Hackers atacam novamente!

A maioria dos ataques famosos e pilantragens não tem nada de tecnológico.
Isso se chama lábia.

Cara tenho que concordar com voce!

O famoso ataque “usuário: sa; senha: branco”.
Variações: scott/tiger, root/root, db2admin/db2admin, db2inst1,db2as,db2fenc1/ibmdb2

O ataque mais comum hoje em dia é a “engenharia social”, onde o atacante pode se passar por outra pessoa com a finalidade de obter dados em benefício próprio.

Sem informação alguma é possível. Basta ter uma boa conexão com o mundo espiritual e saber como perguntar aos daemons certos.

A maioria dos sistemas, especialmente sistemas dos governos, não tem segurança, nem gente capacitada para prover isso.

Hackear ou crackear eles, como preferir, é somente questão de vontade. Engenharia social é só outro modo.

Pela quantidade de gente que usa Statement em vez de PreparedStatement aqui no fórum, não me espanta de ver ataques do tipo SQL Injection a torto e a direito.

Tem que cortar o dedo do pessoal que cuida da rede, como que deixa o acesso via rede á maquina do banco aberto?

Nem precisa. Basta uma página com SQL Injection e um banco com usuário sa, senha branco, para você poder fazer um monte de coisas interessantes.

Com um crescente monitoramento da internet pelas empresas, crence o número de ataques que partem de dentro das mesmas. Estes ataques são fruto de um funcionário descontente, ou mesmo mal intencionado, ocorrendo por de traz do firewall.

Tendo eu visto a qualidade de alguns grandes sistemas empresariais, governamentais e institucionais, ou melhor dizendo, a falta de qualidade, eu me admiro que eles NÃO tenham sido alvo de hackers. Já vi sistemas importantes por aí com mais furos do que um queijo suíço. Em sistemas que são criados utilizando-se a metodologia POG, onde nenhum dos desenvolvedores está se lixando para segurança, falhas de segurança grotescas são bem comuns. Se fosse apenas casos de SQL injection e roubo de senhas ainda estava fácil, mas há gambiarras que criam buracos muito maiores do que estes.

SQL injection e roubo de senhas é só a ponta do iceberg. A maior parte das falhas de segurança que já vi provém da besteira de achar que validação e regras de negócio no lado do cliente via javascript deixa algum site seguro. No início o orkut tinha este tipo de falha e o resultado disso era bem interessante. :twisted:
(in)felizmente estes problemas do orkut já foram corrigidos a muito tempo, mas isso tende a ser comum em outros sites. O Google Chrome ou plugin webdeveloper do firefox e alguma paciência é tudo o que você precisa para exploitar estas falhas de segurança.

Brute Force, Buffer Overflow, Cookie Poisoning, Cross-Site Scripting, Denial Of Service (DoS), Google Hacking, Session Hijacking, SQL Injection, e por ai vai…

dois links interessantes

http://www.imperva.com/resources/glossary/adc_glossary.html

http://www.dwheeler.com/secure-programs/

O que pode ser feito para evitar estes problemas em nível catastrófico é ter um bom firewall trabalhando em conjunto com um proxy. O proxy filtra as requisições http, e o firewall filtra os pacotes com base em verificação de permissões e endereçamento. Caso os pacotes de dados venham de endereços que não constam na relação de endereços confiáveis, estes pacotes são automáticamente descartados.

O que me espanta é o modo que a mídia divulga “hackers” e esquecem de dizer que são alguns idiotas que não sabem administrar uma rede direito.

Há de fato administradores de sistemas/redes que ignoram a segurança pois acham que nada vai acontecer e que estes ataques são de um filme de ficção científica. Em algum momento estes administradores estrá com a cabeça a prêmio, por serem idiotas e burros ao ponto de comprometerem a segurança dos dados da empresa. Oque se pode fazer quanto a isto? Contratar administradores de sistema/redes compotentes, sérios e que intendam que a segurança das informações é crucial para a empresa e não um ornamento ou adereço.

Marcio Nogueira. Grande parte das falhas de segurança não são culpa de administradores de rede. São culpa de POGramadores.

Um exemplo simples seria mais ou menos o seguinte:

Imagina um site de um forum bem mal-feito (logo filtro de IP e firewall terão pouca serventia).
Nele, o botão de “banir usuário” só é visível a administradores. Quando o cara está logado como administrador, este botão dá um submit para alguma coisa no servidor que muda o estado do usuário para banido.
Suponha que nenhuma validação seja feita no servidor, afinal o POGramador pensa “o botão só vai aparecer se o cara for um administrador mesmo, então não precisa validar”. Pois bem, basta que um usuário espertinho consiga forjar uma requisição ao servidor (algo que não é nem um pouco difícil) e pronto: você poderia banir quem você quiser mesmo sem ser um administrador.

