ব্ল্যাক হ্যাট ব্রিফিং: সস্তা জন্য মিলিয়ন ব্রাউজার বোটনেট তৈরি করা

বোটনেট তৈরি করতে আপনাকে কয়েক হাজার কম্পিউটারের নিয়ন্ত্রণ নিতে এবং এগুলি আপনার ইচ্ছায় বাঁকানোর কিছু উপায় খুঁজে বের করতে হবে। এটা একটা কঠিন কাজ, তাই না? ভাল, না। লাস ভেগাসের ব্ল্যাক হ্যাটে একটি উপস্থাপনায়, হোয়াইটহ্যাট সিকিউরিটির প্রতিষ্ঠাতা ও সিটিও জেরেমিয় গ্রসম্যান এবং হোয়াইটহ্যাটের হুমকি গবেষণা কেন্দ্রের ব্যবস্থাপক ম্যাট জোহেনসেন এক অসাধারণ সহজ উপায় প্রকাশ করেছেন যে যে কেউ হাজারে বা কয়েক মিলিয়ন ব্রাউজারকে নিয়ন্ত্রণ করতে পারে।

গ্রসম্যান উত্সাহ নিয়ে বলেছিলেন, "আমরা ছয় মাস ধরে এটি নিয়ে কাজ করছি, এবং আমরা উপস্থাপন করতে উদগ্রীব। এটি দ্রুত চলে যাবে, এবং আমরা মজা করব We আমরা ব্রাউজারগুলি ক্র্যাক করব এবং সেগুলি ওয়েবসাইটগুলি ক্র্যাক করার জন্য ব্যবহার করব We ।"

ওয়েব পাওয়ার

গ্রসম্যান আরও বলেছিলেন, "যতক্ষণ না আপনি সংযুক্ত রয়েছেন ততক্ষণ আপনার ওয়েব ব্রাউজারের সম্পূর্ণ নিয়ন্ত্রণ রয়েছে। আমরা আমাদের ডেমোতে যা কিছু করি, আমরা কোনও কিছুই হ্যাক করছি না We আমরা ওয়েবটি যেভাবে বোঝাতে চাইছিলাম তা ব্যবহার করছি ব্যবহার করা." জোহানসেন যোগ করেছেন, "আমার ক্ষমা, আমাদের কোনও সমাধান নেই।"

উপস্থাপনা জাভাস্ক্রিপ্টের একটি লাইন বা দুটি বা এমনকি একটি সাধারণ (তবে টুইঙ্কড) এইচটিএমএল অনুরোধ ব্যবহার করে আপনার ব্রাউজারটিকে বিপর্যস্ত করতে পারে এমন বিপুল সংখ্যক পর্যালোচনা করেছে। গ্রসম্যান বলেছিলেন, "আমরা শূন্য-দিন আক্রমণ ছাড়াই ব্রাউজারটি নিয়ন্ত্রণ করি।" এবং আমাদের সম্পূর্ণ নিয়ন্ত্রণ রয়েছে"

জড়িত সরল কোডটি দেখিয়ে একটি স্লাইডের উদাহরণ দিয়ে তিনি বলেছিলেন, "আমরা আপনার ব্রাউজারকে অন্য ওয়েবসাইট হ্যাক করতে, টরেন্ট থেকে অবৈধ ফাইলগুলি ডাউনলোড করতে, বিব্রতকর অনুসন্ধান করতে, আপত্তিকর বার্তা পোস্ট করতে, এমনকি বছরের স্নাতকের সময় অ্যাড স্নোডেনকে ভোট দিতে বাধ্য করতে পারি।"

মিলিয়ন ব্রাউজার বোটনেট

এই সমস্ত উপস্থাপন করা গবেষণার কেবল পরিচয় ছিল। জোহানসেন এবং গ্রোসমান পরিষেবা আক্রমণকে খুব সাধারণ অস্বীকারের পরিকল্পনা করেছিলেন এবং এটি তাদের নিজের সার্ভারে পরীক্ষা করেছিলেন। এমনকি তারা ব্ল্যাক হ্যাট চলাকালীন সময়ে এটি বাস্তব সময়ে প্রদর্শিত হয়েছিল। এই নির্দিষ্ট আক্রমণটি সংযোগের অনুরোধগুলির সাথে সার্ভারকে ওভারলোড করা ছাড়া আর কিছুই করেনি, তবে ব্যবহৃত কৌশলটি আরও অনেক কিছু করতে পারে। এবং তাদের যা করার ছিল তা হল আক্রমণটি সম্বলিত একটি বিজ্ঞাপন রাখতে কয়েক ডলার ব্যয় করা।

