خفايا وأسرار الهكرز الجزء الثاني

الجزء الثاني

نصائح لتجنب هذا النوع من المشاكل

1- حاول تشفير رقم الجلسه و تعقيدها قدر المستطاع

2- إستخدم الـ SSL لتشفير كافة البيانات الحساسة المرسلة و المستقبلة من و إلى نظامك

3- برمجياً قم بإنهاء أي جلسه يمضي عليها وقت كافي تقدر بأن المستخدم خلالها قد إنتهى فعلاً من عمله خلالها أو انه قد ترك شاشة النظام مفتوحة و لم يعد يستخدمها

4- حصن نظامك ضد هجمات الـ XSS


الـ CRLF Injection

مصطلح CRLF هو إختصار لـ Carriage Return , Line Feed ، الـ CR هو رمز الأسكي 13 و الـ LF هو رمز الأسكي 10 ، هذان الرمزان يستخدمها الويندوز عند الضغط على زر Enter ( أي للنزول إلى سطر جديد )، نظام لينكس يستخدم فقط الرمز LF ، بإختصار هذا النوع من الهجمات ليس خطير للغاية ، أقصى ما يمكن للهاكر فعله من خلال هذه النوعية من الثغرات هو تشويه شكل الصفحة ، بالتأكيد هذه المشكلة قد تكون حساسه حسب نوعية التطبيق الذي تقوم ببرمجته. هذا النوع من الهجوم يكون أيضا بسبب عدم فحص مدخلات المستخدم ( تماما كالـ SQL Injection و الـ xss ) ، تأكد من أن المستخدم لا يدخل علامة \n\r في المدخلات ( الا في الأماكن التي يسمح بها للمستخدم بإستخدام هذه الرموز للنزول الى سطر جديد ) ، مثلا في نص الموضوع الذي يكتبه العضو في المنتدى يجب أن تسمح له بإستخدام زر Enter ( الذي يتحول عند الضغط عليه إلى \n\r ولكن غير مرئية ! ) ، ولكن في عنوان الموضوع سيكون السماح للمستخدم بإدخال رمز CRLF مشكلة كبيرة !!


التجول في المجلدات Directory Traversal

هذا النوع من الهجمات خطر فعلا ، لن أبالغ اذا قلت انه اخطر أنواع الهجمات على الإطلاق ، ما يخفف من وطئته هو أنه صعب التطبيق لأن التطبيقات التي يمكن إستغلال هذا النوع من الثغرات فيها محدودة جداً ، ولكن هذا لا يمنع من أنه خطر و خطر جداً ! فكرة هذا النوع من الهجمات ببساطة هو أن يتمكن الهاكر من الخروج عن نطاق مجلد الجذر للموقع Root directory إلى مجلدات أخرى تعلو المجلد الجذري في المستوى ، دعني أضرب مثال لتوضيح الصورة ، في سيرفرات الويندوز التي تعمل بالـ IIS يكون مجلد الجذر للموقع عادة هو :

C:\Inetpub\wwwroot

وهذا المجلد هو الذي تتواجد فيه ملفات موقعك ، و بالتالي فإن الزوار سيتمكنون فقط من تصفح الملفات الموجودة في هذا المجلد و المجلدات الفرعية الموجود بداخله ، ومنها على سبيل المثال مجلد news ، الصورة في الأسقل تعطيك إنطباع عن التسلسل الشجري للمجلدات التي سأضرب مثال عليها .





