چگونه هک می شویم؟ چگونه در شبکه های اجتماعی هک نشویم؟ شبکه های اجتماعی چه معضلات و تهدیدات امنیتی دارند؟ امروز میخوایم ببینیم یک هکر چجوری حساب ما توی شبکه های اجتماعی رو هک میکنه و ما چه کارهایی باید بکنیم که این اتفاق نیفته.بحث ما شبکه های اجتماعی ای هست که شما توسط یک Browser به اونا وصل میشید نه چیزی مثل تلگرام یا واتس آپ، البته شاید در یکسری از انواع حملات یکی باشن ولی بعضی از حملات هم متفاوت هست.قبلا درباره امنیت در شبکه های اجتماعی مانند تلگرام در یک مقاله پرداختیم و الان هم میخوایم درباره حساب هایی مثل فیسبوک یا لینکد این صحبت کنیم.
هر روز درباره هک میشنویم، یاهو هک میشه گوگل هک میشه حتی شرکت های امنیتی هک میشن. در بیشتر اوقات یک هکر این کار ها رو نمیکنه و یک گروه از هکر های بزرگ با روش های بسیار پیشرفته و گاهی کشف نشده این شرکت ها رو هک میکنن. اگر شما هم حسابتون تو این شرکت ها باشه خب نمیتونید کاری انجام بدید چون دیتابیس این شرکت هک شده.حالا بیایم سر بحث اصلی خودمون که روش کنترل داریم. همه شرکت هایی که حساب کاربری برای ما درست میکنن نسبت به امنیتی که مدنظرشون هست به ما پیشنهاد های امنیتی ای میدن که اگر اونا رو رعایت نکنیم ممکنه به راحتی حتی یکی از دوستان خودمون هم ما رو هک بکنه.
اولین مورد هک شدن با روشی به نام Phishing هست.خب هکر در این روش چیکار میکنه؟ در این روش یک هکر یا با استفاده از برنامه هایی مثل Beef که در کالی هم هست میاد صفحه ورود سایت مورد نظر رو انتخاب و دانلود میکنه و اون رو روی سروری قرار میده یا اینکه خودش کد ها رو در میاره که این بستگی به کیفیت کار و علم هکرمون داره.
حالا با یه مقدار کد زنی یا استفاده از همون برنامه ها کار های دیگه ای میکنه. در مرحله اول به برنامه میگه که به طور مثال وقتی فونیکس حساب کاربری و رمز رو زد به من ایمیل کن یا میگه به فلان سرور بفرست و در مرحله دوم برای اینکه شما رو گول بزنه که حتی روحتون هم خبردار نشه که هک شدید شما رو redirect میکنه به همون صفحه اصلی.
یه ایمیل فیک میسازه به شما یک ایمیل میده به انگلیسی که فونیکس عزیز شما مشکل امنیتی داری بدو بیا رمزت رو عوض کن و یه لینک هم میده که لینک اون صفحه ساختگی هست. شما وارد میشی و میبینی بله سایت فیسبوک اومد بالا و میگه حالا یوزر و پست رو بزن و شما هم میزنی، حالا چی میشه؟ شما میری به صفحه اصلی فیسبوک با همون قابلیت redirect ای که هکرمون گذاشته بوده و پیش خودت فکر میکنی که خب صفحه یک بار reload شده و دوباره یوزر پس رو تو سایت اصلی میزنی و وارد میشی و اصلا متوجه نمیشی که شما یوزر و پست رو به راحتی دادی به هکرمون :)
اولا که گول هیچگونه ایمیل و پیامی رو نخورید. اگر فیسبوک بخواد خبری به شما بده حتما تو اکانت خودتون ذکر میکنه نه با ایمیلتون و راه دوم هم یک نگاه ساده به url ای هست که دارید توش رمزتون رو میزنید. شکل غیر عادی ای از url رو دیدید شک کنید، تاکید میکنم هر شکلی رو چون راهکارهای عجیبی هست که واقعا url رو شبیه چیزی میکن که شما گول بخورید پس وقتی میخواید وارد فیسبوک بشید فقط url خود فیسبوک رو بزنید و اگر اسمی شبیه بود شک کنید.حالا بریم سراغ راه دوم که پسورد های ذخیره شده تو مرورگر ماست
