Информационная безопасность IT

P.s. Убрал из поста инфу про начало работы кошелька, так как первые выплаты были произведены в марте 2021 года, но когда начался майнинг не известно.

Так же по моим очень грубым подсчетам хешрейт кошелька (62,930 H/s) может сделать один единственный CPU AMD Threadripper 3990X.
Т.е. мощности вообще там мизерные ($2.78 в день), где автор поста мог найти такой майнер я не представляю.
Если не так посчитал что то - поправьте.

UPD. Майнер начал работать до установки Utorrent #comment_204973230

Безопасность WhatsApp является серьезной проблемой. Мессенджер часто становится целью мошенников и хакеров. Давайте разберемся, насколько безопасен WhatsApp.

WhatsApp, платформа для обмена сообщениями, принадлежащая Facebook, является одним из самых популярных в мире приложений для обмена сообщениями. Приложением пользуются более одного миллиарда человек, отправляя более 65 миллиардов сообщений в день.

Большая популярность приложения привлекает внимание киберпреступников, что способствовует появлению проблем безопасности, вредоносных программ и спама.

1. Вредоносное ПО для WhatsApp Web

Огромная база пользователей WhatsApp делает приложение лакомой добычей для киберпреступников, многие из которых ориентированы на WhatsApp Web. Пользователи WhatsApp могут открывать веб-сайт или загрузить настольное приложение, отсканировать код с помощью приложения на телефоне и пользоваться WhatsApp на компьютере.

Магазины приложений на телефоне - App Store на iOS или Google Play Store на Android - регулируются более тщательно, чем сайты в Интернете. Пользователю, ищущему WhatsApp в данных магазинах, сразу понятно, какое приложение является официальным. Но в интернете, к сожалению, все не так.

Киберпреступники создают и распространяют поддельные настольные приложения WhatsApp, содержащие вредоносное ПО. Загрузив вредоносное приложение, пользователь ставит свой компьютер под угрозу.

В некоторых случаях хакерам удается установить шпионское ПО WhatsApp, воспользовавшись уязвимостью приложения.

Другой подход злоумышленников заключается в создании фишинговых веб-сайтов, чтобы обманом заставить пользователей передать личную информацию. Фишинговые сайты, маскирующиеся под WhatsApp Web, просят пользователей указать свой номер телефона для подключения к услуге. Однако, фактически злоумышленники будут использовать указанный номер, чтобы завалить вас спамом, или для сопоставления с другими утекшими или взломанными данными в Интернете.

Поэтому лучший способ обезопасить себя - использовать приложения и сервисы только из официальных источников. WhatsApp предлагает веб - клиент WhatsApp Web для использования на любом компьютере. Существуют также официальные приложения для устройств Android, iPhone, macOS и Windows.

2. Незашифрованные резервные копии

Сообщения, которые пользователь отправляет в WhatsApp, зашифрованы сквозным шифрованием. Только устройство отправителя и устройство получателя могут их декодировать. Данная функция предотвращает перехват сообщений во время передачи даже самим Facebook. Тем не менее сообщения совсем не защищены после их расшифровки на устройстве.

WhatsApp позволяет создавать резервные копии сообщений и медиафайлов на Android и iOS. Такая функция очень важна, так как помогает восстанавливать случайно удаленные сообщения WhatsApp . В дополнение к облачной резервной копии на устройстве пользователя имеется локальная резервная копия. На Android можно сделать резервную копию данных WhatsApp на Google Диске. При использовании iPhone резервная копия хранится в iCloud. Такие резервные копии содержат расшифрованные сообщения с вашего устройства.

Файл резервной копии, хранящийся в iCloud или на Google Диске, никак не зашифрован. Поскольку файл содержит расшифрованные версии всех сообщений пользователя, он теоретически уязвим и подрывает сквозное шифрование WhatsApp.

