Làm thế nào họ hack wensite của bạn

[Admin]

Chúng tôi nghe các điều khoản tương tự bandied về bất cứ khi nào một trang web phổ biến bị tấn công. You know… SQL Injection, cross site scripting, that kind of thing. Bạn có biết ... SQL Injection, cross site scripting, mà loại điều. But what do these things mean? Nhưng những gì làm những điều này có nghĩa gì? Is hacking really as inaccessible as many of us imagine; a nefarious, impossibly technical twilight world forever beyond our ken? Là hack thực sự là không thể truy cập như nhiều người trong chúng ta tưởng tượng; một bất chính, kỹ thuật impossibly hoàng hôn mãi mãi thế giới vượt ken của chúng tôi?
Not really. Không thực sự.

When you consider that you can go to Google right now and enter a search string which will return you thousands of usernames and passwords to websites, you realize that this dark science is really no mystery at all. Khi bạn xem xét rằng bạn có thể vào Google ngay bây giờ và nhập vào một chuỗi tìm kiếm mà bạn sẽ trở lại hàng nghìn tên người dùng và mật khẩu đến các trang web, bạn nhận ra rằng khoa học này thực sự là không có bóng tối bí ẩn ở tất cả. You'll react similarly when you see just how simple a concept SQL Injection is, and how it can be automated with simple tools. Bạn sẽ phản ứng tương tự khi bạn nhìn thấy chỉ là cách đơn giản, một khái niệm SQL Injection là, và làm thế nào nó có thể được tự động bằng các công cụ đơn giản. Read on, to learn the basics of how sites and web content management systems are most often hacked, and what you can do to reduce the risk of it happening to you. Đọc trên, để tìm hiểu những căn bản của các trang web như thế nào và quản lý hệ thống mạng nội dung là thường xuyên nhất tấn công, và những gì bạn có thể làm để giảm thiểu nguy cơ nó xảy ra với bạn.

SQL Injection SQL Injection
SQL Injection involves entering SQL code into web forms, eg. SQL Injection liên quan đến việc nhập mã SQL vào biểu mẫu web, ví dụ. login fields, or into the browser address field, to access and manipulate the database behind the site, system or application. các lĩnh vực đăng nhập, hoặc vào trường địa chỉ của trình duyệt, truy cập và thao tác các cơ sở dữ liệu đằng sau trang web, hệ thống hay ứng dụng.

When you enter text in the Username and Password fields of a login screen, the data you input is typically inserted into an SQL command. Khi bạn nhập văn bản trong các lĩnh vực Tên đăng nhập và mật khẩu của một màn hình đăng nhập, dữ liệu bạn nhập vào thường chèn vào một lệnh SQL. This command checks the data you've entered against the relevant table in the database. Lệnh này sẽ kiểm tra dữ liệu bạn đã nhập đối với các bảng có liên quan trong cơ sở dữ liệu. If your input matches table/row data, you're granted access (in the case of a login screen). Nếu đầu vào của bạn trùng với bảng / dữ liệu hàng, bạn đã cấp quyền truy cập (trong trường hợp một màn hình đăng nhập). If not, you're knocked back out. Nếu không, bạn đang gõ lại ra ngoài.

The Simple SQL Injection Hack The Simple SQL Injection Hack

In its simplest form, this is how the SQL Injection works. Trong hình thức đơn giản nhất, đây là cách SQL Injection công trình. It's impossible to explain this without reverting to code for just a moment. Nó không thể giải thích điều này mà không cần quay trở lại mã cho thời điểm này chỉ là một. Don't worry, it will all be over soon. Đừng lo lắng, tất cả sẽ được sớm hơn.