این یکی از خطرناک ترین راه ها هست. شاید هرکسی نتونه استفاده بکنه از این راه چون باید به دستگاه شما دسترسی داشته باشه ولی مشکل از جایی شروع میشه که حتی دوستان و آشنایان ما برای شوخی هم که شده میخوان این کار رو بکنن و حتی اگر دوست و آشنا نباشه کافیه یک مقدار با مهندسی اجتماعی بیاد جلو.چند بار در روز دوستانتون یا اطرافیانتون توی محل کار یا دانشگاه میگن که فلانی یک لحظه لپ تاپت رو بده تا یچیزی بریزم رو فلشم یا اطلاعات فلش رو بریزم رو هاردم یا خیلی چیزای دیگه؟ خب شما یا نباید لپ تاپتون رو به کسی بدید که نمیشه :) یا اینکه اطلاعاتتون میره رو هوا. اما چگونه این اتفاق رخ می دهد؟
خب یکسری برنامه هست که یک مقدار تاریک هستن :) یعنی اینکه هرکسی نمیشناستشون و تو هر جایی گیر نمیاد و حتی تو کالی یا جاهای دیگه هم نیست ولی کاربری خیلی آسونی دارن، این یعنی چی؟ یعنی نیاز نیست نصب بشن و به صورت پورتابل میان بالا و دستورات خاصی ندارن و فقط علم استفادشون رو میخواد هکرمون و اینکه بتونه برنامه رو پیدا کنه.خب فلش رو نصب میکنه به دستگاه ما و ما هم که از همه جا بیخبر به حرف زدنمون با یقیه ادامه میدیم، هکر عزیز cmd رو باز میکنه و برنامه رو اجرا میکنه ( چون فقط از cmd قابل اجرا هست ) و به محض اجرا برنامه میره داخل فایلی که رمز مرورگر اونجا ذخیره میشه و تمام رمز ها رو میکشه بیرون.
شاید باورش سخت باشه که بگم خیلی وقت ها این برنامه روی لپ تاپ ادمین سایت ها باز شده و حساب کاربری سایتشون در اومده یا حساب ورود مدیران و استاد ها در دانشگاه ها یا جاهای دیگه و خیلی خطرناک تر ( به قول مهران مدیری دیدم که میگم:) ) حساب شبکه اجتماعی شما هم تو همینجا ذخیره میشه و به راهتی هک میشید و روحتون هم خبر نداره و حتی اگر شکایتی هم صورت بگیره هیچ کاری نمیشه کرد چون پلیس در نهایت در رجیستری دستگاه شما میرسه به این برنامه ولی اینکه کی این برنامه رو اجرا کرده رو هیچکس نمیفهمه چون شما در روز به خیلیا لپ تاپ میدید.
یک مقدار به خودمون سختی میدیم و هر حساب کاربری ای که باهاش وارد میشیم رو نمیدیم مرورگر ذخیره کنه و لحظه ای که میپرسه ذخیره کنم شما میگی زحمت نکش خودم هروقت خواستم بیام تو حسابم یوزر و پس رو میزنم :)
نصف این بحث میشه همون هک شدن خود سایت که کاری از دستمون بر نمیاد (مثلا خود گوگل هک بشه) و نصف دیگش دست ماس. میتونیم با گذاشتن پسورد سخت از ورود اجباری هکر جلوگیری بکنیم و دو مورد بالا رو هم رعایت بکنیم که ایمیلتنون هک نشه
خب تو این از راه های ساده داریم تا راه های پیچیده ( توجه داشته باشید برای هک نیازی نیست حتما خدای کامپیوتر و کالی باشیم همونطور که بزرگ ترین هکر تاریخ و ابداع کننده کلمه مهندسی اجتماعی آقای kevin mitnick رو همه با مهندسی اجتماعی میشناسن) شما تو این قسمت نیاز به کامپیوتر ندارید و خودتونید و وسایل دیگه به هر شکلی که رمز رو ببینید.
