استفاده از خزنده وب گوگل برای حمله به سایت‌ها

13

دانیل سید (Daniel Cid) توسعه‌دهنده یکی از سیستم‌های پراکسی و فایروال مبتنی بر کلاود وقتی که دید محصولش ارتباطاتی با آدرس IP گوگل را بلوک می‌کند بسیار تعجب کرد. این موضوع بسیار غیرمعمول بود، چرا که وب‌سایت‌های اندکی ممکن است بخواهند ترافیک خزنده‌های وب را (به خصوص اگر به بزرگ‌ترین غول جست‌وجوی اینترنتی مربوط باشد) بلوک کنند. در دنیای کنونی موتورهای جست‌وجو اصلی‌ترین روش دیده شدن سایت‌ها و منبع جذب ترافیک و درآمد هستند. او و همکارش پیش از همه چک کردند که مبادا تنظیمات سیستم آن‌ها به صورت پیش‌فرض سایت گوگل را فیلتر می‌کند.

در تنظیمات سیستم IP گوگل معتبر شناخته می‌شد. ترافیک هم از خزنده وب گوگل بود و به این دلیل بلوک شده بود که سیستم فکر می‌کرد آلوده است و تلاش می‌کند نوعی حمله به نام تزریق سیکوئل (SQL Injection) را انجام دهد. تحقیقات بعدی نشان داد که ارتباطات مشابه دیگری هم از IPهای گوگل بلوک شده‌اند.

crawler

تزریق سیکوئل یکی از روش‌های قدیمی حمله به برنامه‌های وبی ضعیف است. برنامه‌های وبی به صورت معمول بسیاری از پارامترها را در آدرس صفحه یا به اصطلاح URL جای می‌دهند تا از پایگاه‌های داده سایت اطلاعاتی را استخراج کنند. مثلا در همین سایت اگر از کادر جست‌وجو به دنبال چیزی بگردید و بعد آدرس صفحه نتیجه جست‌وجو را نگاه کنید، می‌بینید که عبارت مورد نظر شما پس از یک علامت سوال (?) برای سرور ارسال شده است. برنامه‌های قدرتمند وب به گونه‌ای نوشته می‌شوند که اطمینان حاصل کنند این پارامترها ممکن نیست به انجام دستور یا اتفاقی ناخواسته در سرور منجر شوند. برنامه‌های ضعیف چنین کاری نمی‌کنند و در نتیجه نفوذگران می‌توانند با جای دادن دستورهای SQL در آدرس به سایت نفوذ کرده یا اطلاعاتی را بدزدند.

البته طبیعی است که این خود گوگل نیست که سعی می‌کند با خزنده وبش سایر سایت‌ها را آلوده کند، بلکه شرکای تجاری یا طرف‌های سومم هستند که این کارها را انجام می‌دهند. مراحل کار ساده است. نفوذگران URLهای آلوده خود را برای حمله به سایت موردنظر ایجاد کرده و در یک صفحه وب که در اختیار دارند، قرار می‌دهند. خزنده گوگل پس از دیدن این لینک‌ها سعی در دنبال کردن آن‌ها دارد و ناخودآگاه دستورات آلوده کننده را روی سایت مقصد اجرا می‌کند.

injection

مهم‌ترین مزیت این تکنیک این است که رد حمله‌کننده قابل پیگیری نیست. چرا که خزنده گوگل مشخص نمی‌کند که URL را از چه سایتی خوانده است. اما نقطه ضعف این سیستم هم این است که بازخورد حاصل از این اقدام (موفقیت یا عدم موفقیت) به دست حمله‌کننده نخواهد رسید و به نوعی حمله کور محسوب می‌شود.

مانند بسیاری دیگر از تکنیک‌های نفوذ، این شیوه هم شیوه جدیدی محسوب نمی‌شود. مایکل زالوسکی (Michael Zalewski) این نوع حمله را در سال 2001 توصیف کرده بود. حتی برخی محققین امنیتی ادعا می‌کنند که موارد مشابهی را به گوگل و مایکروسافت اطلاع داده‌اند. به گفته این محققین مایکروسافت تغییراتی را در خزنده‌اش ایجاد کرده است، اما گوگل هیچ واکنشی نشان نداده و ادعا کرده برنامه‌اش آن‌گونه که باید کار می‌کند.

