https://virgool.ir/feed/@Zedcoteamدر پی مطالب جالب...fa2026-11-11 16:36:28https://files.virgool.ir/upload/users/1639325/avatar/39xOZ0.jpghttps://virgool.ir/@Zedcoteamhttps://virgool.ir/@Zedcoteam/چطوری-سایتمون-رو-به-فنا-بدیم-yo197oanvg2aوبسرور هاسلام امیدوارم که حالتون خوب باشه.داشتم برای بار نمیدونم چندم ناتاس رو حل میکردم و گفتم چون این روزا فاز نوشتن دارم بیام یه مقدار راجب روش هایی که میتونیم باهاشون سایتمون رو به فنا بدیم حرف بزنم!بریم سراغ اصل مطلباز ناتاس 2 به بعد چیزایی که داریم همش نقص کد نویسی و کانفیگ اشتباه وب سرور هستش که میشه از مراحل اولش برای توضیح استفاده کرد ( شایدم خودم نمیتونم حل کنم مرحله های بالاترشو )در هر صورت از مرحله 3 شروع میکنیموقتی واردش میشیم یه همچین صفحه ای داریم :ناتاس 3خب شاید نا امید کننده باشه و شایدم نه ولی خب تابلو بود که تو این صفحه نیست!میریم سورسشو چک میکنیم ببینیم چیزی پیدا میشه یا نه!سورس ناتاس 3خب یجورایی خودش تو کامنت ها خودشو لو داد.میگه : اطلاعات بیشتری بت نمیدم , نه تو! حتی به گوگل هم نمیدم!قطعا اگه کسی باشه شک میکنه به قسمت دوم جمله...به گوگل هم نمیدی ؟؟ چطور؟خب میدونیم تو بحث سئو یه چیزی داریم به نام robots.txt که این داداشمون کارش چیه ؟ میاد به ربات های گوگل میگه که به کسی اجازه نده بیاد تو این صفحه ها یا به عبارتی : این صفحات رو تو گوگل نشون نده!که ویژگی هاش دقیقا مثل چیزیه که بهمون گفت! قرار بود لو نده ولی داد...خب انتظار میره فایل robots.txt توی وبسرور مسدود شده باشه که من یوزر نتونم ببینمش!چک میکنیم :robots.txtدی دی دی دینپیداش کردیم. خب قطعا هم کسی نمیتونه بره داخلش!به ادرس فوق امن /s3cr3t/ میریمs3cr3tخب مثل اینکه مشکل رو حل کردیم!مرسی از اپاچی عزیز که خیلی خوب جلوی نفوذ ما به این صفحه رو گرفتخب وارد users.txt میشیم :natas4:tKOcJIbzM4lTs8hbCmzn5Zr4434fGZQmدی دی دی دین 2خب پسورد رو داد بهمون. و میتونیم بریم مرحله بعدی!!!همونطور که دیدید داخل این نمونه که حل کردیم تمام مشکلات از کانفیگ وبسرور بود ! و این خطری نداشت ولی درصورتی که سایت شما سایت بزرگی باشه و یوزر داشته باشید همین مشکل کانفیگ وبسرور میتونه تمام اطلاعات و کل وبسایت شمارو به خطر بندازه و کلی ضرر مالی و غیر مالی بهتون بزنه پس اگه دوس دارید سایت خودتون رو به فنا بدید این یکی از روش هاشه!داخل پارت های بعدی هم راجب روش های دیگه به فنا دادن سایت بیشتر صحبت میکنیم و سعی میکنم ادامه دار باشه!امن باشید...تا مطلب بعدی خدانگهدار:)متین فرهانیمتین فرهانیTue, 09 Jan 2024 20:16:33 +0330https://virgool.ir/@Zedcoteam/هک-شدن-اسنپ-فود-و-اینکه-چطوری-میتونیم-امن-باشیم-و-اپ-های-امن-بسازیم-q5rpbmjfv1sp 20 میلیون یوزر لو رفته که میشه گفت کل یوزر های اسنپ فوده!!که اطلاعات بخشی از یوزر ها لو رفته!!!اونم نه کامل!فقد در از اسمو شماره و ادرس خونه تا رنگ زیر شلواریت!وگرنه اطلاعات کارتتون کامل لو نرفته!من متخصص امنیت نیستم و ادعایی هم ندارم در این موردولی در حوزه بک اند راه زیاد داریمدرواقع انتظار میره شرکتی مثل اسنپ فود برای پسورد یوزر ها و اطلاعات کاربرا حساسیت بیشتری به خرج بده!