"কিছু বিজ্ঞাপন নেটওয়ার্ক বিজ্ঞাপনে নির্বিচারে জাভাস্ক্রিপ্টকে মঞ্জুরি দেয়, " গ্রোসম্যান বলেছিলেন, এবং কিছু কিছু তা করে না। দলটিকে আক্রমণ আক্রমণ জাভাস্ক্রিপ্ট সেট আপ করতে কোনও সমস্যা হয়নি। "বিজ্ঞাপন নেটওয়ার্ক পর্যালোচক জাভাস্ক্রিপ্ট পড়া বা এমনকি যত্ন নেওয়া ভাল ছিল না, " জোহেনসেন বলেছিলেন। "আসল সমস্যাটি এমন একটি বিজ্ঞাপন চিত্র তৈরি করা ছিল যা দেখতে দেখতে বেশ সুন্দর এবং কোনও বিজ্ঞাপনের মতো দেখায়""

প্রথমদিকে দলটি প্রতিবার জাভাস্ক্রিপ্ট কোড পরিবর্তন করলে বিজ্ঞাপন নেটওয়ার্ক থেকে পুনরায় অনুমোদনের প্রয়োজনীয়তা হ্রাস পেয়েছিল। তারা কোডটিকে তাদের নিজস্ব হোস্টে স্থানান্তরিত করে এবং কেবল বিজ্ঞাপনের কোড থেকে কল করে সমাধান করেছেন। এই পদক্ষেপটি বিজ্ঞাপন নেটওয়ার্কটি কী করতে পারে তা দেখতে পুরোপুরি অক্ষম হয়ে গেছে; তারা যত্ন করে বলে মনে হচ্ছে না।

তারা আক্রমণ কোডটি সক্ষম করার সাথে সাথে এটি ব্রাউজারগুলিতে পুরোপুরি কার্যকর করা শুরু করে। প্রতিবার যে কেউ বিজ্ঞাপন সম্বলিত কোনও পৃষ্ঠায় সার্ফ করেছিলেন, এটি শিকারের সার্ভারের সাথে সংযোগ স্থাপন শুরু করে। সার্ভার লোড সহ্য করতে পারে নি; এটা ব্যর্থ.

সমস্ত ব্রাউজার একযোগে সংযোগের সংখ্যা সীমাবদ্ধ করে। জোহানসেন এবং গ্রসম্যান ফায়ারফক্সের সীমা ছয় থেকে কয়েকশ করে বাড়ানোর একটি উপায় খুঁজে পেয়েছিলেন। দেখা গেল যে তাদের সহজ আক্রমণটি এই শক্তি-আপ ছাড়াই সম্পূর্ণ কার্যকর ছিল, তাই তারা এটি ব্যবহার করেনি।

কার সমস্যা সমাধান করতে হবে?

"এই আক্রমণ স্থির নয়, " গ্রসম্যান বলেছেন। "এটির কোনও চিহ্ন নেই। এটি এর বিজ্ঞাপন-প্রদর্শন করে এবং চলে যায় The কোডটি কৌতূহলজনক নয়, এটি কেবল ওয়েবটি এটির কাজ করার কথা বলেছে So তাই কার সমস্যা সমাধান করতে হবে?"

একই কৌশলটি জাভাস্ক্রিপ্টের মাধ্যমে বিতরণ গণনাগুলি চালানোর জন্য ব্যবহার করা যেতে পারে, উদাহরণস্বরূপ, ক্র্যাক পাসওয়ার্ড এবং হ্যাশগুলিকে ব্রাশ-ফোর্স করার জন্য। গ্রসম্যান বলেছেন, "আমরা পরবর্তী ব্ল্যাক হ্যাটটির জন্য সেই হ্যাশ-ক্র্যাকিংয়ের চেষ্টা করব। "প্রতিটি 50 সেন্ট মূল্য মূল্যের পেইজের মতামতের জন্য আপনি কতটা ক্র্যাক করতে পারেন?"

উপস্থাপনাটি অস্থির এই ধারণা নিয়ে উপস্থিত দর্শকদের ছেড়ে দিয়েছিল যে বর্ণিত আক্রমণটি ওয়েবে যেমন ব্যবহার করা হয়েছে ঠিক তেমন ব্যবহার করে, এবং এর দায়ভার কী হবে তা আমরা সত্যই জানি না। গ্রসম্যান অতীতে বলেছিলেন যে এটি ঠিক করার জন্য আমাদের অবশ্যই ওয়েবটি ভেঙে ফেলতে হবে। সে কি ঠিক হতে পারে? এমনকি আমরা কি পুরো ইন্টারনেটের একটি রিবুট বেঁচে থাকতে পারি?

ব্ল্যাক হ্যাট 2013 এর আরও সংবাদের জন্য সিকিউরিটি ওয়াচ অনুসরণ করতে ভুলবেন না।