ווטסאפ - לינוקס, BSD, קוד פתוח ותוכנה חופשית בעברית. Whatsup - Linux, BSD, open source and free software in Hebrew

 
 
  כניסת חברים · רישום · שכחתי סיסמה  
tux the penguin
תגובה לנושא
צפיה בנושא הבא Printable version התחבר כדי לבדוק הודעות פרטיות צפיה בנושא הקודם
אורח · ·
 

הודעה פורסם: 05/04/2018 - 10:30
נושא ההודעה: שאלות לגבי הגנה בפני פריצות לאתרים?

בעקבות הפריצות האחרונות על ידי גורמי חמאס למיניהם - מישהו יכול לתת הסבר קצר על תהליך פריצה כזה - תיאור כללי של הדרכים השונות שבהן ניתן להשתלט על האתר? כמובן שלא מדובר על *מדריך לפורץ המתחיל* Smile המטרה פשוט ללמוד דרכי התגוננות - בבחינת דע את האויב - למישהו כמוני שהקים אתר ביתי קטן והיה רוצה להגן עליו ככל האפשר עם כלים שזמינים בקוד הפתוח. האם חדירה כזו אומרת בהכרח שהססמא עצמה נפרצה (אם כן - כיצד ניתן לפרוץ ססמא מורכבת וארוכה?), או שמדובר בדרכים עוקפות?
בנוסף - האם כדאי לציין בפומבי שהאתר שלי הוא ביתי - זה לא יחשב כנקודת תורפה לעומת אתרים שמאוחסנים בחוות שרתים בתשלום, שאולי מוגנים יותר טוב (זו הנחה נכונה?)? אני רוצה לתעד את תהליך הקמת האתר הביתי בפני הגולשים, אך חושש שמא יזמין פריצות..
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 05/04/2018 - 11:00
נושא ההודעה:

נתחיל מהסוף - אל דאגה. לפי הip ניתן לדעת למי שייך הפול
בדר"כ ההתקפות הן dos והן מפילות את האתר. אבל צריך שיהיה למישהו אינטרס לעשות את זה. כי אם שרת נופל באמצע היער ואף אחד לא שומע - האם הוא עדיין משמיע רעש?
כלל אצבע - לשמור את כל הרכיבים עדכניים, אבל נגד 0day אין לך כל כך מה לעשות.
ולסיום - תמיד תוכל להשתמש ב waf או סתם fw פשוט כמו fail2ban או שניהם.
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 05/04/2018 - 14:02
נושא ההודעה:

אני מניח שהאתר הקטן שלי אינו יעד מבוקש לפורצים מכל הסוגים, אבל מעדיף להיות בצד הבטוח ולהקשות ככל היותר באמצעים שלרשותי. ובכלל זה נושא מענין וניסיתי ללמוד את המושגים שציינת. dos - מבין שמדובר על העמסת האתר בפניות מלאכותיות עד להפיכתו ללא נגיש - אבל במקרה האחרון שהשתלטו על אתרים של עיריות וכו, הצליחו להציג דף אחר במקום דף הבית, מכאן אני שואל האם המשמעות שהם פרצו את הססמא (ולא ברור איך פורצים ססמא ארוכה ומפותלת?) או שיש דרך אחרת? האם במקרה כזה הכוונה ל 0day שציינת? אם הבנתי נכון 0day מדבר על פרצות תוכנה שטרם נחסמו (ולכן עדכון החבילות חשוב כפי שאמרת)

לגבי FIRE WALL: אני צריך לקרוא על הנושא הזה ומקווה שטרם הגיע השלב לרמת האבטחה הזו, וגם צריך לבדוק מה החסרונות שכנראה ישנם... אבל בעצם גם הראוטר הוא קצת FW עם פתיחה בלעדית לפורטים 80, 443 - נכון?

