黑(hēi)客是(shì)如(rú)何入侵網站(zh±εδàn)服務器(qì)？

服務器(qì)被攻擊，通(tōngδ✘)過腳本識别了(le)站(zhàn)點或服務器(qβ§ì)中的(de)弱點，所以您的(de)服務器(qì)>≥☆≠被黑(hēi)了(le)。服務器(qì)每天都(dōu)會(hu"≤∏ì)發現(xiàn)新的(de)漏洞，這(zhè)些(xiē)漏洞會(hu≥♦☆ì)導緻漏洞利用(yòng)和(hé)被黑(hēi↔≠)的(de)站(zhàn)點。

黑(hēi)客使用(yòng)一(yī)系列工$ •(gōng)具來(lái)識别潛在目标，一(yī)切始于漏洞列表。♣ ≈¥

假設在一(yī)個(gè)流行(xíng)的(de)ε 幻燈片插件(jiàn)中發現(xiàn)了(le)一(yī)個≥Ω"(gè)弱點。黑(hēi)客了(le)解了(le)此弱點并調查了(le)插  ←γ件(jiàn)。他(tā)們了(le)解到(dào)該插件(φ←jiàn)有(yǒu)一(yī)個(gè)可(k φ®ě)識别的(de)“足迹”-每個(g‌γλδè)使用(yòng)該插件(jiàn)的(de)站(zhàn)點& ∑₽都(dōu)帶有(yǒu)文(wén)本“Poweredb€✘∞πyMyCoolSlideShowPlugin&rdquo≈ ©;。從(cóng)這(zhè)一(yī)點出發，很(hěn)容易•α®就(jiù)可(kě)以利用(yòng)Google來(lái)Ω'建立大(dà)量可(kě)黑(hēi)客入侵的(dα✔©e)網站(zhàn)。攻擊者就(jiù)是(shì)這(zhè)樣做($ zuò)的(de)。

然後，他(tā)們編寫一(yī)個(gè)簡單的<€δ₹(de)腳本來(lái)執行(xíng)黑(hēi)客攻擊，↓↔σ₹加載目标列表并将其設置為(wèi)失敗。該腳本将發布到(dào)→↔網絡上(shàng)，并嘗試破解列表中的(de)每個"≈ (gè)站(zhàn)點。

有(yǒu)些(xiē)黑(hēi)客會(huì)成功§®'，很(hěn)多(duō)會(huì)失敗。該腳本将記錄εγ® 容易受到(dào)攻擊的(de)站(zhàn)點。初始運行(xí®→®±ng)後，攻擊者可(kě)以返回列表并對(duì)其★↓ 進行(xíng)過濾，以找到(dào)最受歡迎的(<₩ ±de)站(zhàn)點。

在這(zhè)一(yī)點上(shàng)，他(tā)們有δ↕(yǒu)很(hěn)多(duō)選擇。他(tā)們可(kě≥•↑)以在網站(zhàn)上(shàng)插入鏈接以提♠✘高(gāo)其SEO排名。黑(hēi)客可(kě)以從(cóng)被利用(y &$≤òng)的(de)站(zhàn)點中殺死銷•γ售鏈接。或者，黑(hēi)客可(kě)以破壞該網站(zhàn)并要(yào)>•求資金(jīn)以恢複該網站(zhàn)（贖金('↔jīn)）。

他(tā)們甚至可(kě)以在網站(zhàn)上(sh‍Ωàng)投放(fàng)廣告，并利用(yòng)點擊量來±≈'♠(lái)賺錢(qián)。

在大(dà)多(duō)數(shù)情況♥ε 下(xià)，攻擊者還(hái)會(huì)在服務器(qì)中<©γ₹安裝後門(mén)。這(zhè)些(xiē)都(d≤φōu)是(shì)故意的(de)安全漏洞，即使它們已替換±€☆了(le)不(bù)安全的(de)插件(jiàn)，也(yě)✔∏←可(kě)以讓它們将來(lái)再次使用(yòng)該網站(zhàδ©✔<n)。