الأن تخيل لو أن لديك عنوان في تطبيقك الذي برمجته بهذا الشكل

http://www.yoursite.com/news/show.aspx?view=file.html

العنوان يقوم بإستدعاء الملف file.html و عرضه للمستخدم ، الملف file.html يفترض أن يكون موجود في نفس مجلد news ، إفترض الأن لو أن الهاكر قام بالتلاعب في العنوان و كتبه بهذا الشكل :


http://www.yoursite.com/news/show.aspx?view=../../../../../Windows/system.ini

مصيبة ... لقد تمكن من مشاهدة ملف الـ System.ini !! ماذا لو أن التطبيق الذي برمجته يسمح بالتعديل على محتوى الملف ، سيتمكن الهاكر حينها من التعديل على ملف System.ini ، مما يعني تحكم كامل في موقعك من نظام التشغيل ، ليس فقط في الموقع بل و في كامل السيرفر المستضيف لموقعك ! الأسوء من ذلك تخيل لو ان نظامك يسمح بتشغيل بعض التطبيقات على الموقع عن طريق أوامر الشل ( يفترض أن لا تبرمج هذا النوع من التطبيقات ! ) ، لو تمكن الهاكر من الخروج من المجلد الجذري كما في المثال السابق ، قد يتمكن من الوصول الى سطر الأوامر الرئيسي و تنفيذ أمر Format للسيرفر بأكمله !!

هذا النوع من الهجمات يمكن أن يحل بطريقتين ، و برأيي يجب أن تستخدم الطريقتان لحل المشكلة :

1- من خلال الشيفرة التي تكتبها ، تأكد من فحصك لكافة المدخلات و المتغيرات الممررة إلى النظام ، تأكد من أنها تقع ضمن النطاق المسموح به

2- من خلال إعدادات السيرفر الذي تمتكله ( أو تمتلكه الشركة المستضيفه لموقعك ) يمكن ضبط هذه الإعدادت بحيث يتم منع أي طلب للوصول الى أي ملف خارج المجلد الجذري للموقع نفسه ، قم بفحص السيرفر بنفسك مبدئيا عن طريق السماح من خلال الشيفرة بأن تفتح ملف يقع خارج المجلد الجذري لموقعك ، إن إستطعت ذلك فهذا يعني أن إعدادات السيرفر المستضيف لموقعك غير آمنة و يجب أن تعدل بحيث يمنع السيرفر نفسه طلب أي ملف خارج نطاق المجلد الرئيسي ، أطلب من الشركة المستضيفة لموقعك تعديل ذلك ، و بدورك عدل الشيفرة كما ذكرنا في النقطة رقم 1 لمزيد من الحماية .

التلاعب بالمتغيرات Parameters Manipulation

أحد أشهر حيل الهاكر للوصول الى فهم كامل عن طريقة تعاملك مع المتغيرات الممرره الى النظام الذي قمت ببرمجته ، يتم ذلك عن طريق التلاعب بالمتغيرات الممرره إلى العنوان URL و تغيير قيمها أو إرسال قيم مخالفة لنوعية المتغير نفسه ، بحيث يستطيع الهاكر معرفة رسائل الخطأ التي تصدر من النظام حينها ، هذه الرسائل ستساعد الهاكر على فهم أكبر لتركيب النظام لديك . أيضا قد يستخدم الهاكر طريقة التلاعب بالمتغيرات لتمرير متغيرات جلسه Session عن طريق العنوان مباشرة و ليس من خلال المتصفح نفسه بالـ HTTP Request ، في لغة البرمجة التي تستخدمها يفترض أن يكون هناك طريقة لمعرفة ما اذا كان متغير الجلسه هذا ممرر عن طريق الطلب HTTP Request من المتصفح نفسه ، أو من العنوان URL !

