Какво е принудително сърфиране и как работи?

Уеб приложенията са решаващ елемент при предоставянето на услуги в интернет.

Вече не е новина, че много от тях са страдали от уязвимости в сигурността. Уебсайт може да изложи хората на значителен риск, ако не е правилно защитен.

Нападателите имат достъп до страници с ограничен достъп и поверителни потребителски данни, като използват няколко техники, включително принудително сърфиране.

В тази статия ще обсъдим концепцията за принудително сърфиране и как работи.

Какво е принудително сърфиране?

Принудителното сърфиране е техника, използвана от нападателите, за да получат достъп до ограничени уеб страници или други ресурси чрез манипулиране на URL адреса. Нарича се още принудително сърфиране. Точно както подсказва името, нападателят преглежда насила ресурс, за който няма разрешение.

Такава атака е насочена към файлове в директорията на уеб сървъра или ограничени URL адреси, които не проверяват за оторизация.

Тези ресурси са изгодни за нападателите, ако съдържат чувствителни данни. Може да става дума за самия уебсайт или за клиентите на сайта. Чувствителните данни могат да включват:

• Акредитивни писма
• Програмен код
• Архивни файлове
• Дневници
• Конфигурация
• Подробности за вътрешната мрежа

Ако даден уебсайт може да стане жертва на атака при принудително сърфиране, тогава той не е правилно защитен.

Упълномощаването трябва да гарантира, че потребителите имат подходящо разрешение за достъп до страници с ограничен достъп. Потребителите предоставят своите данни за вход, като потребителско име и парола, преди да им бъде разрешен достъп. Принудителното сърфиране се опитва да заобиколи тези настройки за сигурност, като изисква достъп до ограничени пътища. Той тества, за да види дали има достъп до страница, без да предоставя валидни идентификационни данни.

Как работи принудителното сърфиране?

Принудителното сърфиране е често срещан проблем с уебсайтове, които имат различни потребителски роли, като обикновени потребители и потребители с администратор. Всеки потребител влиза от една и съща страница, но има достъп до различни менюта и опции. Въпреки това, ако страниците, до които тези менюта водят, не са защитени, потребителят може да познае името на валидна страница и да се опита да получи достъп до нейния URL адрес.

Няколко сценария показват как работи принудителното сърфиране, независимо дали се прави ръчно или с помощта на автоматизиран инструмент. Нека да разгледаме някои случаи.

1. Несигурна страница на акаунта

Потребител влиза в уебсайт и URL адресът на страницата на акаунта му е www.example.com/account.php? потребител=4. Потребителят може да продължи да извършва ротация на числата и да промени URL адреса на www.example.com/account.php? потребител=6. Ако страницата се отвори, те ще имат достъп до информацията на другия потребител, без да е необходимо да знаят данните за вход.

2. Несигурна страница за поръчка

Потребител с акаунт в уебсайт за електронна търговия вижда една от своите поръчки на www.example.com/orders/4544. Сега те променят идентификатора на поръчката произволно на www.example.com/orders/4546. Ако страницата с поръчки има слабост при принудително сърфиране, нападателят може да открие подробности за потребителя с тази поръчка. Най-малкото, те ще извлекат информация за поръчка, която не е тяхна.

3. URL сканиране

Нападателят използва инструмент за сканиране, за да търси директории и файлове във файловата система на уеб сървъра. Може да сканира за общи имена на администратор, парола и регистрационни файлове. Ако инструментът получи успешен HTTP отговор, това означава, че съществува съответстващ ресурс. Тогава нападателят ще продължи и ще получи достъп до файловете.

Принудителни методи за сърфиране

Нападателят може да извърши принудителна атака при сърфиране ръчно или с автоматизирани инструменти.

При ръчно принудително сърфиране нападателят използва техниката за ротация на номера или правилно отгатва името на директория или файл и го въвежда в адресната лента. Този метод е по-труден от използването на автоматизирани инструменти, тъй като нападателят не може ръчно да изпраща заявки със същата честота.

Принудителното сърфиране с помощта на автоматизирани инструменти включва използване на инструмент за сканиране за съществуващи директории и файлове на уебсайта. Много ограничени файлове обикновено са скрити, но инструментите за сканиране могат да ги открият.

Автоматизираните инструменти сканират през много потенциални имена на страници и записват резултатите, получени от сървъра. Те също така съхраняват URL адресите, които отговарят на всяка заявка за страница. Нападателят ще продължи да извърши ръчно разследване, за да открие до кои страници имат достъп.

И при двата метода принудителното сърфиране е като атака с груба сила, при която нападателят познае вашата парола.

Как да предотвратите принудителното сърфиране

Ето нещо, което трябва да имате предвид: скриването на файлове не ги прави недостъпни. Уверете се, че не предполагате, че ако не поставите връзка към страница, нападател няма да има достъп до нея. Принудителното сърфиране развенчава това предположение. И често срещаните имена, присвоени на страници и директории, могат лесно да бъдат отгатнати, което прави ресурсите достъпни за нападателите.

Ето няколко съвета, които да ви помогнат да предотвратите принудителното сърфиране.

1. Избягвайте използването на често срещани имена за файлове

Разработчиците обикновено разпределят общи имена на файлове и уеб директории. Тези често срещани имена могат да бъдат "администратор", "регистрационни файлове", "администратор" или "резервно копие". Гледайки ги, те са доста лесни за отгатване.

Един от начините да запазите принудителното сърфиране на разстояние е да наименувате файлове със странни или сложни имена, които е трудно да се разберат. С това на мястото си нападателите ще имат твърд орех. Същата техника помага при създаване на силни и ефективни пароли.

2. Дръжте списъка си с директория изключен на уеб сървъра

Конфигурацията по подразбиране представлява риск за сигурността, тъй като може да помогне на хакерите да получат неоторизиран достъп до вашия сървър.

Ако активирате списъка с директории на вашия уеб сървър, можете да изтечите информация, която да покани нападателите. Трябва да изключите списъка на вашата директория и да държите подробностите за файловата система далеч от публичен изглед.

3. Проверете удостоверяването на потребителя преди всяка защитена операция

Лесно е да се пренебрегне необходимостта от удостоверяване на потребителите на сайта на конкретна уеб страница. Ако не внимавате, може да забравите да го направите.

Уверете се, че вашите уеб страници са достъпни само за удостоверени потребители. Внедрявайте проверка за оторизация на всяка стъпка, за да поддържате сигурността.

4. Използвайте правилни контроли за достъп

Използването на правилни контроли за достъп включва предоставяне на изричен достъп на потребителите до ресурси и страници, които отговарят на техните права и нищо повече.

Уверете се, че сте дефинирали типовете файлове, до които потребителите имат разрешение за достъп. Например, можете да ограничите достъпа на потребителите до архивни файлове или файлове с база данни.

Сблъсквайте се с нападателите

Ако хоствате уеб приложение в публичния интернет, вие каните нападателите да опитат всичко възможно, за да проникнат насилствено. Имайки това предвид, атаките при принудително сърфиране неизбежно ще се случат. Въпросът е: ще позволите ли на нападателите да получат достъп, когато се опитат?

Не е нужно. Дайте силна съпротива, като внедрите различни слоеве на киберсигурност във вашата система. Ваша отговорност е да защитите вашите цифрови активи. Направете каквото трябва, за да осигурите това, което ви принадлежи.

5 пъти атаки с груба сила водят до огромни пробиви в сигурността

Онлайн потребителите са под постоянна заплаха от пробиви в сигурността, а атаките с груба сила са особена причина за безпокойство. Ето някои от най-лошите.

Прочетете Следващото

За автора