從(cóng)受害者的(de)角度來(lái)看(α₹‌kàn)，這(zhè)感覺就(jiù)像是(shì↓∑"∏)迫害。他(tā)們的(de)網站(zhàn)不(bù)斷♦&¥←遭到(dào)黑(hēi)客入侵。

關鍵是(shì)這(zhè)些(xiē)攻擊大(dà)多(duō)數(shùγ&)都(dōu)不(bù)是(shì)出于個(gè↔₩¶)人(rén)動機(jī)。您是(shì)否過著(zhe)無辜♠♠ α的(de)生(shēng)活并且沒有(yǒu)敵人(ré★σn)，這(zhè)并不(bù)重要(yào)。如(rú)果 ≈您的(de)網站(zhàn)可(kě)以被利用(yòng)，那(n≤>₩à)麽隻有(yǒu)有(yǒu)人(rén)來(lái)利用(y↓≈¶òng)它隻是(shì)時(shí)間(jiān)問(wèn)♣  §題。

因此，确保您的(de)網站(zhàn)不(bù)容易成為(wèi)您™€★→的(de)最大(dà)利益。

您可(kě)能(néng)會(huì)問(wèn)自(∑♠©≥zì)己-弱點如(rú)何産生(shēng)α∑"以及如(rú)何被發現(xiàn)？

首先，大(dà)多(duō)數(shù)程序員(yuán)隻專注于一​ε≥(yī)個(gè)目标。他(tā)們想開(kāi)發出可(kě)以運行(xíλ£ng)的(de)軟件(jiàn)-無論是(shì)¶πε≤主題，插件(jiàn)還(hái)是(shì)功能(néng)完善的(®¶de)應用(yòng)程序。

它們具有(yǒu)一(yī)組要(yào)求和(hé)功能(néng↕↑")，并且高(gāo)度專注于實現(xiàn)它們。他(tā)們通(♣<¶tōng)常會(huì)在緊迫的(de)期限內(•∑₽nèi)工(gōng)作(zuò)，因此他(tā)們沒有(yǒu)太多(du™∏₹ō)時(shí)間(jiān)處理(lǐ)其他(tā)問(wèn)δ'<₩題。

許多(duō)開(kāi)發人(rén)員(yuán£ )在安全方面非常薄弱（當然不(bù)是(shì)全部）。他(tā‌☆€)們可(kě)能(néng)認為(wèi)這(zhè)不(bù)是βΩ₩(shì)問(wèn)題，因為(wèi)他(tā) >€♥們正在使用(yòng)的(de)插件(jiàn)←$'無法處理(lǐ)敏感數(shù)據。

不(bù)幸的(de)是(shì)，在WordPress下(xià)，★↓每個(gè)插件(jiàn)和(hé)主題都(dōu)可(kě)↓∞ 以更改網站(zhàn)上(shàng)的(de)任何內(nèi)容。甚至可(k♣↑&ě)以利用(yòng)它們感染同一(yī)台計(jì)算(suàn)機(j' πī)上(shàng)托管的(de)其他(tā)應用(yò♦₩'∞ng)程序和(hé)站(zhàn)點。

插件(jiàn)一(yī)經運行(xíng)，開(kāi)發人(r✘♥₽én)員(yuán)便将其釋放(fàng'←)。如(rú)果它有(yǒu)用(yòng)或↕'具有(yǒu)很(hěn)酷的(de)功‌¶能(néng)，成百上(shàng)千的(de)人( ₽rén)會(huì)下(xià)載它。

插件(jiàn)發布後，它也(yě)會(h‍£≤uì)引起黑(hēi)客的(de)注意。所有(yǒu)黑(hēi)πβφ©客都(dōu)對(duì)事(shì)物(wù)的(de)運作 ↔​≥(zuò)方式著(zhe)迷–無論是(shì)道(d∞₩α↑ào)德黑(hēi)客還(hái)是(shì)黑(hēδ€i)帽。

他(tā)們想知(zhī)道(dào)代碼是(shì)如(rú)何工(g♥$ōng)作(zuò)的(de)，以及如(rú)何使代碼執行(xí€$↕ng)原本不(bù)是(shì)設計(j÷‌πì)的(de)事(shì)情。也(yě)許他(tā)們計(∏≠jì)劃利用(yòng)它。也(yě)許他(↑★λ≠tā)們想警告其他(tā)人(rén)安全風(fēng)☆₩♠★險。也(yě)許他(tā)們隻是(shì)無聊，¥£♥↓想要(yào)娛樂(yuè)自(zì)己。