Поскольку пользователь не может выбрать место хранения резервной копии и зависит от поставщиков облачных услуг, на обеспечение безопасности данных приходится только надеяться. Хотя на сегодняшний день ни один из крупномасштабных взломов не повлиял на iCloud или Google Диск, тем не менее такой сценарий возможен. Злоумышленники обладают инструментами для получения доступа к учетным записям пользователя облачного хранилища.

Одним из предполагаемых преимуществ шифрования называется возможность предотвращения доступа правительства и правоохранительных органов к данным пользователя. Поскольку незашифрованная резервная копия хранится у одного из двух поставщиков облачных хранилищ в США, при наличии ордера правоохранители легко получат неограниченный доступ к сообщениям пользователя.

3. Обмен данными Facebook

В последние годы Facebook часто критиковали за монополизм и антиконкурентные действия. Регулирующие органы пытаются минимизировать антиконкурентное поведение IT-гиганта, тщательно отслеживая поглощения .

Поэтому в 2014 году, когда Facebook решил принять WhatsApp в «семью Facebook», Европейский союз (ЕС) одобрил сделку только после заверений Facebook, что данные двух компаний будут храниться отдельно.

Facebook не понадобилось много времени, чтобы вернуться к прежней линии поведения. В 2016 году WhatsApp обновил Политику конфиденциальности и разрешил обмен данными из WhatsApp в Facebook. Передавался номер телефона, а также данные о времени последнего использования сервиса. Из-за передачи данных Facebook сообщения в WhatsApp могут оказаться под угрозой .

Техногигант заверил пользователей, что их данные не будут общедоступными на Facebook. Компания будет хранить их в недоступном и скрытом профиле Facebook. За прошедшие годы Facebook внесла изменения, чтобы упростить обмен данными, и предложила новую Политику конфиденциальности. Однако, пользователи и регулирующие органы активно сопротивлялись.

После обновления 2016 года пользователи могли отказаться от межплатформенного обмена данными в WhatsApp, но через некоторое время данная опция была тихо удалена. Затем, в 2019 году, Facebook объявила о планах по объединению своих платформ обмена сообщениями . В конце 2020 года были реализованы первые этапы данного проекта - компания связала Messenger с Instagram Direct.

В январе 2021 года Facebook выпустила новую политику обмена данными для WhatsApp , согласно которой пользовательская информация будет передаваться между приложением для обмена сообщениями и социальной сетью. После многочисленных жалоб пользователей компания отметила, что ограничит возможности WhatsApp для всех несогласных .

По состоянию на июнь 2021 года компания Facebook смягчила наказание, хотя по-прежнему продолжает поощрять пользователей согласиться с новыми правилами.

4. Обман и фейковые новости

В последние годы компании, занимающиеся социальными сетями, подвергаются критике за распространение на своих платформах фальшивых новостей и дезинформации. Facebook, в частности, обвинялся в распространение дезинформации в ходе президентской кампании 2020 года в США. WhatsApp также подвергался подобным нападкам.

Два наиболее заметных случая произошли в Индии и Бразилии. WhatsApp оказался замешан в массовом насилии, произошедшем в Индии в 2017 и 2018 годах. Сообщения, содержащие сфабрикованные подробности похищений детей, активно пересылались пользователями и широко распространялись по платформе. Фейковые сообщения спровоцировали волну ненависти и привели к линчеванию обвиняемых выдуманных преступлениях.

В Бразилии WhatsApp был основным источником фейковых новостей во время выборов 2018 года. Поскольку дезинформация очень легко распространялась, бразильские бизнесмены создали компании для ведения незаконной дезинформации в WhatsApp против кандидатов. Бизнесмены приобрели списки телефонных номеров и устроили таргетированную рассылку.

Обе проблемы произошли в 2018 году, печально известном для Facebook. Цифровая дезинформация - сложная проблема. Однако, многие считают реакцию WhatsApp неправильной и слишком безразличной.

После инцидентов компания внесла несколько изменений. WhatsApp установил ограничения на переадресацию. Теперь пользователь может пересылать сообщения только пяти группам вместо прежнего ограничения в 250. Компания также удалила кнопку быстрого доступа для пересылки в ряде регионов.