Quando o servidor não faz as devidas verificações, a segurança está comprometida, pois pode-se forjar requisições HTTP.

EDIT: Para evitar mau-entendidos:
Não estou me referindo ao JForum, nem ao GUJ e nem a qualquer outro site específico. Este exemplo que dei é apenas um exemplo hipotético.

Sem brincadeiras… jogava um jogo online chamado Pang Online que era um FPS muito massa… porem havia um erro grande nele, a segurança… do nada começaram aparecer um monte de falsos GMs, o interesante e que todos tinham o nome de “Emilli” ou “Razor”, o jogo não aceitava cadastros com nomes iguais… porem bastasse colocar um metacaractere na frente que era aceito… ex: >>Emilli<<, ##Razor##, sendo assim podiam varios terem nomes como Emilli e Razor… e todos que criavam uma conta assim viravam GMs automaticamente… a puta cagada que os Pogueiros fizeram é validar os GMs pelo nome… e ainda pra piorar desconsiderar metacaracteres… simplismente o jogo se encheu de GMs… que a empresa teve que tira-lo do ar por causa do caos que foi gerado…

victorwss:

Quando o servidor não faz as devidas verificações, a segurança está comprometida, pois pode-se forjar requisições HTTP.

era isso que ocorria o tempo todo no orkut. em especial por usar requisicoes GET para fazer esse tipo de coisa, ai qualquer insercao de imagem podia forjar uma requisicao HTTP.

Da tambem pra usar aquele pattern (nao lembro o nome que deram) pra gerar token pra toda santa URL, assim pra acionar uma URL, o servidor checa se ela foi gerada para aquele usuario, atraves daquele token (que pode ser um hash da url+salt+dado do usuario, ou informacao random guardada na session)

software livre sofre mais ainda com isso, como o wordpress, e os foruns, como o victor citou. cabe a gente manda patches pro pessoal.

Paulo Silveira:

victorwss:

Quando o servidor não faz as devidas verificações, a segurança está comprometida, pois pode-se forjar requisições HTTP.

era isso que ocorria o tempo todo no orkut. em especial por usar requisicoes GET para fazer esse tipo de coisa, ai qualquer insercao de imagem podia forjar uma requisicao HTTP.

Da tambem pra usar aquele pattern (nao lembro o nome que deram) pra gerar token pra toda santa URL, assim pra acionar uma URL, o servidor checa se ela foi gerada para aquele usuario, atraves daquele token (que pode ser um hash da url+salt+dado do usuario, ou informacao random guardada na session)

software livre sofre mais ainda com isso, como o wordpress, e os foruns, como o victor citou. cabe a gente manda patches pro pessoal.

Pior que fazer manutenção de código ruim é fazer manutenção de código de programador do IOCCC. :lol:

Pior que fazer manutenção de código ruim é fazer manutenção de código de programador do IOCCC. :lol:
nao precisa obfuscar codigo nenhum para transformar uma senha para md5 via javascript. aqui tem mais informacoes:
http://pajhome.org.uk/crypt/md5/auth.html

Eh senhores, sao historias de arrepiar os “cabelhos”, desafios ah vista.

thingol:

Variações: scott/tiger, root/root, db2admin/db2admin, db2inst1,db2as,db2fenc1/ibmdb2

tem mais aquela sysdba/MASTERKEY

Como tem lá no rails? Aquele lance de security token?

Eh facil pra quem ta de fora botar a culpa em alguem, garanto que muitos dos que falaram aqui “nheee culpa do administrator de rede, culpa dos programadores” e todo esse “blablabla” de neguinho querendo dar uma de “expert” nao teriam a capacidade de fazer nada contra ataques.

//Daniel

"

Eu ainda acredito mais no pilantra( vulgo Engenheiro social).

Não me surpreendo com isso…
existem n técnicas para quebrar segurança de sistemas e muitas já são conhecidas

existem muitas outras técnicas que não chegam a ser publicadas ou que são muito recentes e ainda não foram divulgadas pelo underground da comunidade de segurança…

sistemas são falhos
não é dificil invadir, basta ter disposição, conhecimento e criatividade

Pra falar a verdade existem falhas que os melhores “hackers” não divulgam. Quando já estão ficando velhas eles divulgam para a comunidade e o monte de criançinha com acesso a internet que gosta de brincar de hacker segue um tutorial para invadir algo e chamam toda a atenção e deixam os melhores no underground que é o seu lugar.