從(cóng)根本上(shàng)說(shuō)，在最基本的(de)級∞✘¥∏别上(shàng)，所有(yǒu)代碼都(dōu)以相(x£ iàng)同的(de)方式工(gōng)作(zuò)-接受輸入÷λ，處理(lǐ)輸入并輸出輸出。當得(de)到(dào)預期的(de÷π★)輸入時(shí)，它應該産生(shēng)一(y★β±ī)個(gè)合理(lǐ)的(de)輸出。訣竅在于找出哪些(xiē)輸入會(εφεhuì)使代碼執行(xíng)意外(wài)φσ$π的(de)操作(zuò)–哪些(xiē)輸入會(♣‍€huì)産生(shēng)意外(wài)的(de)>→¥輸出。

通(tōng)常，意外(wài)的(de)輸出是(shì)≥™有(yǒu)害的(de)。它可(kě)能(néng)會(huì)損壞重要("£₹yào)數(shù)據或暴露私人(rén)信息。在這(zhè)些(xiē)™♥情況下(xià)，黑(hēi)客已經發現(xiàn)了(le)漏洞。如(rú)↓€ $果輸入僅導緻應用(yòng)程序崩潰或表現(xiàn)滑稽，則不(bù§♦¶)是(shì)這(zhè)種利用(yòng≤∏♦)方式–稱它為(wèi)bug®©δ✔更為(wèi)正确。

有(yǒu)些(xiē)人(rén)認為(wèi)所​₹ε有(yǒu)漏洞利用(yòng)都(dōu)是(shì)錯☆ ×♦(cuò)誤，這(zhè)是(shì)有(yǒu)↑'π道(dào)理(lǐ)的(de)。程序應該是(shìε¥™)安全的(de)–如(rú)果可(kě)以£<誘使它做(zuò)一(yī)些(xiē)不(bù)安全的(‌<¶de)事(shì)情，那(nà)肯定是(®§shì)不(bù)想要(yào)的(de)&ldqu♥☆♥☆o;功能(néng)”。

尋找漏洞并不(bù)容易-您必須閱讀(dú←≤ ')代碼并真正了(le)解它的(de)作(zuò)用(y"λòng)。您必須通(tōng)過代碼來(lái)跟蹤輸入數(≥∞♠∞shù)據，并識别可(kě)能(néng)發生(shēng)危險的(de)‌©↑地(dì)方。憑借經驗，您将學會(huì)發現(xiàn)弱點。

黑(hēi)客發現(xiàn)漏洞後，将發λ•₹生(shēng)以下(xià)幾種情況之一(yī)：σ₹←

他(tā)們利用(yòng)它，對(duì)盡可(kě)能(néng)多"×(duō)的(de)目标造成傷害。這(zhè)是(shì)π₩&‌最壞的(de)情況。他(tā)們發布了(le)該文(wén)檔–常≥ ∑常是(shì)希望原始的(de)開(kāi)發人(rén)員(™©∏yuán)會(huì)對(duì)其進行(xíng)修複。他(tā∏¶φ•)們離(lí)散地(dì)聯系發布者，并告訴他(tā)們進行(xín↕"g)修複。然後他(tā)們發布漏洞利用(yòng)程序。

在漏洞修複之前發布漏洞利用(yòng)程序時(s★™₽hí)，它被稱為(wèi)“零時(shí)差漏©>∞洞利用(yòng)”。從(cóng)這(zhè)一(yī)刻開€☆(kāi)始，直到(dào)漏洞被修複，用(yòng)戶才有(yǒu≥→λ★)風(fēng)險。