Несмотря на данные исправления, на раннем этапе пандемии COVID-19 WhatsApp использовался для распространения дезинформации о вирусе. В апреле 2020 года во всем мире были введены карантинные меры. Напуганные люди пытались найти информацию в Интернете.

После происшествия Facebook снова ввел ограничения на пересылку для предотвращения распространения неверной или ложной информации. Также Facebook совместно с властями и организациями здравоохранения по всему миру занимался разработкой чат-ботов WhatsApp, предоставляя людям надежную информацию о пандемии.

Оба сценария - политические события 2018 года и пандемия COVID-19 – реализовались из-за одних и тех же проблем; ложная информация передается сразу нескольким людям. Учитывая, что компания Facebook якобы решила эту проблему в 2018 году, остается непонятным, почему дезинформация о пандемии вообще стала возможной. Может быть, незаметно были сняты лимиты пересылки или исправления 2018 года оказались неэффективными.

5. Статус WhatsApp

В течение многих лет функция статуса WhatsApp, короткая строка текста, была для пользователей единственным способом рассказать о том, что вы сейчас делаете. Затем данная функция превратилась в WhatsApp Status, клон популярной функции Instagram Stories.

Instagram - платформа, предназначенная для публичного использования, конечно вы можете сделать свой профиль приватным, если захотите. WhatsApp, в свою очередь, более личный сервис, используемый для общения с друзьями и семьей. Логично предположить, что делиться статусом в WhatsApp тоже конфиденциально.

Однако, на самом деле это не так. Любой из контактов пользователя WhatsApp может просматривать его статус. К счастью, пользователь может легко контролировать, с кем делится своим Статусом.

Перейдя в «Настройки»>«Учетная запись»> «Конфиденциальность»> «Статус», увидите три варианта конфиденциальности для обновлений статуса:

Мои контакты

Мои контакты, кроме ...

Делитесь только с ...

Стоит отметить, что заблокированные контакты не могут просматривать статус пользователя независимо от настроек конфиденциальности. Как и в случае с Instagram Stories, любые видео и фотографии, добавленные в статус, исчезнут через 24 часа.

WhatsApp безопасен?

Итак, безопасно ли использовать WhatsApp? WhatsApp – очень запутанная платформа. С одной стороны, компания внедрила сквозное шифрование в одно из самых популярных приложений в мире, что несомненно является потенциалом роста безопасности.

Однако в WhatsApp существует много других проблем с безопасностью. После вхождения в «семью Facebook» WhatsApp страдает от тех же угроз конфиденциальности и кампаний дезинформации, как и материнская компания.

securitylab

Вопросы сюда

Пока не наступит день, когда безопасность станет высшим приоритетом, мы будем продолжать обнаруживать SQL инъекции в веб-приложениях, и не останемся без работы.

Веб-приложения становятся все более популярны и заменяют традиционные компьютерные программы ускоренными темпами, в связи с чем возникают новые проблемы, связанные с безопасностью, когда любой желающий в интернете, даже не будучи технически подкованными, может реализовать эксплуатацию простейших уязвимостей. Один из наиболее распространенных и в то же время легко эксплуатируемых типов брешей в современных веб-приложениях – SQL инъекции.

Обычно веб-приложение хранит информацию не внутри себя, а в базе данных бэкэнда, когда запросы передаются в виде SQL кода, а затем запрашиваемые данные передаются обратно в приложение.

Что такое SQL инъекция?

SQL инъекция представляет собой технику для атаки на приложения, использующие базы данных, посредством отсылки вредоносного кода с целью доступа или модификации конфиденциальной информации в базе. Есть множество причин, почему эта уязвимость существует и так популярна, включая некорректную фильтрацию и обработку входных данных.

Подобный тип атаки позволяет получить конфиденциальную информацию, модифицировать существующие данные или даже полностью вывести из строя базу данных. Наиболее распространенный вектор – через входные данные (формы авторизации, текстовые поля, загрузку файлов и так далее).