Suppose we enter the following string in a Username field: Giả sử chúng ta nhập vào chuỗi sau đây trong một lĩnh vực Tên:

' OR 1=1 'OR 1 = 1

The authorization SQL query that is run by the server, the command which must be satisfied to allow access, will be something along the lines of: Các truy vấn SQL ủy quyền đó là do máy chủ, lệnh đó phải được hài lòng cho phép truy cập, sẽ có một cái gì đó dọc theo dòng:

SELECT * FROM users WHERE username = ' USRTEXT ' SELECT * FROM users WHERE username = 'USRTEXT'
AND password = ' PASSTEXT ' Và mật khẩu = 'PASSTEXT'

…where USRTEXT and PASSTEXT are what the user enters in the login fields of the web form. ... Nơi USRTEXT và PASSTEXT là những gì người dùng nhập vào trong các lĩnh vực đăng nhập của các mẫu web.

So entering `OR 1=1 — as your username, could result in the following actually being run: Vì vậy, khi nhập `OR 1 = 1 - như tên đăng nhập của bạn, có thể dẫn đến việc sau đây thực sự đang chạy:

SELECT * FROM users WHERE username = ' ' OR 1=1 — 'AND password = '' SELECT * FROM users WHERE username = '' OR 1 = 1 - 'AND password =''

Two things you need to know about this: Hai điều bạn cần biết về việc này:
['] closes the [username] text field. [ '] Đóng [tên người dùng] văn bản lĩnh vực.

' ' ' is the SQL convention for Commenting code, and everything after Comment is ignored. 'Là ước SQL cho ý kiến mã, và tất cả mọi thứ sau khi luận được bỏ qua. So the actual routine now becomes: Vì vậy, các thói quen bây giờ thực sự trở thành:

SELECT * FROM users WHERE username = '' OR 1=1 SELECT * FROM users WHERE username =''OR 1 = 1

1 is always equal to 1, last time I checked. 1 là luôn luôn bằng 1, cuối thời gian tôi kiểm tra. So the authorization routine is now validated, and we are ushered in the front door to wreck havoc. Vì vậy, các thói quen ủy quyền bây giờ là xác nhận, và chúng tôi đang mở ra cửa trước để wreck havoc.

Let's hope you got the gist of that, and move briskly on. Hãy hy vọng bạn sẽ nhận được các gist đó, và di chuyển briskly ngày.

Brilliant! Brilliant! I'm gonna go hack me a Bank! I'm gonna go hack tôi một Ngân hàng!
Slow down, cowboy. Chậm, cowboy. This half-cooked method won't beat the systems they have in place up at Citibank, evidently. Đây nửa phương pháp nấu chín sẽ không đánh bại những hệ thống họ có nơi lên tại Citibank, rõ ràng.



But the process does serve to illustrate just what SQL Injection is all about — injecting code to manipulate a routine via a form, or indeed via the URL. In terms of login bypass via Injection, the hoary old ' OR 1=1 is just one option. Tuy nhiên, quá trình phục vụ không chỉ để minh họa những gì SQL Injection là tất cả về - tiêm chích ma để thao tác một thói quen thông qua một hình thức, hoặc thực sự thông qua URL. Về bỏ qua đăng nhập thông qua tiêm, các bạc hoa râm cũ 'OR 1 = 1 chỉ là một trong tùy chọn. If a hacker thinks a site is vulnerable, there are cheat-sheets all over the web for login strings which can gain access to weak systems. Nếu một hacker nghĩ rằng một trang web là dễ bị tổn thương, có cheat-tấm khắp nơi trên web cho chuỗi đăng nhập mà có thể được truy cập vào hệ thống yếu. Here are a couple more common strings which are used to dupe SQL validation routines: Dưới đây là một vài dây phổ biến hơn được sử dụng để xác nhận người bị mắc mưu thói quen SQL:

username field examples: trường tên người dùng ví dụ:

•admin'— admin' -
•') or ('a'='a ') Hoặc (' a '=' a
•”) or (“a”=”a "), Hoặc (" a "=" một
•hi” or “a”=”a hi "hoặc" một "=" một
… and so on. ... Và vv.