به هر حال تنها راه‌حل ایمن نگاه داشتن سایت‌ها در برابر حمله‌های تزریق سیکوئل است.

منبع(+)


اگر خواننده جدید سایت «یک پزشک»  هستید!
شما در حال خواندن سایت یک پزشک (یک پزشک دات کام) به نشانی اینترنتی www.1pezeshk.com هستید. سایتی با 18 سال سابقه که برخلاف اسمش سرشار از مطالب متنوع است!
ما را رها نکنید. بسیار ممنون می‌شویم اگر:
- سایت یک پزشک رو در مرورگر خود بوک‌مارک کنید.
-مشترک فید یا RSS یک پزشک شوید.
- شبکه‌های اجتماعی ما را دنبال کنید: صفحه تلگرام - صفحه اینستاگرام ما
- برای سفارش تبلیغات ایمیل alirezamajidi در جی میل یا تلگرام تماس بگیرید.
و دیگر مطالب ما را بخوانید. مثلا:

21 مهارتی که ای کاش در مدرسه یا جای دیگر مقدمات آنها را به ما می‌آموختند!

درس و دانشگاه بسیارند، اما وقتی وارد کار واقعی و زندگی می‌شوید می‌بینید که مهارت‌های زیادی لازم دارید تا تبدیل به یک آدم موفق شوید یا به آرامش و خوشبختی بیشتری در زندگی برسید. گاهی دوره‌های آموزشی خوبی برای آنها وجود دارد و گاهی هم باید…

گالری عکس: طراحی‌های داخلی و خارجی افتضاح و عجیب که با کمی قدرت شبیه‌سازی مغزی رخ نمی‌دادند!

چیزی که من اسمش را می‌گذارم شبیه‌سازی مغزی واقعا چیز لازمی در زندگی و کار است. یعنی اینکه بتوانید قبل از جابجایی و ساختن اجسام در ذهن تجسمش کنید و بعد حین کاربری‌های مختلف تصورش کنید و پیش‌بینی کنید که کجای کار می‌لنگد.فکر کنم از زمان…

چگونه ترانه Careless Whisper جورج مایکل موفق‌ترین موسیقی دوره حرفه‌ای او شد

برای پنجمین سال متوالی، ترانه‌ای که جورج مایکل در سال 1984 خوانده بود به عنوان آهنگ مورد علاقه بریتانیا انتخاب شد. این رتبه بندی بر اساس نظرسنجی Smooth Radio به دست آمد که بر اساس آن این ترانه 32000 رای به دست آورد. ترانه این سوپراستار فقید…

سلبریتی‌ها اگر کاری عادی داشتند – پاسخ‌های تصویری میدجرنی

چه می‌شد اگر یک هنرپیشه نامدار در سنی طلایی امکان جذب شدن در رشته بازیگری را پیدا نمی‌کرد یا بحرانی خانوادگی او را وادار به سال‌ها کار عادی می‌کرد. چه می‌شد اگر نخستین کسانی که تست بازیگری از او می‌گرفتند، به کلی مایوس و دلسردش می‌کردند.…

رهبران شرکت‌ها و کشورها در قالب افراد بی‌خانمان- چه کسی می‌داند اگر جبر جغرافیایی و اکوسیستم نبود،…

اگر پدر زیستی استیو جابز او را در یک سناریویی تخیلی به سوریه می‌برد، استیو جابز چه سرنوشتی پیدا می‌کرد؟ یک کارمند؟ یک مدیر رده میانی؟ یکی از انبوه کشته‌های جنگ داخلی این کشور؟بدیهی است که اکوسیستم مناسب و شرایط اقتصادی و یک آبشار…

عکس این درخت‌های عجیب در دوره جنگ جهانی دوم اصلا ویرایش نشده‌اند!

