cdn防御_高防服务器租用qy_打不死

cdn防御_高防服务器租用qy_打不死

Magento是世界上最流行的电子商务web应用程序,估计有236000个使用内容管理系统(CMS)的实时网站[1]。它提供付费的"企业"版本和免费的"社区"版本,为世界上一些最受欢迎的网站提供动力,包括华威[2]、路虎[3]和海莉•汉森[4]。然而,普通的电子商务平台成为黑客和窃贼窃取支付卡信息的热门目标。与任何web应用程序一样,攻击者总是会在研究人员能够识别它们和开发人员修复它们之前,寻找利用底层代码中的漏洞的方法,但是,即使是最新的、完全修补的系统,如果配置不正确或商家不遵循信息安全最佳实践,也可能使其处于易受攻击的状态。在本文中,我们进入攻击者的思维模式。我们将探索一些可能的途径,以破坏一个Magento网站使用的技术,ddos攻击种类和防御方法,Foregenix法医分析员已经看到在野外利用。首先,在讨论攻击和妥协方法之前,我们将考虑攻击者如何识别Magento站点及其弱点。此外,linux集群ddos防御,我们还记录了利用Magento 1cms中现已修补的漏洞的"Froghopper"攻击。这使得能够访问Magento管理区域的攻击者能够将恶意PHP代码上载到受害者的环境中。本文主要讨论的是Magento 1,它是目前使用的软件中最突出的版本,尽管所讨论的一些方法仍然适用于Magento 2。 侦察攻击的第一步是识别运行Magento的网站。虽然可以通过导航到Magento站点并检查Magento软件标识符的HTML代码来手动识别Magento站点,但是有一些选项可以自动执行此过程。这些服务,包括Shodan,一个"互联网设备搜索引擎",允许用户搜索该服务以前扫描过的互联网设备[5]。用户可以通过使用各种过滤器来识别这些设备正在运行的服务,包括端口号、操作系统或国家(基于IP地理位置)。Shodan甚至允许在网页中搜索特定的HTML。由于Magento安装通常在网站首页的HTML中包含特定的标记,Shodan可以用来搜索这些特定的标记。在下面图1中的示例中,一个筛选器已应用于TCP端口80(通常用于HTTP web服务器)和字符串"Mage.Cookies.path"在HTML中。返回的结果超过1000个,表明Shodan已经找到了1000多个运行Magento的可访问网站[6]。两个这样的网站的扫描摘要(识别细节模糊)显示出来。 图1:Magento网站的Shodan搜索结果截图 这些搜索的结果可以"手动"浏览,因此攻击者可以访问这些站点进行进一步的侦察。BuiltWith是另一个web服务,它允许用户查询哪些站点正在运行Magento,以及其他技术[7]。此网站使用自动web扫描来查询网页,并查找与各种应用程序关联的特定文件或字符串。然而,这样的网页扫描脚本很容易开发,因此攻击者可以使用自己的脚本扫描网站,为自己的需要定制。查看安全服务hbspt.cta公司.\u relativeUrls=真;hbspt.cta.负荷(464751,'7beb804e-eee5-4ed7-9c61-7dd29f9053b2',{});识别漏洞一旦识别出Magento站点,攻击者将尝试确定该站点是否可以被攻击。一种常见的攻击方式是试图"暴力"暴露的管理面板;这可能是攻击者首先查找的漏洞。虽然主Magento管理面板的默认位置可以从默认的"admin"路径更改为不太明显的位置,但有时管理员会忽略这一点,云端抗ddos防御服务,并且可以通过输入站点URL,然后输入"admin"路径来浏览暴露的面板,如下图2所示。图2:公开的Magento管理登录面板的屏幕截图类似地,Magento RSS服务提供端点,允许访问位于"/RSS/order/new"、"RSS/catalog/notifystock"和"RSS/catalog/review"的登录面板。根据配置,即使没有使用服务,这些RSS端点也可以访问(如图3所示)。图3:暴露的Magento RSS登录面板的屏幕截图 最后一个通常可以访问的访问面板是"Downloader"服务,它允许管理员通过Magento Connect Manager安装程序。默认情况下,此服务处于活动状态,并且可以在。Magento Connect Manager的登录面板屏幕截图如下图4所示。图4:暴露的Magento RSS下载程序登录面板的屏幕截图 攻击者还将利用已知的影响Magento旧版本的软件漏洞进行攻击,这些漏洞可能尚未修补。