במסגרת הזו הרצתי בדיקה לאתר עם תוכנה wapiti אבל בדביאן שלי הגרסה היא די ישנה wapiti 2.3.0+dfsg-6 וכבר יש גרסה 3 כך שלא יודע עד כמה הבדיקה עדכנית. יש עוד תוכנות חופשיות שעשויות לעזור בבדיקות הנל?

ציטוט:
נתחיל מהסוף - אל דאגה. לפי הip ניתן לדעת למי שייך הפול

זה אומר שלפי ה IP הם אמורים לדעת האם מדובר באתר ביתי? שמתי לב שיש הרבה מדריכים להקמת אתר ביתי על PI וכו, אבל לא מצאתי שמציינים לדוגמא: "אתר זה הוא ביתי..." - כאילו שמסתירים את זה...

תודה
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 05/04/2018 - 16:54
נושא ההודעה:

אני לא באמת מבין בזה. אולם לאור מושב הליצים אשר שורר כאן אנסה לתת תשובות ענייניות.
בנקודות ולא לפי הסדר:
* כמו שאתה יכול לשחק עם ה user agent של הקליינט - כך אתה יכול לשחק עם ההאדרז של השרת
תרשום X-powered by : IIS6 בשרת של lightttpd (נגיד) על מנת לבלבל את האוייב.
לא יודע עד כמה זה אפקטיבי באמת
* הראוטר שלך לא באמת FW ואגב, מתי בפעם האחרונה עידכנת לו קושחה ?
* אני כתבתי IP אבל אתה הזכרת PI, אז אם ב IoT עסקינן המינימום הוא לשנות את הסיסמה הדיפולטיבית על מנת שלא תהפוך לבוטנט כמו מיראי:
https://he.wikipedia.org/wiki/%D7%9E%D7%AA%D7%A7%D7%A4%D7%AA_%D7%94%D7%A1%D7%99%D7%99%D7%91%D7%A8_%D7%A2%D7%9C_Dyn
* כשהשתעשעתי פעם עם פרוייקט גמר שהעליתי ל AWS היה כלי די אפקטיבי שנקרא OWASP
https://www.owasp.org/index.php/Main_Page
שעשה עבודה לא רעה

בהצלחה
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורחאורח · ·
 

הודעה פורסם: 05/04/2018 - 17:04
נושא ההודעה: ישנן כל מיני אפשרויות תקיפה, תלוי כאמור בתוכן ובאינטרנס

כפי שאמרו כאן, יש כל מיני אפשרויות פריצה.
נתחיל מזה שהסיבות שיפרצו לך לאתר הן:
1) קל מאוד לפריצה ומכיל חולשות שניתנות לפריצה עם כלים חינמיים מהרשת.
2) מכיל דאטה בייס רגיש שיצדיק השקעה בפריצה אליו, או שאתה לא מוגן מ-SQL Injection.
3) שקל לזייף פניות אליו וכך ליצור התקפה (לא מוגן מ-DDOS).

הגנות:
1) כדי להתגונן מ-DDOS, רצוי להשקיע בנתב חכם שמזהה DDOS וחוסם אותו (אם אתה מבין ב-openWRT אז ייתכן שאתה כבר יודע לקנפג לבד על הנתב שלך). כמו כן, רצוי שלא כל פנייה לאתר תעבור דרך ה-DB ותעמיס גם אותו - היכן שניתן להשתמש בקאש אז מומלץ לעשות כן. כמו כן, לבחון אם IP לא פונה יותר מ-20 פניות בדקה ואם כן, אז להשתמש במנגנון סקריפטי החוסם ריבוי REQUEST-ים בצד השרת.
2) כדי להתגונן מ-SQL Injection רצוי להשתמש ב-Parametrized SQL בשאילתות שלך, או ב-Stored Procedures ולא בשאילתות לא "קשיחות" או כאלו המכילות פתח להזרקת סטרינג לשאילתה. אין לשמור מספרי כרטיס אשראי וכו' אם אינך עומד בתקני PCI.
3) להקפיד לעדכן את סביבת השרת לגרסה העדכנית ביותר (במערכות מבוססות לינוקס יש להשתמש במנהל החבילות ולקנפג Repositories עדכניים, ב-Windows Server להשתמש ב-Update Manager המובנה בחלונות ולהתקין את כל ה-KnowledgeBases העדכניים וכל ה-Cummulative Security Updates).
4) שימוש בפיירוול יכול לעזור על מנת ששירותים בלתי מחוייבים לא יהיו "פתוחים לעולם". לפתוח בפיירוול רק את הפורטים 80 , 443 ו/או פורטים רלוונטיים אחרים. אצלי בבית למשל פתחתי רק את שני הפורטים הללו + פורט של openVpn ואני מתחבר דרך openVpn בלבד על מנת לקבל גישה לדברים האחרים (FTP, VNC וכו'). הערה: אם אתה מריץ מערכת של אימייל תצטרך לפתוח גם את פורט 25 לעולם.