Нашей целью будет Mutillidae, намеренно уязвимое веб-приложение, являющееся частью проекта Metasploitable 2 (уязвимая виртуальная линуксовая машина, используемая для тестирования и других практических целей). Мы будем подключаться к Metasploitable 2 из изолированной сети. В качестве рабочей системы будет использоваться Kali Linux.

Шаг 1. Установка виртуальной машины Metasploitable 2

Burp Suit – популярный инструмент, который можно использовать для автоматизации тестирования веб-приложений на предмет наличия разного рода уязвимостей. В Kali Linux присутствует по умолчанию. Но сначала нужно настроить целевую систему.

В качестве примера в этом руководстве будет использоваться виртуальная машина Metasploitable 2, которую можно скачать с сайта компании Rapid7. Также подойдет и любая другая уязвимая виртуальная машина. Установка ничем не отличается от установки обычных виртуальных машин в вашей системе.

При использовании уязвимых систем следует учитывать риски со стороны внешних сетей. Соответственно, если вы полностью не отключены от интернета, следует использовать трансляцию сетевых адресов (NAT) или режим host-only.

После того как всё настроено, авторизуйтесь в Metasploitable 2 (имя пользователя и пароль одинаковые msfadmin) и выясните IP адрес при помощи утилиты ifconfig (параметр inet addr у интерфейса eth0), который будет использоваться во время тестирования.

Шаг 2. Настройка приложения Mutillidae

После выяснения IP адреса виртуальной подключитесь к веб-серверу при помощи браузера. Я использую Firefox в Kali Linux.

Кликните на ссылку Mutillidae для входа в веб-приложение и зайдите в раздел OWASP Top 10. Выберите Injection (SQL), затем Extract Data, затем User Info. Появится форма авторизации.

Шаг 3: Настройка браузера для работы с Burp Suite

Теперь нужно настроить браузер для работы с Burp Suite, функционирующего в качестве прокси-сервера для перехвата и модификации запросов. Опять же я буду использовать Firefox, но для других браузеров весь процесс будет аналогичным.

В браузере зайдите в раздел Preferences, кликните на Advanced и зайдите во вкладку Network. Убедитесь, что в настройках соединения стоит «Manual proxy configuration» и введите адрес 127.0.0.1 в параметре HTTP Proxy и 8080 в параметре Port. Затем отметьте флажок Use this proxy server for all protocols и убедитесь, что ничего не указано в поле No Proxy for. Кликните на OK. Переходим к настройке Burp Suite.

Шаг 4. Перехват запросов при помощи Burp Suite

Откройте Burp Suite в Kali Linux, начните новый проект, а затем зайдите во вкладку Proxy и убедитесь, что нажата кнопка Intercept is on, чтобы мы могли изменять запросы, исходящие от веб-страницы и вставлять различные значения для тестирования SQL инъекции. На странице авторизации я ввел произвольное имя пользователя. Вы можете наблюдать чистый запрос, параметры, заголовки и даже информацию в шестнадцатеричной форме.

Нас интересует поле имени пользователя, которое мы будем изменять для тестирования SQL инъекции. Нажмите на кнопку Action, а затем на Send to Intruder. Альтернативный вариант: кликнуть правой кнопкой мыши в области запроса и выполнить те же самые операции.

Шаг 5. Настройка позиций и полезных нагрузок в Burp Suite

Далее зайдите во вкладку Intruder и кликните на Positions. Burp Suite автоматически конфигурирует позиции, куда вставляются полезные нагрузки во время отсылки запроса, однако поскольку нас интересует только поле username, нужно очистить все позиции, нажав кнопку Clear справа. Выделите значение, введенное в качестве имени пользователя, и нажмите на кнопку Add. Мы будем реализовывать атаку Sniper, когда в полезной нагрузке используется список значений (каждое – однократно).

После настройки позиции переходим к конфигурированию полезной нагрузки. Для работы с базой данных в SQL запросах могут использоваться различные операторы. Например, оператор SELECT предназначен для извлечения информации, и наш запрос, отсылаемый во время авторизации, выглядел бы примерно так:

SELECT username, password FROM users WHERE username='myname' AND password='mypassword';

Рассмотрим классическую команду в SQL инъекции 1=1--. Ниже показан запрос, формируемый после заполнения поля login.