与其盲目地尝试这些漏洞,不如确定运行的Magento的特定版本,但仅仅浏览一个站点并查看其中的代码,很难识别特定的易受攻击的版本。但是,有一些方法可以远程找到版本号。最快的方法是浏览到Magento Connect Manager的登录页面(如果可用),并查看登录面板的页脚,高防cdn无白名单,其中包含Magento Connect Manager的版本;版本号(上面示例中的1.8.1.0)通常与运行的Magento版本相关。一种更复杂的确定版本号的方法是对可访问的文件进行哈希分析,并将这些文件与来自Magento安装文件的文件进行比较。例如,cc难防御还是dd难防御,"的MD5哈希值"销售.js"stock Magento 1.8.1.0 Community Edition安装中的JavaScript文件是: 5656a8c1c646afaaf260a130fe405691 此文件的此版本是Magento 1.8.1.0 Community Edition的唯一版本。在这个例子中。下载并散列相应的"销售.js"文件确认它具有相同的哈希值,因此我们可以断定该站点运行的是相同的版本。但是,如果商家以任何方式修改了这些文件,得到的哈希值将不同,通过这种方法进行的自动识别将不起作用。了解特定的Magento版本非常重要,因为它可以提示此安装是否容易受到特定攻击。例如,Magento社区版本1.8.1.0是在2013年12月发布的,在许多关键的Magento补丁发布之前;包括2015年2月发布的super-5344"Shoplift"补丁。此修补程序解决了一个关键的SQL注入漏洞,该漏洞允许未经身份验证的远程攻击者向管理数据库添加用户(或任何其他数据)。虽然此站点的管理员可以在不将Magento升级到新版本的情况下单独修补此漏洞,但此信息仍会促使攻击集中于此旧版本,因此可能未受保护的Magento安装。查看FGX Webhbspt.cta公司.\u relativeUrls=真;hbspt.cta.负荷(464751,'75c05d4c-c60c-4d6a-8a19-e4c595480f93',{});剥削一旦攻击者识别出潜在的攻击载体,他们将试图获得对系统的访问权。假设攻击者没有从其他来源(如社会工程)获得证书,他们可能会尝试"暴力"暴露的管理面板。他们尝试多种用户名和密码的组合,直到找到正确的组合。这项任务说起来容易做起来难,尽管通过对可能的凭证进行有根据的猜测和使用自动脚本循环组合,这仍然是一种潜在的有效策略。除了从受害者网站上列出的员工姓名中推断出的用户名外,攻击者还可能使用免费提供的密码列表(大量常见密码列表,通常来自以前不相关的网站漏洞)。攻击者还可以考虑尝试从受害者员工或相关第三方(如网络开发人员)获得的用户名;员工的详细信息可以从公司网站或第三方网站(如LinkedIn)中找到。下面的表1显示了一个Python脚本示例,该脚本可用于针对公开的Magento端点测试凭据。此脚本迭代用户名和密码列表,并向位于"RSS/order/new"的公开Magento RSS端点发出身份验证请求。该脚本确定来自目标web服务器的状态代码响应,并在尝试的凭据导致对RSS区域的成功身份验证时向用户发出警报。这不是设计成一个"攻击工具",但说明了这种工具实际上是多么的小和简单。 导入请求,时间从请求.auth导入HTTPBasicAuth #设置变量基本url="http://www.magentosite.com/"endpoint_path="rss/order/new"用户名列表="用户名.txt"密码列表="密码.txt"成功=0计数器=0计数器间隔=0间隔=100s=请求。会话() #打印页眉打印"\nGento蛮力演示\n--------------------------------------------------"打印"开始攻击%s…\n"%(基本url+端点路径) #启动计时器开始时间=时间。时间()time_interval=开始时间 #开始迭代使用open(username_list,'r')作为list\u用户名: 对于列表中的用户名,用户名: 用户名=用户名.replace('\n','') 打开(密码列表,'r')作为列表密码: 对于"密码"列表中的密码: 密码=密码。替换('\n','') #启动请求s=请求.get(基本网址+端点路径,auth=HTTPBasicAuth(用户名,密码)) #检测状态返回如果s.status_代码!=401: 成功=1 打印"成功:用户名:%s密码:%s"%(用户名,密码) 休息 计数器+=1c