كمثال أخر على هذا النوع من الهجمات ، نماذج صفحات الويب التي تقوم بتصميمها ليقوم الزائر بتعبئتها ، إما لغرض المراسلة أو التسجيل في الموقع أو شراء سلعة ... الخ ، يسهل على الهاكر قراءة أسماء عناصر النموذج ، هذه الأسماء بالتأكيد ستسخدمها أنت كمتغيرات في البرنامج الذي قمت ببرمجته ، إنطلاقا من هذه المعلومة يستطيع الهاكر إستخدام النموذج (أو صنع نموذج مشابه ) مع تعديل قيم بعض الحقول لإحداث أثر ما على موقعك ، لكي أوضح المسألة ، دعني أذكر لك هذه القصة ، موقع التسوق الخاص بشبكة ياهوو Yahoo Shopping ، كان يستخدم طريقة محددة لتمرير سعر السلعة إلى صفحة الدفع ، فعند إختيارك للسلعة و تعبئته لنموذج بيانات الشحن ، يكون سعر السلعة أو السلع التي أخترتها موجود في نفس نموذج الشحن و لكن في حقل مخفي Hidden لا يظهر للزوار و لكنه موجود في شيفرة HTML ، قام أحد الهاكر حينها بتعديل شيفرة الـ HTML و قلل من سعر السلعة التي أرادها إلى دولار واحد ، و من ثم قام بتمرير الطلب بشكل طبيعي إلى صفحة الدفع ، التي حسمت السعر (دولار واحد ) من بطاقته الإئتمانية و ظهر لمسؤولي الشحن أن هذا الرجل قد تمت عملية إستخلاص المبلغ من بطاقته بنجاح و أنه يستحق الشحن للسلع التي طلبها !! الجميل في الأمر ان المشكلة أكتشفت فوراً و مصادفةً من أحد مسؤولي أمن المعلومات في أحد الشركات العالمية و الذي قام بتنبيه ياهوو حينها لتراجع سجلات المدفوعات لديها خوفا من أن تكون هذه الثغرة أستغلت بكثرة حيث وجدت أنها أستغلت فقط لمرة واحده !

حسنا أخي المطور ، أعتقد انني إستطعت من خلال هذه النقاط المختصرة تنبيهك إلى خطر محدق قد يسبب في ضياع جهدك في التطوير و التصميم بسبب أخطأ قد تبدو تافهه ، ولكنها تكلف الكثير أحيانا !! أعتقد أنني يجب أن افرد مقالة كاملة عن كل نوع من أنواع هذه الثغرات ، أعدك عزيزي القارئ أنني سأفكر في هذا الأمر بشكل جدي

رسائل الإحتيال Phishing Scam

سمي عام 2004 بعام رسائل الإحتيال Phishing Scam ، و أعتقد ان عام 2005 كان له نصيب أكبر كذلك ، رسائل الإحتيال ببساطة هي رسائل تصلك على بريدك الإلكتروني ، يدعي فيها مرسلوها أموراً يهدفون منها الى تحقيق مكسب مادي أو معنوي ، و أحيانا قليله لغرض التسلية فقط ، على سبيل المثال ، ظهرت قبل بضعة أشهر في المملكة العربية السعودية رسالة بريد إلكتروني أرسلت إلى عدد كبير جدا من الستخدمين ، تظهر هذه الرسالة للوهلة الأولى بأنها مرسلة من بنك سامبا ، حيث تطلب منك الرسالة ضرورة تحديث بياناتك البنكية عن طريق رابط موجود في نص الرسالة ، هذا الرابط يقودك إلى موقع مطابق في التصميم لموقع سامبا يطلب منك المحتال من خلاله إدخال بياناتك ( إسم المستخدم و كلمة المرور و معلومة إضافية هي رقم بطاقة الأحوال ! ). هذا مثال على أحد رسائل الإحتيال التي ظهرت في المملكة العربية السعودية ، و هذا النوع من الرسائل يظهر بشكل يومي في أمريكا و أوروبا . و فيما يلي أسرد لك عزيزي القارئ مجموعة من أشهر أنواع رسائل الإحتيال :

1- رسائل تطلب منك إدخال بياناتك البنكية على أساس انها مرسلة من البنك الذي تتعامل معه.

2- رسائل تطلب تسجيل معلوماتك الشخصية لأنك ربحت جائزة كبيرة !

3- رسائل تدعي انها من موقع البريد الإلكتروني ( هوتميل مثلاً ) ، تطلب منك إعادة إدخال كلمة المرور !

4- رسائل تطلب منك إدخال معلومات حساسة و تدعي بأنها من خلال هذه المعلومات ستقرأ مستقبلك أو تخبرك مدى توافقك مع شريك حياتك ... ، في الحقيقة هذه المعلومات طلبها صديق لك يريد معرفة اسرار حياتك

5-رسائل تدعي بأنها شركات لتشغيل الأموال في تجارة العملات و تدعي بأنها تملك برنامج مخصص لتبادل العملات العالمية !


