நுனிப்புல் மேய்ந்தாற்போல் கூறிவிட்டு செல்கின்றானே? எப்படி தாக்குதல்களினை நடத்துவது என்று படிமுறைகளை கூறாமல் இருக்கின்றானே என்று நீங்கள் நினைப்பது எனக்கு புரிகின்றது. அவசரம் வேண்டாம். இனிவரும் தொடரில் எவ்வாறு ஒவ்வொரு தாக்குதலையும் நடாத்துவது என்று நாங்கள் விலாவாரியாக பார்க்கப்போகின்றோம். பொறுத்திருங்கள் அடுத்த தொடர் வரும் வரைக்கும்.

உங்கள் கேள்விகள் வரவேற்கப்படகின்றன. எமது Twitter page ஊடக நீங்கள் உங்கள் கேள்விகள் மற்றும் சந்தேகங்களினை கேட்டறிந்து கொள்ளலாம். உடனுக்குடன் உங்கள் கேள்விகளுக்கு நாங்கள் பதிலளிக்க காத்திருக்கின்றோம்.