Backdoor Injection- Modules, Forums, Search etc. Backdoor Injection-Modules, Diễn đàn, tìm kiếm vv
Hacking web forms is by no means limited exclusively to login screens. Hacking mẫu web là do không có nghĩa là hạn chế độc quyền cho màn hình đăng nhập. A humble search form, for instance, is necessarily tied to a database, and can potentially be used to amend database details. Một hình thức tìm kiếm khiêm tốn, ví dụ, có nhất thiết phải gắn với cơ sở dữ liệu, và có khả năng có thể được sử dụng để sửa đổi các chi tiết cơ sở dữ liệu. Using SQL commands in search forms can potentially do some extremely powerful things, like calling up usernames and passwords, searching the database field set and field names, and amending same. Sử dụng lệnh SQL trong các hình thức tìm kiếm có tiềm năng có thể làm một số điều cực kỳ mạnh mẽ, giống như cách gọi đến tên người dùng và mật khẩu, tìm kiếm các lĩnh vực thiết lập cơ sở dữ liệu và tên trường, và sửa đổi như vậy. Do people really get hacked through their search forms? Do những người thực sự có được hack thông qua các hình thức tìm kiếm của họ? You better believe it. Bạn có tin rằng nó tốt hơn. And through forums, and anywhere else a user can input text into a field which interacts with the database. Và thông qua các diễn đàn, và bất kỳ nơi nào khác một người sử dụng có thể nhập văn bản vào một lĩnh vực có tương tác với cơ sở dữ liệu. If security is low enough, the hacker can probe the database to get names of fields, then use commands like INSERT INTO , UNION , and so forth to get user information, change product prices, change account settings/balances, and just about anything else… depending on the security measures in place, database architecture and so on. Nếu bảo mật là thấp đủ, các hacker có thể thăm dò cơ sở dữ liệu để có được tên của các trường, sau đó sử dụng lệnh như INSERT INTO, ĐOÀN, và vv để có được thông tin người dùng, thay đổi giá sản phẩm, thay đổi các thiết lập tài khoản / số dư, và bất cứ thứ gì khác ... tùy thuộc vào các biện pháp an ninh tại chỗ, cơ sở dữ liệu kiến trúc và như vậy.

So you can have security locked down at the login, but poor security on other forms can still be exploited. Vì vậy, bạn có thể có bảo mật khóa cửa tại đăng nhập, nhưng người nghèo an ninh trên các hình thức khác vẫn có thể được khai thác. Unfortunately this is a real worry regarding 3rd party modules for Web CMS products which incorporate forms, and for CMS products these 3rd party modules are often the weakest links which allows hackers access to your database. Thật không may này là một thực sự lo lắng về 3 mô-đun bên cho web sản phẩm CMS mà kết hợp các hình thức, và cho sản phẩm CMS các module bên thứ 3 thường là các liên kết yếu nhất cho phép hacker truy cập vào cơ sở dữ liệu của bạn.

Automated Injection Tự động phun
There are tools to automate the process of SQL Injection into login and other fields. Có những công cụ để tự động hoá quá trình SQL Injection vào tên đăng nhập và các lĩnh vực khác. One hacker process, using a specific tool, will be to seek out a number of weak targets using Google (searching for login.asp, for instance), then insert a range of possible injection strings (like those listed above, culled from innumerable Injection cheat-sheets on the Web), add a list of proxies to cover his movements, and go play XBox while the program automates the whole injection process. Một hacker quá trình, sử dụng một công cụ cụ thể, sẽ được để tìm ra một số chỉ tiêu yếu sử dụng Google (tìm kiếm cho login.asp, ví dụ), sau đó chèn một loạt các chuỗi tiêm có thể (như những người được liệt kê ở trên, tiêu huỷ từ Injection vô số cheat-tờ trên Web), thêm một danh sách các proxy để trang trải các phong trào của mình, và đi chơi Xbox, trong khi chương trình tự động hóa toàn bộ quá trình tiêm.