בהצלחה!
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 05/04/2018 - 17:25
נושא ההודעה:

שכחתי לציין אבל השרת שלי הוא nginx שמותקן על raspberry pi3 עם מערכת raspbian ו CMS = drupal . הנחתי שברור שמדובר על לינוקס ושאסור להזכיר כאן את windows Wink - אין לי נסיון כל כך בתחום הזה אבל נראה שלהתקין שרת על win זה רק עקב אילוץ או חוסר הכרת לינוקס... יופי של מידע נתתם כאן ואני הולך ללמוד קצת את הנושא

חג שמח
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 05/04/2018 - 18:58
נושא ההודעה:

שתי האגורות שלי:
- נגד ddos אין לך סיכוי אמיתי להתגונן בטח לא כשהשרת יושב על קו אינטרנט ביתי שמוגבל מאוד ברוחב הפס שלו. אתה יכול לנסות לשים את השרת שלך מאחורי שרותי הגנה כמו cloudflare אבל וכשתהיה תחת מתקפה כנראה תצטרך לשלם על השרותים שלהם אם זה יהיה מספיק חשוב לך.
- אני מוכן לנחש שנקודות התורפה הן פחות השרת והקונפיגורציה שלו ויותר drupal וה-plugins שלו. תדאג לעדכן לגרסאות אחרונות ולהחזיק גיבויים עדכניים שתוכל לשחזר מהם במקרה של פריצה.
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
אורח · ·
 

הודעה פורסם: 06/04/2018 - 16:07
נושא ההודעה:

Anonymous :
... הנחתי שברור שמדובר על לינוקס ושאסור להזכיר כאן את windows Wink - אין לי נסיון כל כך בתחום הזה אבל נראה שלהתקין שרת על win זה רק עקב אילוץ או חוסר הכרת לינוקס...

(זה ביי פאר א"ט אבל זה היה או להגיב כאן או לשלוח ידיעה לאתר)

תשמע, אין שום דבר רע בחלונות!
הנה, מיקרוסופט מתממשקת לקוד הפתוח יותר ויותר, ובין היתר מבצעת פורקינג ל unrar במודול של עידכוני האבטחה.
ומה אנשי מקרוסופט משנים בקוד? את ההכרזה על משתנים
וזה מה שקרה -

[img]https://regmedia.co.uk/2015/04/30/shawshank-hole.jpg?x=442&y=293&crop=1[/img]

https://www.theregister.co.uk/2018/04/04/microsoft_windows_defender_rar_bug/
 
   
תגובה  עם ציטוט חזרה למעלה
חזרה לתוכן הדיון
הצגת הודעות מלפני:     
מעבר אל:  
כל הזמנים הם GMT + 2 שעות
תגובה לנושא
צפיה בנושא הבא Printable version התחבר כדי לבדוק הודעות פרטיות צפיה בנושא הקודם
PNphpBB2 © 2003-2004 

תוכן הדיון

  1. אורח
  2. אורח
  3. אורח
  4. אורח
  5. אורח [אורח]
  6. אורח
  7. אורח
  8. אורח