ساده ترین شکل دیدن پسورد با چشم هست که مثلا شما رمز رو میزنید و دوستتون میبینه حالا یکم پیچیده تر زمانی هست که هکر شما رو به جایی میبره که دوربین های مخفی داره که همه جا میفروشن مثل دوربین در خودکار یا دوربین های جیبی یا حتی مثلا تو شرکتی که دوربین مدار بسته داره یا تو راهی که شاید خنده دار باشه ولی خیلیا استفاده میکنن استفاده از فسفر هست :) مثل فیلم ها
مثلا هکر ما به شما ماژیکی میده یا کتاب یا هرچیزی که روش فسفر زده شما اون رو لمس میکنید و بعد با دستگاه وارد حساب میشید، حالا کافیه دستگاه برای خود هکر باشه و بعد از این کار سر شما رو به کار دیگه ای مشغول کنه، حالا کافیه با چراغی که فسفر رو میتونه ببینه کلید ها رو بررسی کنه و ببینه مثلا شما روی دکمه های f r i m n a e کلیک کردید و حالا با ترکیب های مختلف امتحان میکنه تا به رمز شما که fireman بوده میرسه (شاید کمی پلیسی به نظر بیاد ولی حواستون باشه بعضی وقت ها هک حساب های کاربری خیلی ارزش داره برای یک هکر بسته به شخص مورد نظر).
یکی از مرسوم ترین و خطرناک ترین قسمت ها هک تلفن های همراه هست.هر روز پیام هایی رو میبینیم که به ما میگن فلان برنامه پولی رو مجانی نصب کن یا از سایت های نا معتبر برنامه دانلود میکنیم و به راحتی نصبش میکنیم داخل موبایلمون. شما با این کار به راحتی و بی هیچ دردسری به هکرمون اجازه میدید که backdor هایی روی گوشی شما باز کنه یا از اون بدتر با گرفتن یک shell از موبایلتون به تمام اطلاعاتتون اعم از برنامه ها عکس ها و دوربین و پیام های کوتاهتون دسترسی داشته باشه.
حالا به راحتی میتونه با استفاده سرویس پسورد ریکاوری و خوندن پیام های شما پسورد اکانتتون رو عوض کنه و وارد حساب کاربریتون بشه.اگر کمی هم دسترسی به موبایل شما داشته باشه مثل یک دوست یا آشنا یا همکار اونوقت میتونه این پیام رو حذف کنه از گوشی شما که در این شرایط به هیچ عنوان متوجه نمیشید که چه اتفاقی افتاده یا در خیلی از موارد دیدم که حتی طرف پیام رو خونده که از طرف جایی براش کدی اومده و وقتی دیده گفته حتما یک نفر به اشتباه شماره من رو وارد کرده که این دیگه آخرشه :))
این که با هر پیامی که بهتون دادن برنامه روی گوشیتون نصب نکنید. اون حالت امنیتی که نمیذاشت هر سورسی توی گوشیتون نصب بشه و شما به راحتی غیر فعالش کردید وقتی گوشیتون رو خریدید برای همین روزهاست که همش هشدار بده از منابع نا معتبر چیزی نصب نکنید :))
Session Hijacking
زمانی که شما به حساب کاربریتون وارد میشین یک session یا نشست درست میشه بین شما و سرور سایت. حالا اگر یک نفر بسته های شما رو شنود کنه و بتونه تشخیص بده که کدوم بسته این نشستی هست که بین شما قرار داره و اون رو برداره و در دستگاه خودش جاگذاری کنه حساب شما رو به دست میاره و تا زمانی شما این نست رو نبندید اون همچنان میتونه سو استفاده بکنه
وقتی در یک lan قرار دارید از vpn ها استفاده کنید. راه های دیگه ای هم هست که خیلی پیچیده میشه و وارد مسائل جرم شناسی میشه مثل بررسی بسته های خروجی از دستگاهتون یا بررسی duplicate mac در شبکه که یک مقاله بزرگ هست برای خودش ولی راحت ترین راه vpn هست. البته خب وقتی vpn میزنید فقط تو lan نمیتونن شنود کنن و خود vpn میتونه بسته های شما رو شنود کنه پس راه بهتر استفاده از vpn هایی هست که جمعیت بیشتری از اونا استفاده میکنند و معتبر تر هستن.
