من از اون آسمون آبی میخوام ........

یکم امنیت
نویسنده : مهدی - ساعت ۳:٢۱ ‎ب.ظ روز ۱۳۸۸/۱٠/۱٠
 

سلام به ههمه دوستام

دیروز یکی از دوستام باهام تماس گرفت بدجور صداش می لرزید خیلی هم ناراحت بود گفتم چیشده؟ فهمیدم ایمیل هک شده و خیلی ناراحته خلاصه چند ساعتی وقت گذاشتم تا تونستم ایمیلشو بهش برگردونم اما ازش خواستم تمام کارتهای بانکیشو و حسابهای پی پال و غیره شو رو هم عوض کنه خیلی ناراحت شدم سعی کردم ببینم چطوری هکر تونسته بود به ایمیلش دسترسی پیدا کنه بعد از برسی تمام میلهاش بالاخره پیداش کردم از یه روش قدیمی که ٢ سال پیش بدجور سر و صدا راه انداخته بود استفاده کرده بود نفوز پذیری وب با یک سری اسکریپت داخل یه صفحه یا همان ایک اس اس (کراس سایت اسکرپیتینگ)

حالا اینکه اون چیه رو تو پایین صفحه براتون میگم ولی برای جلوگیریش اینکارها بکنید

اول- اگه از میل تحت وب استفاده میکنید(مثل جی میل یاهو -هاتمیل) یکی از روشهای جلوگیری از اجرای ایکس اس اس  ایمیل را روی حالت Plain Text (نوشته خالی بدون (HTML قرار داد تا کدهای مخرب خود به خود اجرا نشوند.

دوم-از کسانی که نمیشناسید به هیچ وج میلی که دریافت کرده اید  را باز نکنید . شاید با انتخاب و فروارد آن به یک میلی دیگر سر فرصت با احتیاط بتوانید آن میل را نیز بخوانید.

سوم- حتما میلتون را ساین اوت(خروج) کنید و بعد از بستن اینترنت اکسپلور یا هر بروزر دیگر توی قسمت سکیوریتی بروید و همه ردپاها از جمله کوکی ها را پاک کنید

چهارم- هیچ وقت هم زمان میل و صفحه مربوط به بانک و یاسایت (برای مدیران سایت) و کللا صفحه مهم را  با هم باز نکنید

پنجم-گزینه به یاد آوری شناسه و رمز کاربری در مرورگر های خود را غیر فعال و رمزکاربری ایمیل خود را حداقل هر ماه یک بار عوض کنند.

ششم-  ایمیل مجزایی برای حساب های کاربری مهم آنلاین خود مانند سرور، وبلاگ و حساب بانک ثبت کنید و از آن ایمیل برای ارتباطات روزمره استفاده نکنید.

http://en.wikipedia.org/wiki/Cross-site_scripting

و حالا اکس اس اس چیست؟

Cross Site Scripting یا به صورت خلاصه «اکس اس اس» یکی از رایج ترین حملاتی است که در حال حاضر کاربران وب را هدف گرفته است.

در این نوع حمله با باز کردن یک صفحه اینترنتی، کلیک کردن روی یک لینک و یا باز کردن ایمیل، کدی به صورت مخفیانه روی کامپیوتر کاربر اجرا می شود که می تواند اطلاعات مهمی را از روی کامپیوتر کاربر سرقت کند.

ماهیت این حمله به گونه‌ای است که اغلب کاربران تصورش را هم نمی‌کنند که ممکن است به همین سادگی اطلاعات خودشان را از دست بدهند به همین دلیل این نوع حمله دست کم گرفته می‌شود.

برای مثال کاربر روی لینکی که توسط ایمیل برای او فرستاده شده کلیک می کند و یک صفحه اینترنتی را باز می کند، با انجام این کار، هکر می تواند کوکی مربوط به ایمیل کاربر را سرقت کند و از طریق آن وارد ایمیل کاربر بشود تا به اطلاعات او دسترسی پیدا کند.

این سناریو در مورد بقیه حساب های کاربری اینترنتی هم امکان پذیر است.

در حملات «اکس اس اس» فقط با مشاهده یک صفحه اینترنتی که کدهای حمله در آن مخفی شده‌اند کامپیوتر مورد حمله قرار می‌گیرد و کاربر هم از آن مطلع نمی شود.

زمانی که کاربر وارد یک حساب اینترنتی مانند ایمیل، حساب بانکی یا حساب‌های کم اهمیت‌تر می‌شود اطلاعاتی توسط سرورهای این حساب‌ها روی کامپیوتر استفاده کننده ذخیره می شود.

حملات «اکس اس اس» می‌توانند این اطلاعات را از روی کامپیوتر کاربر بربایند و هکر با داشتن این اطلاعات به حساب اصلی دسترسی پیدا کند.

به عنوان مثال کاربری در حال خواندن یک صفحه وب است که به کدهای مخرب آلوده است و همزمان در حساب بانکی خود هم وارد شده است.

هکر می‌تواند با مخفی کردن یک کد در صفحه‌ای که توسط کاربر در حال خوانده شدن است از ضعف سیستم بانکی استفاده کرده و وارد حساب بانکی او بشود.

اطلاع کم استفاده کنندگان اینترنت و نبود ابزارهای مناسب برای جلوگیری از این حملات سبب شده که کاربران به راحتی قربانی این حملات بشوند و به نظر می رسد که هکرهای ایرانی هم به خوبی از این روش حمله برای دسترسی به اطلاعات استفاده می کنند.

در مقابل حملات جدید ایمن نیستید

اغلب کاربران تصور می کنند با داشتن آنتی ویروس، به روز نگاه داشتن سیستم عامل و مرورگر و استفاده از فایروال در مقابل تمامی خطرات ایمن هستند.

اما این ابزارها در مقابله با حملات اکس اس اس موثر نیستند. برای همین به راحتی کاربران می توانند قربانی این نوع حمله شوند، حتی کاربران با دانش فنی بالا.

کارشناسان توصیه می کنند که در انتخاب مرورگر اینترنتی خود دقت زیادی داشته باشید.

به نظر می رسد که در حال حاضر مرورگر فایرفاکس بیشترین امنیت را برای مقابله با حملات «اکس اس اس» داشته باشد.

نصب یک افزونه به نام NoScript در مرورگر فایرفاکس هم به کاربران کمک می کند تا در برابر این گونه حملات ایمنی بسیار بیشتری داشته باشند.

بیشتر این حملات از طریق لینک هایی صورت می گیرد که توسط ایمیل برای کاربران ارسال شده است. کلیک نکردن بر روی لینک هایی که توسط ایمیل ارسال شده است یکی از راه‌های مقابله است.

می‌توان لینک ها را به صورت دستی در مرورگر تایپ کرد تا این اطمینان وجود داشته باشد که به همان سایت مورد نظر هدایت می‌شوید.

گاهی اوقات بدون کلیک کردن روی یک لینک و فقط با باز کردن یک ایمیل، امکان سرقت اطلاعات کاربر نیز وجود دارد.


 
 
 




WebDarWeb