این عکس شگفت‌انگیز جنگ جهانی دوم ممکن است عکس ویرایش شده یا فیک به نظر برسد. اما واقعا این طور نیست.در این عکس سورئال، که بخشی از آرشیو عکاسی نیرو‌های دفاع فنلاند است، یک ماشین ارتش فنلاند در امتداد جاده‌ای در چند مایلی مرز با اتحاد…
آگهی متنی در همه صفحات
دکتر فارمو / موتور فن کویل / شیشه اتومبیل / نرم افزار حسابداری / خرید سیلوسایبین / هوش مصنوعی / قیمت وازلین ساج / مقاله بازار / شیشه اتومبیل / قیمت ایمپلنت دندان با بیمه /سپتیک تانک /بهترین دکتر لیپوماتیک در تهران /بهترین جراح بینی در تهران / آموزش تزریق ژل و بوتاکس / دوره های زیبایی برای مامایی / آموزش مزوتراپی، PRP و PRF /کاشت مو / مجتمع فنی تهران /قیمت روکش دندان /خدمات پرداخت ارزی نوین پرداخت / درمان طب / لیست قیمت تجهیزات پزشکی / دانلود آهنگ / سریال ایرانی کول دانلود / دانلود فیلم دوبله فارسی /داروخانه اینترنتی آرتان /اشتراك دايت /فروشگاه لوازم بهداشتی /داروخانه تینا /لیفت صورت در تهران /فروش‌ دوربین مداربسته هایک ویژن /سرور مجازی ایران /مرکز خدمات پزشکی و پرستاری در منزل درمان نو /توانی نو / ثبت برند /حمل بار دریایی از چین /سایت نوید /پزشک زنان سعادت آباد /کلاه کاسکت / لمینت متحرک دندان /فروشگاه اینترنتی زنبیل /ساعت تبلیغاتی /تجهیزات پزشکی /چاپ لیوان /خرید از آمازون /بهترین سریال های ایرانی /کاشت مو /قیمت ساک پارچه ای /تولید محتوا /دانلود نرم افزار /
13 نظرات
  1. فرشاد می گوید

    این مورد را حقیقتا تنها گردن گوگل نمیشه انداخت ، البته که میتواند با تغییراتی در خزنده به نوعی جلوی این حملات را بگیرد اما اصل داستان به گردن وب مسترهایی است که سیستم های مورد استفاده را که عموما رایگان هستند اپدیت نمیکنند و یا از کدهای نال شده و نامعتبر استفاده میکنند و همچنین برنامه نویس هایی که اصلا به امنیت کد توجهی نمیکنند .
    SQL Injection حتی در این حالت کور هم میتوانید بسیار خطرناک و مخرب ظاهر شود .

  2. مهدی می گوید

    سیکوئل! اس کیو ال صحیح است.

    1. احمد شریف‌پور می گوید

      سلام دوست عزیز
      هر دو تلفظ صحیح و درست است. به مدخل ویکی پدیا نگاه کنید (همون سطر اول) هر دو تلفظ رو آورده.

      1. ناشناس می گوید

        sometimes!!!

      2. سید عماد رضوی می گوید

        تلاشت برای اینچنین ایراد گرفتن از نوشته ی دکتر قابل تقدیر بود :)) امثال من به اعتماد به نفست احتیاج دارن :)))

  3. آرما می گوید

    این یک بحث قدیی هست!
    معمولا به SQL Server میگن سکوئل سرور و به My SQL میگن مای اس کیو ال!
    به SQL Injection هم نمیگن تزریق سکوئل بلکه میگن تزریق اس کیو ال.
    در هر صورت حتی اگر به طور غلط بخواهیم بهش بگیم سکوئل، باز سیکوئل غلط هست. “ی” نباید وجود داشته باشد.

    1. پویا می گوید

      من که کلاً با این روش فارسی نوشتن لغات انگلیسی مخالفم.

      1. فرشاد می گوید

        منم همینطور! کلاً باعث حواس پرتی و صرف وقت بیشتر برای بهتر درک کردن توسط خواننده میشه. بگذریم از اینکه چنین کاری گاهی اوقات باعث بوجود اومدن سوء تفاهم در ارایه مطلب هم میشه.

      2. محبت می گوید

        موافقم

    2. صالح می گوید

      با این نظر موافقم.

    3. پارک بازاریابی می گوید

      خسته نباشید… مطلب جالبی بود…
      من نیز با نظر دوستان موافقم و نباید بعضی کلمات به فارسی نوشته شود.

  4. شابلون می گوید

    چه سوتی وحشتناکی 🙂

    سیکوئل 🙂

  5. احسان سرادار می گوید

    “به هر حال تنها راه‌حل ایمن نگاه داشتن سایت‌ها در برابر حمله‌های تزریق سیکوئل است.”

    WTF؟؟؟

ارسال یک پاسخ

آدرس ایمیل شما منتشر نخواهد شد.

••4 5