دسترسی به کدنویسی سایت

[OOOHHHAAACCCKKKOOO]

با سلام خدمت همکاران و مدیران محترم. چطور میشه به کل کدنویسی سایت دسترسی پیدا کرد؟ منظورم هر کد نویسی حتی این که رمز های ورود کجا ذخیره بشن. اصلا امکان پذیر هست؟

منتظر پاسختون هستم.

 با تشکر.

[OOOHHHAAACCCKKKOOO]

من با هک هاست آشنایی زیادی ندارم ولی با باگ هایی همچون sql، xss، ruf و ... و حملات بروت فورس و جدول رنگین کمانی و حمله ی دیکشنری و ddos و dos، همچنین کرک پسورد و اسنیف کردن و ... سایت ها آشنا هستم. نمیشه هاست سایت رو با آپلود شل یا استفاده از بکدور و یا حتی ویروس و تروجان هک کرد؟ یا به دیتابیس آسیبی وارد کرد که پسورد ها رو در فایلی (مثلا فایل txt) ذخیره کنه؟ (منظورم پسورد های ذخیره شده هست نه پسورد هایی هم که بعدا به دتابیس اضافه میشن.) به طور کلی می خوام این پسورد ها در کامپیوتر ادمین به صورت رمز نگاری شده یا نشده تو یک فایلی ذخیره بشن که بعدا بتونم با پیدا کردن آی پی سیستم و پورت های باز یک کپی از فایل بگیرم و به پسورد ها دسترسی داشته باشم. اگر هم به طور کلی این امکان پذیر نیست چطور و با چه روشی به دیتابیس و هاست سایت دسترسی پیدا کنم؟

[Mr.Python]

در ۱ ساعت قبل، OOOHHHAAACCCKKKOOO گفته است :

من با هک هاست آشنایی زیادی ندارم ولی با باگ هایی همچون sql، xss، ruf و ... و حملات بروت فورس و جدول رنگین کمانی و حمله ی دیکشنری و ddos و dos، همچنین کرک پسورد و اسنیف کردن و ... سایت ها آشنا هستم. نمیشه هاست سایت رو با آپلود شل یا استفاده از بکدور و یا حتی ویروس و تروجان هک کرد؟ یا به دیتابیس آسیبی وارد کرد که پسورد ها رو در فایلی (مثلا فایل txt) ذخیره کنه؟ (منظورم پسورد های ذخیره شده هست نه پسورد هایی هم که بعدا به دتابیس اضافه میشن.) به طور کلی می خوام این پسورد ها در کامپیوتر ادمین به صورت رمز نگاری شده یا نشده تو یک فایلی ذخیره بشن که بعدا بتونم با پیدا کردن آی پی سیستم و پورت های باز یک کپی از فایل بگیرم و به پسورد ها دسترسی داشته باشم. اگر هم به طور کلی این امکان پذیر نیست چطور و با چه روشی به دیتابیس و هاست سایت دسترسی پیدا کنم؟

بهت گفت که !!

باید هک کنی سرورو .

وقتی هم هک کردی تمام اطلاعاتو داری دیگه نیازی نیست بخوای ویروس یا تروجان بفرستی تو سرور طرف  !

شما که داری میگی اشنایی !

 

 

[R3dC0d3r]

در در 1397/06/11, 13:04:50، OOOHHHAAACCCKKKOOO گفته است :

با سلام خدمت همکاران و مدیران محترم. چطور میشه به کل کدنویسی سایت دسترسی پیدا کرد؟ منظورم هر کد نویسی حتی این که رمز های ورود کجا ذخیره بشن. اصلا امکان پذیر هست؟

منتظر پاسختون هستم.

 با تشکر.

درود

در صورتی که یک پیج ساده HTML باشه یا آپشن View Page Source میتونید 70% کد قالب رو مشاهده کنید اما نه هر کدی فرض مثال فرم لاگین پیج به صورت تکست باکس های لاگین برای بازدید کننده در Page Source نمایش داده میشه .

بعضی از کد های پایه قالب هم که مربوط به طراحی اون میشه مثل CSS که به قالب ارجاع شدن  به راحتی قابل مشاهده هستن

در رابطه با رمز های عبور باید بگم که تکست باکس های لاگین با دستورات php و Mysqli ( در صورت استفاده از زبان php در کدنویسی سایت ) به یک دیتابیس Mysql متصل شدند و یوزرنیم پسورد رو بعد از ثبت نام در سایت به دیتابیس ارجاع میدند که هر کدام در ستون مربوطه در دیتابیس قرار میگیره .

و نداشتن دقت در کدنویسی در Sql , استفاده نکردن از اخرین ورژن دیتابیس , استفاده از توابعی همچون MySql (MySql واقعا قدیمی شده و استفاده نا بلدانه از این تابع میتونه هم مسیره کاری که باید انجام بشه رو طولانی کنه هم باعث باگ های زیادی بشه ; ک بجای اون توابع MySqli  یا متود PDO رو پیشنهاد میکنم ) میتونه باعث آسیب پذیری در مقابل حملاتی همچون Sql Injection بشه که میتونه به اتکر دسترسی ستون های دیتابیس رو بده .