Remote Injection Remote Injection
This involves uploading malicious files to inject SQL and exploit other vulnerabilities. Điều này liên quan đến việc tải lên các tập tin độc hại để tiêm SQL và khai thác lỗ hổng khác. It's a topic which was deemed beyond the scope of this report, but you can view this PDF if you'd like to learn more. Đó là một đề tài được coi là vượt ra ngoài phạm vi của báo cáo này, nhưng bạn có thể xem PDF này nếu bạn muốn tìm hiểu thêm.

SQL Injection in the Browser Address Bar SQL Injection trong Địa chỉ Browser Bar
Injections can also be performed via the browser address bar. I don't mean to have a pop at Microsoft, but when it comes to such vulnerabilities, HTTP GET requests with URL s of the following form are most often held to be vulnerable: Tôi không có nghĩa là phải có một cửa sổ pop tại Microsoft, nhưng khi nói đến lỗ hổng đó, HTTP yêu cầu GET với URL s của các hình thức sau đây thường được tổ chức để được dễ bị tổn thương:

http://somesite.com/index.asp ?id=10 http://somesite.com/index.asp id = 10?

Try adding an SQL command to the end of a URL string like this, just for kicks: Hãy thử thêm một lệnh SQL vào cuối của một chuỗi URL như thế này, chỉ cần cho đá:
http://somesite.com/index.asp?id=10 AND id=11 http://somesite.com/index.asp?id=10 VÀ id = 11

See if both articles come up. Xem nếu cả hai bài đi lên. Don't shoot your webmaster just yet if it's your own site and you get two articles popping up: this is real low-level access to the database. Đừng bắn webmaster của bạn chỉ nhưng nếu trang web của riêng bạn và bạn nhận được hai bài popping up: đây là thực tế thấp, mức độ truy cập vào cơ sở dữ liệu. But some such sites will be vulnerable. Nhưng một số trang web như vậy sẽ dễ bị tổn thương. Try adding some other simple SQL commands to the end of URL s from your own site, to see what happens. Hãy thử thêm một số câu lệnh SQL đơn giản khác để kết thúc URL s từ trang web của riêng bạn, để xem những gì sẽ xảy ra.

As we saw above, access to the database raises a number of interesting possibilities. Như chúng ta đã thấy ở trên, truy cập vào cơ sở dữ liệu tăng một số khả năng thú vị. The database structure can be mapped by a skilled hacker through ill-conceived visibility of error messages — this is called database footprinting — and then this knowledge of table names and so forth can be used to gain access to additional data. Cấu trúc cơ sở dữ liệu có thể được ánh xạ bởi một hacker có tay nghề cao thông qua khả năng hiển thị hình thành bệnh của các thông báo lỗi - điều này được gọi là cơ sở dữ liệu footprinting - và sau đó kiến thức này của các tên bảng và vv có thể được sử dụng để truy cập vào dữ liệu bổ sung. Revealing error messages are manna - they can carry invaluable table name and structural details. Tiết lộ các thông báo lỗi là manna - họ có thể mang bảng tên vô giá và các chi tiết về cấu trúc.

The following illustrative string is from Imperva . Chuỗi minh họa sau đây là từ Imperva.

http://www.mydomain.com/products/products.asp?productid=123 UNION SELECT username, password FROM USERS http://www.mydomain.com/products/products.asp?productid=123 UNION SELECT username, password FROM USERS

There are vast swathes of information on SQL Injection available, here are a couple of good sources: Có swathes lớn các thông tin về SQL Injection có sẵn, đây là một vài nguồn tốt:

•GovernmentSecurity.org GovernmentSecurity.org
•SecurityDocs.com SecurityDocs.com
Cross Site Scripting (XSS) Cross Site Scripting (XSS)
XSS or Cross Site Scripting is the other major vulnerability which dominates the web hacking landscape, and is an exceptionally tricky customer which seems particularly difficult to stop. XSS Cross Site Scripting hay là lỗ hổng lớn khác mà chi phối các trang web hack phong cảnh, và là một khách hàng đặc biệt mà có vẻ khôn lanh đặc biệt khó khăn để dừng lại. Microsoft, MySpace, Google … all the big cahunas have had problems with XSS vulnerabilities. Microsoft, MySpace, Google ... tất cả các cahunas lớn đã có vấn đề với các lỗ hổng XSS. This is somewhat more complicated than SQL Injection, and we'll just have a quick look to get a feel for it. Điều này là hơi phức tạp hơn SQL Injection, và chúng tôi sẽ chỉ có một cái nhìn nhanh chóng để có được một cảm giác quan.

XSS is about malicious (usually) JavaScript routines embedded in hyperlinks, which are used to hijack sessions, hijack ads in applications and steal personal information. XSS là về độc hại (thường) JavaScript thói quen nhúng vào siêu liên kết, được sử dụng để cướp buổi, cướp quảng cáo trong các ứng dụng và ăn cắp thông tin cá nhân.

Picture the scene: you're there flicking through some nameless bulletin board because, yes, you really are that lazy at work. Ảnh cảnh: bạn đang có flicking thông qua một số bảng thông báo không tên bởi vì, có, bạn thực sự đang là lười biếng trong công việc. Some friendly girl with broken English implores you to get in touch. Một số cô gái thân thiện với tấm Tiếng Anh implores bạn để liên lạc. 'Me nice gurl', she says. 'Me nice gurl', cô nói. You've always wondered where those links actually go, so you say what the hell. Bạn đã luôn luôn tự hỏi, nơi các liên kết đó thực sự đi, để bạn nói những gì địa ngục. You hover over the link, it looks like this in the information bar: Bạn di chuột qua liên kết, nó sẽ như thế này trong thanh thông tin:

[ %63%61%74%69%6f%6e%3d%274%74%70%3a%2f%2f%77%7… ] [% 63% 61% 74% 69% 6f% 6e% 3d% 274% 74% 70% 3a% 2f% 2f% 77% 7 ...]

Hmmm…what the hell, let's give it a bash, you say. Hmmm ... những gì địa ngục, hãy cho nó một bash, bạn nói. The one thing I really need right now is to see an ad for cheap Cialis. Một trong những điều tôi thực sự cần ngay bây giờ là để xem một quảng cáo cho Cialis cheap. Maybe the linked page satisfies this craving, maybe not. Có lẽ các trang được liên kết thỏa mãn tham ái này, có lẽ không. Nothing dramatic happens when you click the link, at any rate, and the long day wears on. Không có gì đáng kể xảy ra khi bạn nhấp vào liên kết, ở mức nào, và ngày dài đeo trên.

When a link in an IM, email, forum or message board is hexed like the one above, it could contain just about anything. Khi một liên kết trong một email gửi tin nhắn,, diễn đàn hay bảng tin là một trong hexed như trên, nó có thể chứa bất cứ thứ gì. Like this example, from SandSprite , which helps steal a session cookie, which can potentially be used to hijack a session in a web application, or even to access user account details. Cũng giống như ví dụ này, từ SandSprite, giúp ăn cắp một cookie phiên, trong đó có tiềm năng có thể được sử dụng để cướp một phiên họp trong một ứng dụng web, hoặc thậm chí đến các chi tiết truy cập tài khoản người dùng.


Stealing cookies is just the tip of the iceberg though — XSS attacks through links and through embedded code on a page or even a bb post can do a whole lot more, with a little imagination. Ăn cắp cookie chỉ là đỉnh của một tảng băng trôi mặc dù - XSS cuộc tấn công thông qua liên kết và thông qua các mã nhúng vào một trang hoặc thậm chí một bài đăng bb có thể làm nhiều hơn cả, với một chút trí tưởng tượng.