USB Hacking
خب روش دیگه ای که باز مختص به آشنایان، دوستان و همکارای عزیز هست این قسمت هک از طریق usb هست. دستگاه شما فقط وقتی به امنیت 100% میرسه که خاموش باشه و شما همیشه در حال هک شدن هستید، فقط چون در بیشتر موارد به صورت تفریحی افراد رو هک میکنن هکرهای عزیزمون برای همین شما متوجه نمیشید.حالا وقتی یک usb به دستگاه شما وصل میشه میتونه یک key logger باشه که روی دستگاه شما اجرا میشه و از اون به بعد هرچیزی که تایپ کنید به سمت سرور هکر میره. در این حالت لدتر از هک شدن حساب کاربری شما تمام اطلاعات چت هاتون و تمام اطلاعات حساب های بانکیتون هم لو میره.
مسلما این نیست که usb وصل نکنیم چون نمیشه. بهترین راه داشتن یک آنتی ویروس به نام و اصلی هست که آپدیت هست و عالی و بروز کردن ویندوزتون.البته پیش خودمون بمونه این قضیه key logger و آنتی ویروس ها فقط باعث میشه هرکسی نتونه هک کنه وگرنه اگر اطلاعات زیادی داشته باشه هکرمون با وجود تمام این اقدامات باز هم هک میکنه و این یک مقدار ترسناکه برای همینه که میگم لینوکس بریزید تا از هر 1000 نفر 1 نفر بتونه هکتون کنه :) اگر باور ندارید حرفم رو توی یوتیوب این جمله رو سرچ کنید: kevin mitnick cebit 2015بعد از دیدن این فیلم یک ساعتی و قسمتی که در این کنفرانس با usb هک میکنه متوجه میشید که نمیشه 100% گرفت جلوش رو
Social Engineering
خب در این قسمت کامپیوتر هکر میره کنار و هنر صحبت کردن به وسط میاد.خیلی وقت پیش فیلمی میدیدم از آقای میتنیک که اسطوره و مبدع مهندسی اجتماعی هست که یک خبرنگار در مساحبه با ایشون گفت آقای میتنیک به نظر من شما اونقدر هم که تعریف میکنند در مهندسی اجتماعی بزرگ نیستید. میتنیک خندید و به صحبتش ادامه داد و درباره این حرف خبرنگار چیزی نگفت.
مساحبه به مدت 18 دقیقه طول کشید و به این شکل جلو رفت که خبرنگار سوال میپرسید و میتنیک حرف میزد و فقط در میان حرف هایش به خبر نگار میگفت نظر شما درباره این صحبت من چیه و خبر نگار نظری میداد.وقتی خبرنگار خداحافظی کرد میتنیک رمز ایمیل خبرنگار رو بهش گفت و خبرنگار با چشم هایی که نه چهارتا بلکه ده تا شده بود حرف خودش رو پس گرفت درباره قدرت مهندسی اجتماعی.پس یک هکر با صحبت کردن هم میتونه رمز شما رو به دست بیاره.
بیشتر دقت کنید :) چون نمیتونیم رو خودمون آنتی ویروس نصب کنیم
Logout
خارج نشدن از حساب کاربریتون میتونه براتون دردسر ساز باشه.بارها و بارها شده که به کافینتی رفتم تا ایمیلم رو چک کنم و دیدم نفر قبلی logout نکرده و راحت میشه از ایمیل ها سو استفاده کرد.
خب ایمیل رو میخونه و میبینه شما یک روزی در سایت tosinso ثبت نام کردید. میاد تو tosinso و فراموشی رمز عبور رو میزنه و ایمیل هم که جلوش بازه و حساب کاربری شما در عرض چند ثانیه هک میشه به خاطر اینکه شما فراموش کردید logout کنید.این موضوع درباره بحث های قبلی هم که درباره دزدیدن نشست بود هم هست. شما تا وقتی خارج نشید نشستتون بسته نمیشه و هکر عزیزمون میتونه کار خودش رو جلو ببره.
Logout :)) بحث به پایان رسید امیدوارم مفید باشه و با پسند ها و نظراتتون به ما بفهمونید که آیا خوشتون اومده یا نه تا در آینده درباره امنیت بیشتر و بیشتر پست بذاریم.