درواقع نفوذ به دیتابیس در هر اپ یا وبسایتی ممکنه ولی لو رفتن اطلاعات یوزر ها نباید قابل دسترسی باشه حداقل به راحتی! هرچند پسورد ها هم بصورت اشکار نیستن و hash شدناما نه به اون حساسیتی که باید!درواقع در ذخیره سازی اطلاعات حساس مانند پسورد باید الگوریتم های زیادی به کار بره نه فقد یک hash سادههرچند یکطرفه هستش و قابلیت معکوس کردن نداره ولی خب میدونیم که همیشه فلان پسورد هشش میشه فلان چیزپس میدونیم که من هرموقع پسوردم 12345678 باشه در نتیجه خروجیمم همیشه مثلا abcd1234 هستشدرنتیجه اگر 12345678 پسورد محبوبی بین مردم باشه و از 20 میلیون یوزر 1 میلیون پسوردشون این باشهیعنی من اطلاعات 1 میلیون نفر رو دارم!راه حل جالب تر ( اینی که میگم نمونه سادش هستش و میشه بهترش کرد ) اینه که بیایم یه چیز به ادامه اون هشمون اضاف کنیمپسورد ما 12345678 تبدیل به هش میشه که هشش abcd1234 هستمیایم چیکار میکنیممیگیم هش خروجی همیشه 8 کاراکترهچه پسورد ما 1 کاراکتر داشته باشه چه 100 کاراکترپس میایم میگیم اوکی ما abcd1234 رو داریم که در واقع خروجی هش ما هستشمیایم میگیم که همیشه زمانی که پسورد رو هش کردی و خروجی رو گرفتی یه عدد جلوی این هش خروجی بزار مثل 7abcd12347jcoso81937uieiji62457چیزی که تابلوعه اینه که اخر همشون هفته!پس بازم گند زدیماهاااااا فهمیدم!!!!میایم که کار جالب تر میکنیممیگیم یک عدد رندوم انتخاب کن بزار جلوی این که از یک الگوریتم ریاضی پیروی کنه مثلا اعداد مضرب 2درنتیجهabcd1234 + 2jkdo1235 + 4این ها مثاله و میتونیم الگوریتم خیلی پیچیده تری براش در نظر بگیریم!مثلا مضرب عدد 9928 - 120بازم مثاله این هاحالا خروجی های سخت تری داریمjfndjnvi2939232904njdkfonvjo93203923بازم اگه اون هکر گرامی خیلی ادم کنه ای باشه این رابطه ریاضی رو هم کشف میکنه پس ...میایم میگیم که بعدشم یه متن و یه عدد بزار که پیدا نباشهفرقی هم نداره که اون متن یا عدد چی باشه و اصلا نیاز به الگوریتم نداره!پس شد :hash + عدد رندوم بر پایه الگوریتم + chert and pertabcd1234 + 82392 + m1820dusما میدونیم همیشه عدد مورد نظرمون مضرب فلان عدده و همیشه هم از بعد کاراکتر هشتم متن شروع میشهپس خودمون میتونیم یه حرکاتی باهاش بزنیم ولی چیزایی که بعد عدد میاد کاملا چرت و پرت و جهت گمراهیهپس عملا ما یک پسوردی داریم که تا حدودی قابل هک نیست!ولی هیچوقت از یاد نبرید که همچیز قابل هکه پس اگر اطلاعاتتون براتون با ارزشهپسورد خوب بزارید!تا پسوردتون خیلی خیلی دیرتر هک بشه و یا اصلا هک نشهمنظورم اسنپ فود نیست!هر برنامه ای!پس حتما سعی کنید اگر یوزر هستید پسوردتون هم عدد هم کاراکتر و هم متن داشته باشه و اگر دولوپر هستید لطفا برای اطلاعات یوزر هاتون ارزش قاعل باشید که فقد همین مورده که باعث میشه شما در چشم یوزر هاتون با ارزش بشید و جوری اپتون و بازیتون رو توسعه بدید که یوزر واقعا امنیت رو توی اپ شما احساس کنه که هیچ چیزی از این مهم تر نیست و همین چیز هستش که باعث میشه یه اپ و یک برنامه معروف بشه بین مردم!در نهایت امیدوارم که براتون مفید بوده باشه .مواظب خودتون و اطلاعاتتون باشید!و بخاطر یک نیاز ساده که قابل حله از هر پلتفرمی استفاده نکنید...شبتون بخیر😄متین فرهانیمتین فرهانیWed, 03 Jan 2024 01:19:36 +0330