XSS is mostly of concern to consumers and to developers of web applications. XSS là chủ yếu quan tâm đến người tiêu dùng và các nhà phát triển các ứng dụng web. It's the family of security nightmares which keeps people like MySpace Tom and Mark Zuckerberg awake at night. Đó là gia đình của cơn ác mộng an ninh được giữ những người như MySpace Tom và Mark Zuckerberg tỉnh táo vào ban đêm. So they're not all bad then, I suppose… Vì vậy, chúng không phải tất cả xấu sau đó, tôi giả sử ...

For additional resources on this topic, here's a great overview of XSS (PDF) and just what can be accomplished with sneaky links. Đối với nguồn tài nguyên bổ sung về chủ đề này, đây là một tổng quan tuyệt vời của XSS (PDF) và chỉ là những gì có thể được thực hiện với các liên kết lén lút. And here's an in-depth XSS video . Và đây là một trong sâu XSS video.

Authorization Bypass Ủy quyền Bypass
Authorization Bypass is a frighteningly simple process which can be employed against poorly designed applications or content management frameworks. Bypass ủy quyền là một quá trình frighteningly đơn giản mà có thể được làm việc với các ứng dụng được thiết kế kém hoặc các khuôn khổ quản lý nội dung. You know how it is… you run a small university and you want to give the undergraduate students something to do. Bạn biết nó như thế nào là ... bạn chạy một trường đại học nhỏ và bạn muốn tạo cho các sinh viên đại học một cái gì đó để làm. So they build a content management framework for the Mickey Bags research department. Vì vậy, họ xây dựng một khuôn khổ quản lý nội dung cho các bộ phận nghiên cứu Mickey Túi. Trouble is that this local portal is connected to other more important campus databases. Rắc rối là cổng thông tin này tại địa phương được kết nối với cơ sở dữ liệu khuôn viên trường khác quan trọng hơn. Next thing you know, there goes the farm Sau đó bạn đã biết, có đi các trang trại

Authorization bypass, to gain access to the Admin backend, can be as simple as this: Uỷ quyền bỏ qua, để được truy cập vào backend quản trị, có thể đơn giản như sau:

•Find weak target login page. Tìm các trang đăng nhập yếu nhắm mục tiêu.
•View source. Xem mã nguồn. Copy to notepad. Sao chép vào notepad.
•Delete the authorization javascript, amend a link or two. Javascript ủy quyền xóa, sửa đổi một liên kết hoặc hai.
•Save to desktop. Lưu vào máy tính để bàn.
•Open on desktop. Mở trên desktop. Enter anything into login fields, press enter. Nhập bất cứ điều gì vào các lĩnh vực đăng nhập, nhấn Enter.
•Hey Presto. Hey Presto.
Here's a great video of a White Hat going through the authorization-bypass process on YouTube. Đây là một video tuyệt vời của một Hat trắng đi qua ủy quyền các-bỏ qua quá trình trên YouTube. This was done against a small university's website. Điều này đã được thực hiện đối với trang web của một trường đại học nhỏ. It's a two-minute process. Đó là một quá trình hai phút. Note that he gets into the User 1 account, which is not the Admin account in this case. Lưu ý rằng anh ta sẽ vào 1 tài khoản người dùng, mà không phải là tài khoản quản trị trong trường hợp này. Is Admin User 1 on your User table? Thành viên ban quản trị là 1 trên bàn của người dùng của bạn?

Google Hacking Google Hacking
This is by far the easiest hack of all. Điều này là bởi đến nay các hack dễ nhất của tất cả. It really is extraordinary what you can find in Google's index. Nó thực sự là phi thường những gì bạn có thể tìm thấy trong chỉ mục của Google. And here's Newsflash #1: you can find a wealth of actual usernames and passwords using search strings. Và đặt biệt đây là # 1: bạn có thể tìm thấy một sự giàu có của tên người dùng và mật khẩu thực tế sử dụng chuỗi tìm kiếm.