 

Database , FTP و باقی کد ها و فایل ها در هاستینگ سایت مربوطه قرار داره .

[OOOHHHAAACCCKKKOOO]

منظور من رو بد متوجه شدین یا شایدم من بد رسوندم. من میگم که یک تروجان یا ویروس رو در یک متن میشه مخفی کرد یا نه؟ مثلا همین متن رو آلوده به یک تروجان ساده رو بفرستم.

[OOOHHHAAACCCKKKOOO]

در 11 ساعت قبل، R3dC0d3r گفته است :

درود

در صورتی که یک پیج ساده HTML باشه یا آپشن View Page Source میتونید 70% کد قالب رو مشاهده کنید اما نه هر کدی فرض مثال فرم لاگین پیج به صورت تکست باکس های لاگین برای بازدید کننده در Page Source نمایش داده میشه .

بعضی از کد های پایه قالب هم که مربوط به طراحی اون میشه مثل CSS که به قالب ارجاع شدن  به راحتی قابل مشاهده هستن

در رابطه با رمز های عبور باید بگم که تکست باکس های لاگین با دستورات php و Mysqli ( در صورت استفاده از زبان php در کدنویسی سایت ) به یک دیتابیس Mysql متصل شدند و یوزرنیم پسورد رو بعد از ثبت نام در سایت به دیتابیس ارجاع میدند که هر کدام در ستون مربوطه در دیتابیس قرار میگیره .

و نداشتن دقت در کدنویسی در Sql , استفاده نکردن از اخرین ورژن دیتابیس , استفاده از توابعی همچون MySql (MySql واقعا قدیمی شده و استفاده نا بلدانه از این تابع میتونه هم مسیره کاری که باید انجام بشه رو طولانی کنه هم باعث باگ های زیادی بشه ; ک بجای اون توابع MySqli  یا متود PDO رو پیشنهاد میکنم ) میتونه باعث آسیب پذیری در مقابل حملاتی همچون Sql Injection بشه که میتونه به اتکر دسترسی ستون های دیتابیس رو بده .

 

Database , FTP و باقی کد ها و فایل ها در هاستینگ سایت مربوطه قرار داره .

ممنون. همنطور که گفتین با View Page Source به چیز زیاد خاصی دسترسی نمیشه داشت. تو آپشن View Page Source نمیشه به کد نویسی دیتابیس  Mysql دسترسی داشت و فقط کدنویسی های ساده سایت مثل قالب قابل مشاهده هست. من در واقع میخوام دیتابیس رو از طریق ارسال ویروس آلوده کنم. آیا این کار امکان پذیر هست؟

[Mr.Python]

در 13 دقیقه قبل، OOOHHHAAACCCKKKOOO گفته است :

ممنون. همنطور که گفتین با View Page Source به چیز زیاد خاصی دسترسی نمیشه داشت. تو آپشن View Page Source نمیشه به کد نویسی دیتابیس  Mysql دسترسی داشت و فقط کدنویسی های ساده سایت مثل قالب قابل مشاهده هست. من در واقع میخوام دیتابیس رو از طریق ارسال ویروس آلوده کنم. آیا این کار امکان پذیر هست؟

جواب تکراری : سرور باید هک بشه و بتونید به فایل ها دسترسی داشته باشید .

یه تاپیک رو الکی شلوغ نکنید . جوابو قبلا گفتیم .

وقتی شما دسترسی پیدا کردید به سرور و دیتابیس رو در اختیار داشتید میتونید محتویاتش رو تغییر بدیداما دقیقا چرا باید دیتابیس ویروسی بشه ؟ حسن کار چیه ؟ دیتابیس فقط یه سری کده که جمع شده و کارش نگه داشتن اطلاعات داخل یک فایله (به شکل های مختلف مثلا خطی و جدولی و ...) تا حالا نشنیدم که بگن مثلا دیتابیس ویروس داره !  یه فایل اجرایی نیست که .  فایل متنیه . پس میشه تغییراتی روش اعمال کرد (اضافه کردن حذف کردن واکشی آپدیت ) پس ویروسی شدن دیتابیس یه عبارت عجیبیه ! 

 

اما مثلا شما یه ویروس رو روی سرور آپلود کنید و اجرا بشه خب بسته به توانایی اون ویروس  اختلالاتی تو سرور به وجود میاد مثلا یک وب سایت میخواد به دیتابیس رجوع کنه و کار ویروس اینه که دیتابیسو پاک کنه یا قفل کنه یا به هر طریقی نذاره وب سایت به دیتابیس وصل بشه .

[OOOHHHAAACCCKKKOOO]

در 17 دقیقه قبل، Mr.Python گفته است :

جواب تکراری : سرور باید هک بشه و بتونید به فایل ها دسترسی داشته باشید .