هناك العديد من أنواع الرسائل التي قد يخترعها أي شخص لأغراض التحايل ، لا تثق باي رسالة تطلب منك أي معلومة شخصية ، مهما بدت لك هذه المعلومة تافهه ، و مهما كان شكل الرسالة يوحي بأن مرسلها جهة موثوقة تعرفها جيدا ، حتى ولو رأيت أن عنوان البريد المرسله من هذه الرسالة هو عنوان بريد جهة رسميه ، فلا تثق بذلك بتاتا ، من السهل جدا أن أرسل لك رسالة تظهر لك بأن مرسلها هو العنوان : bush@whitehouse.gov ، فهل أنا الرئيس جورج بوش ؟

الرسائل المضلله Hoax Email

هذا النوع من الرسائل لا يسبب غالباً أخطار كبيرة ، ولكنه مزعج ، و أحيانا مضحك ! هذه الرسائل تحتوي عادة على تحذيرات كاذبة من فايروس ليس له وجود و إنما ترسل هذه الرسالة لغرض إثارة الذعر ، أو تسبيب أضرار في أحيان كثيرة ، إنتشار هذه الرسائل على النطاق العربي محدود جداً و كان آخرها رسالة مضحكة تحذر بأن الملف jdbgmgr.exe الموجود في نظام التشغيل ويندوز كملف أساسي من ملفات النظام هو فايروس يستهدف العرب دون غيرهم و أن مرسله شخص يهودي يقصد إستهداف المسلمين و العرب !! ، طبعا هذه الشائعة إنتشرت في رسالة Hoax قبل حوالي سنتين باللغة الإنجليزية (لم يروج حينها أن صاحب الفايروس يهودي يستهدف المسلمين ! ) ، يبدو أن صاحبنا مبتدع النسخة العربية من هذه الرسالة مغرم بنظرية المؤامرة !

لمعرفة معلومات أكثر عن الرسائل المضلله و قائمه بأخر الرسائل المضلله التي تظهر على الساحة :

http://www.symantec.com/avcenter/hoax.html

كلمة أخيرة


من خلال هذه المقالة حاولت تسليط الضوء على عالم الهاكرز و أشهر الحيل و الثغرات التي يستخدمها الهاكرز ، و على الرغم من تشعب الموضوع و كثرة فروعه ، الا انني حاولت أن أطرق معظم الأبواب أحيانا بأسلوب تقني بحت ، و أحيانا بأسلوب عام يتمكن من فهمه جميع مستخدمي الحاسب الآلي ، أعلم أن هناك العديد من المشاكل و الثغرات لم أتطرق لها ، منها ما يتعلق بعمليات التنصت على الشبكات Sniffing و منها ما يتعلق بعمليات الإدعاء Spoofing و منها ما يتعلق بهجمات الحرمان من الخدمة DOS أو جمع المعلومات التحليلية بغرض التخطيط لعملية الإختراق الفردي أو الجماعي ... ، عدم تطرقي لهذه المواضيع كان لسببين ، أولا بسبب شدة تخصصها لدرجة أظن معها بأن المقالة ستفقد جاذبيتها و بساطتها ، و السبب الثاني هو أن هذه المواضيع هي عناوين عريضة جدا يمكن أن نؤلف بها كتبا وليس مقالات ولا أريد أن أضع عناوين غير موضحه بشكل كافي لكي لا أدع القارئ مشتت و قد يخرج من قراءة هذه المقالة بإنطباع سلبي !

أتمنى أن أكون قد وفقت في طرح الموضوع بشكل سليم و وافي ، و أرغب بسماع تعليقاتكم الكريمة التي بالتأكيد ستزيدني حماس على مواصلة كتابة سلسلة كاملة عن هذا المجال ، مجال أمن المعلومات.