Copy and paste these into Google: Sao chép và dán các vào Google:

inurl:passlist.txt inurl: passlist.txt
inurl:passwd.txt inurl: passwd.txt
…and this one is just priceless… ... Và đây chỉ là một trong vô giá ...
“login: *” “password= *” filetype:xls "Đăng nhập: *" "mật khẩu = *" filetype: xls

Such strings return very random results, and are of little use for targeted attacks. Dây này trở lại kết quả rất ngẫu nhiên, và được sử dụng ít cho các cuộc tấn công nhắm mục tiêu. Google hacking will primarily be used for finding sites with vulnerabilities. Hacking của Google chủ yếu sẽ được sử dụng cho việc tìm kiếm các trang web có lỗ hổng. If a hacker knows that, say, SQL Server 2000 has certain exploits, and he knows a unique string pushed out by that version in results, you can hone in on vulnerable websites. Nếu hacker biết rằng, nói, SQL Server 2000 đã khai thác nhất định, và ông biết một chuỗi duy nhất bị đẩy ra bởi phiên bản đó, trong kết quả, bạn có thể trau dồi tại trên các trang web dễ bị tổn thương.

For specific targets Google can return some exceptionally useful information: full server configurations, database details (so a good hacker knows what kind of injections might work), and so forth. Đối với các mục tiêu cụ thể của Google có thể trở lại một số thông tin đặc biệt hữu dụng: các cấu hình máy chủ đầy đủ, chi tiết cơ sở dữ liệu (do đó, một hacker tốt biết loại thuốc tiêm có thể làm việc), và vv. You can find any amount of SQL database dumps as well (fooling around with a Google hack while preparing this article, I stumbled across a dump for a top-tier CMS developer's website). Bạn có thể tìm thấy bất kỳ số tiền của cơ sở dữ liệu SQL bãi cũng (lừa xung quanh với một Google hack trong khi chuẩn bị bài viết này, tôi vấp trên bãi chứa một cho một trang web-top tier CMS của nhà phát triển). And a vast amount more besides. Và một số tiền lớn hơn bên cạnh.

johnny.ihackstuff.com is the man to go to for Google hacks. johnny.ihackstuff.com là người đàn ông đi đến cho hacks của Google. One interesting one I toyed with invited me to the Joomla! Một trong những thú vị nhất với tôi toyed mời tôi đến Joomla! install page for dozens of sites… people who had uploaded Joomla!, decided against installing it, and subsequently had either left the domain to rot, or else set a redirect on the page to, say, their Flickr account (in one case). cài đặt trang cho hàng chục các trang web ... những người đã tải lên Joomla, đã quyết định không cài đặt nó!, và sau đó đã hoặc trái tên miền để thối, hoặc thiết lập một hướng khác trên trang để, nói, tài khoản Flickr của họ (trong một trường hợp). Allowing anybody to walk in and run through the installer. Cho phép bất cứ ai để đi bộ trong và chạy qua trình cài đặt. Other query strings target unprotected email/IM archives, and all sorts of very sensitive information. Chuỗi truy vấn khác mục tiêu không được bảo vệ email / tin nhắn lưu trữ, và tất cả các loại thông tin rất nhạy cảm. What fun we can have! Điều gì thú vị chúng tôi có thể có!

Password Cracking Mật khẩu Cracking
Hashed strings can often be deciphered through 'brute forcing'. Dây băm thường có thể giải mã thông qua 'brute buộc'. Bad news, eh? Tình trạng tin tức, eh? Yes, and particularly if your encrypted passwords/usernames are floating around in an unprotected file somewhere, and some Google hacker comes across it. Có, và đặc biệt là nếu các mật khẩu đã mật mã của bạn / tên người dùng đang nổi xung quanh trong một tập tin không được bảo vệ một nơi nào đó, và một số hacker Google có trên nó.