SELECT username, password FROM users WHERE username='' or 1=1-- AND password='';

Фактически одиночные кавычки превращают первую часть в пустую строку, а выражение 1=1 всегда равно истине. Таким образом, условие для имени пользователя должно быть «пустым» или «истинным». Двойной дефис комментирует остальную часть запроса, и поле password игнорируется. Поскольку выражение «пустота» или «истина» всегда равно истине, а поле password игнорируется, база данных вернет информацию об учетной записи.

Кликните на вкладку Payloads и зайдите в раздел Payload Options. Пока будем использовать стандартные настройки. Здесь мы можем указать полезные нагрузки в виде простого списка, добавляя по одной или загрузив уже существующий список. В Kali есть несколько словарей, включая специально для тестирования SQL инъекций. Нажмите на кнопку Load и загрузите файл /usr/share/wordlists/wfuzz/injection/SQL.txt. Теперь всё готово для реализации нашего сценария.

Реализация атаки при помощи Burp Suite

Кликните на кнопку Start attack, после чего появится новое окно с отображением всего процесса. Здесь вы можете видеть состояние запросов, полезные нагрузки и статус. Будьте терпеливы, поскольку на отработку большого списка может потребоваться много времени.

После того как intruder завершит работу, можно посмотреть более подробную информацию, кликнув на нужный запрос.

Шаг 7. Анализ результатов работы Burp Suite

Нас интересуют ответы, полученные на определенные запросы. Каждый сделанный запрос возвращает код статуса 200, но зачастую, когда полезная нагрузка сработала успешно, вы увидите другой код. Обычно у успешного запроса длина ответа очень отличается от других ответов. Я выбрал запрос, содержащий SQL с выражение ' or 1=1 or "=', поскольку ранее уже тестировал эту инъекцию в ручном режиме и знаю, что эта уязвимость сработает.

Burp Suite полезен в том числе и потому, что вы можете отобразить веб-страницу, возвращаемую ответом, если зайдете во вкладку Response и кликните на Render. На рисунке ниже видно, что наша SQL инъекция выполнилась успешно, и теперь у нас есть перечень имен пользователей и паролей. Если бы мы работали с административной панелью, то получили бы учетную запись администратора со всеми вытекающими последствиями.

SQL инъекция в дикой природе

Хотя SQL инъекция уже давно известна как серьезная угроза, но продолжает оставаться как один из наиболее распространенных методов эксплуатации уязвимостей. Отчасти подобная ситуация происходит потому, что любой может собрать полуфункциональное веб-приложение и разместить в интернете. Даже профессиональные разработчики часто не придерживаются практик по написанию безопасного кода. В итоге мы и наблюдаем подобную ситуацию, когда Джимми собрал на коленке и выложил на всеобщее обозрение небезопасное приложение.

Чтобы лучше понимать SQL инъекции, вероятно, нужно выучить сам язык SQL. В конце концов, наилучший способ сломать что-либо – знать, как оно работает, и использовать эти знания в своих целях. При проведении тестов, как только вы найдете уязвимость и подберете рабочую полезную нагрузку, то можете настроить SQL для запуска собственных команд. Эта возможность позволяет выяснить структуру таблиц, модифицировать данные и даже обнаружить другие таблицы в базе данных. Как только вы действительно разберетесь с SQL, фактически, ваши возможности становятся безграничными.

Пока не наступит день, когда безопасность станет высшим приоритетом, мы будем продолжать обнаруживать SQL инъекции в веб-приложениях, и не останемся без работы.

securitylab

P.S. Данная статья не является прямым руководством к действиям носящим вредоносный характер, все материалы предоставлены исключительно в ознакомительных целях. Любой взлом не принадлежащего вам веб-приложения и без прямых договоренностей с владельцем веб-приложения, является преступлением и преследуется по закону.