热门推荐
  • ddos清洗_大株红景天防高反吗_无限

      许多企业已经实施了旨在证明符合欧盟通用数据保护法规(GDPR)要求的流程和程序,这些要求将于2018年春季全面生效。然而......

    10-01    来源:长虹华伟

    分享
  • cdn防御_香港高防服务器托管_无限

      各组织一直在迁移到并采用Microsoft Azure Active Directory Premium,以增强其业务能力,以满足其苛刻的数字转型需求。作为基于风......

    10-01    来源:长虹华伟

    分享
  • _高仿手表哪里可以买到_无限

      从2012年LinkedIn数据泄露事件的持续影响来看,数据泄露的后果会产生长期的影响。虽然袭击发生在五年前,但连锁反应一直持......

    10-01    来源:长虹华伟

    分享
  • 网站安全防护_美国高防100g4h4g_精准

      摘要在这篇博客文章中,我们介绍了一种技术,可以帮助攻击者使用PowerShell(版本5)在Microsoft Windows 10(版本1607)上运行恶......

    10-30    来源:长虹华伟

    分享
  • 免备案高防cdn_有盾云慧眼_零元试用

      《网络防御》杂志专访创始人兼首席执行官罗伯特•赫哈维克托伯27号,2017b作者加里•米利夫斯基(Gary Milefskyi)还记得很多......

    10-30    来源:长虹华伟

    分享
  • 云盾高防采集_ddos流量攻击_解决方案

      "马克斯先生,根据哥伦比亚特区预防犯罪司的授权,我将以谋杀莎拉·马克斯和唐纳德·杜宾的罪名逮捕你,这将于今天,......

    10-30    来源:长虹华伟

    分享
  • cc攻击防御_服务器高防香港_怎么办

      Ketan Kapadia在Vancouver2018年3月21日与企业对话最近,身份和访问管理(IAM)副总裁Ketan Kapadia在温哥华与企业对话,讨论企业在网......

    11-04    来源:长虹华伟

    分享
  • ddos防御攻击_抗ddos产品_如何解决

      Herjavec Group被公认为2018年IDC安全服务领导者March 26,2018年 2018加拿大安全服务IDC研究报告通过IDC MarketScape模型对加拿大的安全......

    11-04    来源:长虹华伟

    分享
  • 阿里云高防ip_国盾云商城_打不死

      网络安全首席执行官:到20212018年11月21日,针对医院的勒索软件攻击预计将增加5倍https://www.herjavecgroup.com/wp-content/uploads/201......

    11-09    来源:长虹华伟

    分享
  • 高防IP_高防服务器托管_新用户优惠

      在我环球旅行的过程中,我被问到很多关于密码策略的问题,包括演讲和在网络研讨会后发邮件的人。很多问题都是一样的,......

    11-10    来源:长虹华伟

    分享
返回列表
Ctrl+D 将本页面保存为书签,全面了解最新资讯,方便快捷。