מה זה פריצת מדריך ואיך זה עובד?

אתר אינטרנט אינו רק אפליקציה עצמאית. הוא מורכב מתיקיות, ספריות ודפים הנושאים הוראות ומידע עבור משימה או בקשה מסוימת. כאשר אתה מתקשר עם אתר אינטרנט, אתה מובל דרך סדרה של ספריות. אבל לא כל המדריכים גלויים לך; חלקם מוסתרים מהציבור. איך האקרים מכירים ספריות נסתרות ומנצלים אותן?

מה זה פריצת מדריך?

פריצת ספריות (הידועה גם בשם directory brute forcing) היא טכנולוגיית יישום אינטרנט המשמשת לאיתור וזיהוי ספריות נסתרות אפשריות באתרי אינטרנט. זה נעשה במטרה למצוא ספריות אינטרנט נשכחות או לא מאובטחות כדי לראות אם הן חשופות לניצול.

כיצד פועלת פרץ ספריות?

פריצת ספריות מתבצעת באמצעות שילוב של כלים אוטומטיים ואוסף של סקריפטים הנקראים רשימות מילים. חלק מהכלים הללו כוללים את Gobuster, Dirb, FFUF, Dirbuster וכו'. איך פועל פריצת ספריות?

מה זה ספרייה?

ספרייה היא תיקיה או אוסף של קבצים המכילים מידע. הוא משמש למטרות ארגוניות ומשתמש במערכת היררכית. יישומי אינטרנט מורכבים מספריות ותת-ספריות רבות ואלה בתורם משמשות לאחסון מידע כמו קובצי HTML סטטיים, servlets, קבצי CSS ו-JavaScript, ספריות חיצוניות, תמונות וכו'.

לדוגמה, דף MakeUseOf של מחבר יכול לקרוא "www[dot]makeuseof.com/author/author-name/page/2/" אם היית בעמוד השני של הפרופיל של המחבר. שם האתר או ספריית השורש הוא "www[dot]makeuseof.com". יש לו ספריית משנה המאחסנת פרופילים ויצירות של מחברים בשם "/author/". לספרייה זו יש ספריית משנה נוספת המכילה את היצירות של אותו מחבר מסוים. לאחר מכן, הספרייה הבאה מכילה את מספר העמוד שבו אתה נמצא.

הקלדה ידנית של מאות שמות ספריות באתר כדי לסרוק עבור ספריות נסתרות אפשריות תהיה משימה שלוקחת זמן וחסרת תועלת. במקום זאת, האקרים משתמשים בכלים לצד רשימות מילים כדי להפוך התקפות מתפרצות של ספריות לאוטומטיות. הכלים האוטומטיים האלה הם בדרך כלל עם ריבוי הליכים ופועלים לפי ביצוע בקשת HTTP או HTTPS של כל שם קובץ ברשימת המילים. אם שם הספרייה קיים, קוד התגובה והשם נרשמים ומוצגים.

כלי פריצת ספריות או כלי לאילוץ גס טוב רק כמו רשימת המילים. רשימת מילים, כפי שהשם מרמז, היא בדרך כלל קובץ txt המכיל אלפי שמות אפשריים של ספריות וקבצים שייסרוקו על ידי הכלי directory brute-forcing. יש מספר עצום של רשימות מילים זמינות באינטרנט, וכלים רבים לפריצת ספריות מגיעים עם כלים מובנים.

כדי להשתמש במדריכים של אתר אינטרנט, אתה צריך את כתובת האתר ורשימת מילים. כלים מסוימים לפריצת ספריות מספקים אפשרויות כמו מהירות, סיומות קבצים, או מאפשרים לך לציין איזו רמת ספריות לסרוק או להסתיר מילים ספציפיות.

כיצד להגן על האתר שלך מפני התפוצצות ספריות

התפוצצות של ספריות או כפייה גסות אינה מזיקה, מכיוון שהיא רק מונה את הספריות הנסתרות שאולי יש לך באתר האינטרנט שלך. המידע שהאקר עשוי למצוא בספריות הללו הוא שיוצר נקודות תורפה באתר האינטרנט שלך. אם אתה מאחסן מידע רגיש כמו קוד מקור או מסדי נתונים בספריות מבלי לאכוף הרשאות מתאימות, האקרים יוכלו לנצל זאת.

וכל אחד יכול להיות פגיע: אפילו קוד המקור של מיקרוסופט דלף!

הפגיעות הנפוצה ביותר שעלולה לנבוע מפריצת ספריות היא הפגיעות של מעבר ספרייה או נתיב. פגיעות זו מאפשרת להאקר לגשת לקבצים ולספריות שבדרך כלל לא אמורה להיות להם הרשאה לעשות זאת. עם מעבר ספריות, האקרים מסוגלים לקרוא ולפעמים לשכתב קבצים שרירותיים באפליקציית האינטרנט. הם עושים זאת על ידי הסלמה של הרשאות מהרשאות משתמש להרשאות שורש.

להלן כמה טיפים להגנה על אתרי האינטרנט שלך מפני פגיעויות מתפוצצות של ספריות:

• לאכוף הרשאות קבצים וספריות.
• אמת תמיד משתמשים וקלט משתמש.
• שמור על השרתים שלך והתשתית שמאחוריהם מעודכנים.

דחיית ספריות לא רק מזהה ספריות נסתרות באתר האינטרנט שלך, אלא גם מספקת מידע על מבנה האתר שלך⁠ - מידע שעשוי להיות שימושי להאקר מיומן.

פריצת ספריות ופריצה אתית

האקרים אתיים משתמשים בכלים לפריצת ספריות כדי לצמצם נקודות תורפה לפני שפושע סייבר מוצא אותן. פריצת ספריות חשובה בשלב הספירה של מבחן חדירה לאינטרנט, והיא יכולה לשפר את אבטחה של אתר אינטרנט על ידי מציאת מידע בשירות אינטרנט שלא אמור להיות נגיש לציבור מסיר אותם.

מהי בדיקת חדירה וכיצד היא משפרת את אבטחת הרשת?

קרא הבא

על הסופר