शीर्ष 10 वेब हैकिंग तकनीक 2018

प्रत्येक वर्ष, वेब सुरक्षा विशेषज्ञों का समुदाय वेब अनुप्रयोगों के लिए TOP-10 हमले की तकनीक का चयन करता है। प्रतियोगिता का आयोजन पोर्टस्विगर द्वारा किया जाता है, जो वेब एप्लिकेशन - बर्प सूट के परीक्षण के प्रवेश के लिए सर्वोत्तम उपकरणों में से एक विकसित करता है।

कटौती के तहत, आपको दुनिया भर से चुने गए वेब अनुप्रयोगों पर हमला करने के लिए 10 सर्वश्रेष्ठ नवीन तकनीकें मिलेंगी।

कुल 59 नई हमले तकनीकों को नामांकित किया गया, जिनमें से समुदाय ने मतदान के बाद निम्नलिखित का चयन किया:

10. असुरक्षित कोड का पता लगाने के लिए Google बग ट्रैकर में क्रॉस-साइट खोज (कमजोर स्रोत कोड का पता लगाने के लिए Google की बग ट्रैकर खोज)

मोनोरेल बग ट्रैकिंग सिस्टम में कमजोरियों के संयोजन ने एक हमलावर को अन्य उपयोगकर्ताओं द्वारा लोड किए गए टिकट प्राप्त करने की अनुमति दी। इस प्रणाली का उपयोग एंगल, पीडीएफियम, गेरिट, वी 8, ओपन मीडिया और प्रोजेक्ट जीरो (गूगल) जैसी टीमों द्वारा किया जाता है।

CSRF + XS-Search भेद्यता का उपयोग करते हुए, शोधकर्ता Luan Herrera बग के बारे में जानकारी रखने वाले टिकट सिस्टम में मान्य रिपोर्ट का चयन करने में सक्षम थे।

9. फॉर्मूला इंजेक्शन के माध्यम से डेटा की घुसपैठ

Google शीट्स और लिबरे ऑफिस के ऑनलाइन दस्तावेजों में सूत्रों को इंजेक्ट करके, शोधकर्ता लक्ष्य प्रणाली के बारे में डेटा प्राप्त करने में सक्षम थे।

8. तैयार (): वर्डप्रेस में उपन्यास शोषण तकनीक का परिचय

यह अध्ययन डबल बाइंड चर के दुरुपयोग पर केंद्रित है, साथ ही पीएचपी डिसेरिएलाइजेशन भी है।

7. स्थानीय डीटीडी फाइलों के साथ XXE का शोषण

इस हमले का सार XXE हमले को विकसित करने के लिए स्थानीय DTD फ़ाइलों का उपयोग करना है, इस तथ्य के आधार पर कि फ़ायरवॉल द्वारा दूरस्थ DTDs को अवरुद्ध किया जा सकता है, आदि।

6. PHP में एक नए तरीके से देशीकरण (यह एक PHP Unserialization भेद्यता जिम है, लेकिन जैसा कि हम जानते हैं कि यह नहीं है)

6 वें स्थान पर PHAR अभिलेखागार के साथ काम करते समय PHP व्यवहार की ख़ासियत का एक खतरनाक लेकिन विवादास्पद (लेखकों द्वारा) शोषण है । यह एक ताजा भेद्यता की तरह लगता है, लेकिन 2017 में बेक्ड फोरम में इसकी चर्चा की गई थी, आज के ऑरेंज त्साई हिट परेड के विजेता को पहले HITCON CTF क्वाल्स में इस्तेमाल किया गया था, और इससे पहले यह चुपचाप PHP बगट्रैकर में था ।

5. 'आधुनिक' वेब टेक्नोलॉजीज पर हमला

फ्रांस रोसेन ने बात की कि आप शोषण के लिए HTML5 AppCache का उपयोग कैसे कर सकते हैं।

NodeJS (प्रोटोड प्रदूषण हमलों में NodeJS अनुप्रयोगों में प्रोटो-संपत्तियों) के 4. "प्रदूषण"

इस अध्ययन में __proto __- आधारित हमलों का उपयोग करते हुए NodeJS अनुप्रयोगों के लिए नए RCE पुनर्प्राप्ति विधि का विवरण दिया गया है जो पहले केवल ग्राहक अनुप्रयोगों पर लागू होते थे।

3. XSS के पीछे: ESI इंजेक्शन (बियॉन्ड XSS: एज साइड इन्क्लूड इंजेक्शन)

यह हमला उल्लेखनीय है कि इसमें विभिन्न प्रॉक्सी मेकेनिज्म, बैलेंसर, कैशे सर्वर आदि का उपयोग किया जाता है। अटैक वेक्टर का उद्देश्य एज साइड होता है, जिसमें मार्कअप लैंग्वेज शामिल होती है, जो डायनेमिक कंटेंट सहित कैश्ड कंटेंट में अतिरिक्त जानकारी के उपयोग की अनुमति देती है। ईएसआई कमजोरियों का शोषण XSS हमलों के दौरान HTTPOnly तंत्र को दरकिनार करने और SSRF हमलों का उत्पादन करने की अनुमति देता है।

2. कैश पॉइज़निंग: ining अनएक्स्प्लोएबल ’को पुनर्परिभाषित करना (प्रैक्टिकल वेब कैश पॉइज़निंग:) अनएक्स्प्लोएबल’ को पुनर्परिभाषित करना)

जेम्स केटल (बर्प सूट के डेवलपर्स में से एक) का यह अध्ययन दर्शाता है कि छिपे हुए HTTP हेडर का उपयोग करके अपने वेब कैश को दुर्भावनापूर्ण सामग्री से कैसे संक्रमित किया जाए ।

1. ब्रेकिंग पार्सर लॉजिक: अपना पाथ नॉर्मलाइजेशन बंद कर दें और 0 दिन बाहर रहें! "

पहले स्थान पर कुख्यात ऑरेंज त्साई ने पथ की जाँच की कमियों के आधार पर एक नई हमले की तकनीक के साथ कब्जा कर लिया है, जो एक हमलावर को लक्ष्य वेब सर्वर, रूपरेखा, आदि को प्रभावित करने की अनुमति देता है। यह शोधकर्ता लगातार दूसरे वर्ष के लिए पहला स्थान लेता है।