You might think that just because your password now looks something like XWE42GH64223JHTF6533H in one of those files, it means that it can't be cracked? Bạn có thể nghĩ rằng chỉ vì mật khẩu của bạn bây giờ trông giống như một cái gì đó XWE42GH64223JHTF6533H tại một trong những tập tin, nó có nghĩa là nó không thể bị nứt? Wrong. Sai. Tools are freely available which will decipher a certain proportion of hashed and similarly encoded passwords. Các công cụ có sẵn sàng tự do mà sẽ giải mã một tỷ lệ nhất định băm mật khẩu và mã hoá tương tự.

A Few Defensive Measures Một biện pháp phòng ngự Rất ít
•If you utilize a web content management system, subscribe to the development blog. Nếu bạn sử dụng một hệ thống quản lý nội dung web, đăng ký với blog phát triển. Update to new versions soon as possible. Cập nhật phiên bản mới sớm càng tốt.
•Update all 3rd party modules as a matter of course — any modules incorporating web forms or enabling member file uploads are a potential threat. Cập nhật tất cả các module bên thứ 3 như là một vấn đề của khóa học - bất cứ mô-đun kết hợp các hình thức web hoặc cho phép thành viên tải lên tập tin là một mối đe dọa tiềm năng. Module vulnerabilities can offer access to your full database. Module lỗ hổng có thể cung cấp quyền truy cập vào cơ sở dữ liệu đầy đủ của bạn.
•Harden your Web CMS or publishing platform. Cứng Web CMS của bạn hay nền tảng xuất bản. For example, if you use WordPress, use this guide as a reference. Ví dụ, nếu bạn sử dụng WordPress, sử dụng tài liệu hướng dẫn này như một tham chiếu.
•If you have an admin login page for your custom built CMS, why not call it 'Flowers.php' or something, instead of “AdminLogin.php” etc.? Nếu bạn có một trang đăng nhập quản trị cho tùy chỉnh của bạn được xây dựng CMS, tại sao không gọi nó là 'Flowers.php' hay cái gì, thay vì "AdminLogin.php" vv?
•Enter some confusing data into your login fields like the sample Injection strings shown above, and any else which you think might confuse the server. Nhập một số dữ liệu gây nhầm lẫn vào các lĩnh vực đăng nhập của bạn giống như các chuỗi Injection mẫu được hiển thị ở trên, và bất kỳ khác mà bạn nghĩ có thể nhầm lẫn máy chủ. If you get an unusual error message disclosing server-generated code then this may betray vulnerability. Nếu bạn nhận được một thông báo lỗi máy chủ khác thường tiết lộ mã được tạo ra sau đó điều này có thể phản bội tổn thương.
•Do a few Google hacks on your name and your website. Do một vài hacks của Google vào tên của bạn và website của bạn. Just in case… Chỉ trong trường hợp ...
•When in doubt, pull the yellow cable out! Khi nghi ngờ, kéo cáp màu vàng ra! It won't do you any good, but hey, it rhymes. Nó sẽ không làm bạn bất kỳ tốt, nhưng hey, nó vần điệu.
UPDATE UPDATE
I had posted a link here to a hacking bulletin board containing specific sql injections strings etc. The link pointed to a page which listed numerous hacks targetting various CMS platforms, but containing a disproportionate number of hacks for one platform in particular. Tôi đã đăng một liên kết ở đây để một bảng thông báo cụ thể có chứa hacking tiêm sql dây vv Các liên kết chỉ đến một trang trong đó liệt kê hacks nhiều mục tiêu khác nhau CMS nền tảng, nhưng có chứa một số lượng không cân xứng của hacks cho một nền tảng nói riêng. In retrospect, and following a specific complaint, I have pulled down this link. Nhìn lại, và sau một khiếu nại cụ thể, tôi đã kéo xuống liên kết này. Apologies to the complainant and to anyone else who found this link to be inappropriate. Xin lỗi cho người khiếu nại và đến bất kỳ ai khác được tìm thấy liên kết này là không phù hợp.