一(yī)旦這(zhè)隻貓被拿(ná)走了(le)，其他(tā)黑☆&≥✘(hēi)客就(jiù)會(huì)了(le)解它。該漏洞利用(™δyòng)是(shì)公共知(zhī)識，但(dàn)是(shì)問↔δ♣→(wèn)題尚未得(de)到(dào)解決。©✘這(zhè)可(kě)能(néng)是(<λshì)一(yī)個(gè)快(kuài)速解決方案，但(dàn)項 ™目團隊通(tōng)常需要(yào)一(yī)段時±✘(shí)間(jiān)才能(néng)整理≠←♥(lǐ)出補丁。他(tā)們需要(yào)徹←✘π☆底測試其修複程序-對(duì)代碼進行(xíng)少(shǎo)量更改™↔可(kě)能(néng)會(huì)導緻其他(​±÷↕tā)錯(cuò)誤或安全漏洞。

同時(shí)，該插件(jiàn)的(de)用(ε™​‍yòng)戶面臨風(fēng)險。如(rú)果開(kāi)發人(r♦☆$én)員(yuán)知(zhī)道(dào)該漏洞，他(tā)們将迅速修‍​¥↓複該漏洞并發布更新。但(dàn)是(shì)人(rén)們應用(yòng)這(≈♦zhè)些(xiē)更新的(de)速度可(kě) →能(néng)會(huì)很(hěn)慢(màn)–>£<有(yǒu)些(xiē)站(zhàn)點運行(xíng)的(de)是( §•πshì)幾年(nián)前修補的(de)插件(jiàn)。在插件(jiàΩ←♠₽n)更新之前，他(tā)們的(de)網站(zhàn)處于危險之中。

缺乏真正的(de)編程技(jì)能(néng)并沒有(yǒu)您想象的(de)¥$₹那(nà)麽多(duō)。有(yǒu)“漏洞利用(yòng)工(→± gōng)具包”可(kě)以使用(♣≥yòng)已知(zhī)漏洞利用(yòng)程序自(zì)動↑α→破解網站(zhàn)。安全專家(jiā)使用¶¥→↔(yòng)這(zhè)些(xiē)工(gō≤π§ng)具來(lái)發現(xiàn)其公司防禦中的(de)弱點-戴∏±¶著(zhe)黑(hēi)帽子(zǐ)的(de)人(rén)也(yě)使$•用(yòng)這(zhè)些(xiē)工(g₽€λ&ōng)具在網絡上(shàng)造成混亂。

像Metasploit一(yī)樣的(de)漏洞‌€利用(yòng)工(gōng)具包，具有(yǒu€‌Ωσ)龐大(dà)的(de)漏洞利用(yòng)↑‍≠✘數(shù)據庫以及使用(yòng)它們的(de)腳本。它還(hái)具≤↑有(yǒu)用(yòng)于自(zì)定義惡意軟件(ji₹ε àn)有(yǒu)效載荷并将其交付給受感染服務器(q≠¶∞ì)的(de)工(gōng)具。有(yǒu)了(le)這(zhè)些(x←≥★iē)工(gōng)具和(hé)少(shǎo)÷♠量知(zhī)識，經驗不(bù)足的(de)黑(hēi)客就(jiù)‍∏可(kě)能(néng)造成嚴重破壞。

根據WPWhiteSecurity的(de)統計(jì)，有(y↕★↑ǒu)29％的(de)WordPress網>​£站(zhàn)是(shì)通(tōng)過不(bù)安全的(de)主✘≥'✘題被黑(hēi)客入侵的(de)。主題深處埋藏著(zh™‌♥∑e)一(yī)些(xiē)無辜的(de)代碼£$，使攻擊者可(kě)以在系統中立足。

主題開(kāi)發人(rén)員(yuán)通(tōβ₽™ng)常是(shì)相(xiàng)對(duì)缺乏經驗的(de)編碼人(ré¶βn)員(yuán)。通(tōng)常，他(tā)們是(shì)專Ω©♣業(yè)的(de)圖形藝術(shù)家(jiā)，他(tā)們自(zì σ)學了(le)一(yī)些(xiē)PHP。

插件(jiàn)是(shì)另一(yī)種流行(x₹>±₹íng)的(de)攻擊方式-占成功黑(hēi)£>客攻擊的(de)22％。

放(fàng)在一(yī)起，主題和(hé)插件(jiàn)是$₩ (shì)安全問(wèn)題的(de)主要(yào)根源。