یه تاپیک رو الکی شلوغ نکنید . جوابو قبلا گفتیم .

وقتی شما دسترسی پیدا کردید به سرور و دیتابیس رو در اختیار داشتید میتونید محتویاتش رو تغییر بدیداما دقیقا چرا باید دیتابیس ویروسی بشه ؟ حسن کار چیه ؟ دیتابیس فقط یه سری کده که جمع شده و کارش نگه داشتن اطلاعات داخل یک فایله (به شکل های مختلف مثلا خطی و جدولی و ...) تا حالا نشنیدم که بگن مثلا دیتابیس ویروس داره !  یه فایل اجرایی نیست که .  فایل متنیه . پس میشه تغییراتی روش اعمال کرد (اضافه کردن حذف کردن واکشی آپدیت ) پس ویروسی شدن دیتابیس یه عبارت عجیبیه ! 

 

اما مثلا شما یه ویروس رو روی سرور آپلود کنید و اجرا بشه خب بسته به توانایی اون ویروس  اختلالاتی تو سرور به وجود میاد مثلا یک وب سایت میخواد به دیتابیس رجوع کنه و کار ویروس اینه که دیتابیسو پاک کنه یا قفل کنه یا به هر طریقی نذاره وب سایت به دیتابیس وصل بشه .

خب اصلا اون ویروس رو چطور بسازم؟

[OOOHHHAAACCCKKKOOO]

در 19 دقیقه قبل، Mr.Python گفته است :

جواب تکراری : سرور باید هک بشه و بتونید به فایل ها دسترسی داشته باشید .

یه تاپیک رو الکی شلوغ نکنید . جوابو قبلا گفتیم .

وقتی شما دسترسی پیدا کردید به سرور و دیتابیس رو در اختیار داشتید میتونید محتویاتش رو تغییر بدیداما دقیقا چرا باید دیتابیس ویروسی بشه ؟ حسن کار چیه ؟ دیتابیس فقط یه سری کده که جمع شده و کارش نگه داشتن اطلاعات داخل یک فایله (به شکل های مختلف مثلا خطی و جدولی و ...) تا حالا نشنیدم که بگن مثلا دیتابیس ویروس داره !  یه فایل اجرایی نیست که .  فایل متنیه . پس میشه تغییراتی روش اعمال کرد (اضافه کردن حذف کردن واکشی آپدیت ) پس ویروسی شدن دیتابیس یه عبارت عجیبیه ! 

 

اما مثلا شما یه ویروس رو روی سرور آپلود کنید و اجرا بشه خب بسته به توانایی اون ویروس  اختلالاتی تو سرور به وجود میاد مثلا یک وب سایت میخواد به دیتابیس رجوع کنه و کار ویروس اینه که دیتابیسو پاک کنه یا قفل کنه یا به هر طریقی نذاره وب سایت به دیتابیس وصل بشه .

اگه دیتابیس نمیتونه ویروسی بشه میتونیم خودمون رو بجای سرور جا بزنیم و به دیتابیس دسترسی پیدا کنیم؟

[Mr.Python]

در 2 ساعت قبل، OOOHHHAAACCCKKKOOO گفته است :

خب اصلا اون ویروس رو چطور بسازم؟

مشخصه .

برنامه نویسی

[Mr.Python]

در 1 ساعت قبل، OOOHHHAAACCCKKKOOO گفته است :

اگه دیتابیس نمیتونه ویروسی بشه میتونیم خودمون رو بجای سرور جا بزنیم و به دیتابیس دسترسی پیدا کنیم؟

والا چی بگم

یجورایی سوالتون با عقل و منطق جور در نمیاد . حداقل با عقل خودم ! نمیدونم شاید من در حد اینجور مفاهیم نیستم.

خودمونو بجای سرور جا بزنیم ؟! تا حالا نشنیدم !

[OOOHHHAAACCCKKKOOO]

در 11 دقیقه قبل، Mr.Python گفته است :

والا چی بگم

یجورایی سوالتون با عقل و منطق جور در نمیاد . حداقل با عقل خودم ! نمیدونم شاید من در حد اینجور مفاهیم نیستم.

خودمونو بجای سرور جا بزنیم ؟! تا حالا نشنیدم !

منظورم این هست که خودمون رو بجای ادمین جا بزنیم.

[OOOHHHAAACCCKKKOOO]

در 15 دقیقه قبل، Mr.Python گفته است :

مشخصه .

برنامه نویسی

خب با چه زبانی؟ با چه برنامه ای؟

[P0S3ID0N]

باید از اون سایت دسترسی داشته باشی تا بتونی به محتویات هاست دسترسی پیدا کنی و با استفاده از شل یا ابزارهایی دیگه که با زبان های پرل یا پایتون نوشته شده اند میتونی به دیتابیس دسترسی پیدا کنی کار سختی نیست

یه نکته رو بگم هک سرور لازم نیست یعنی برای این کار دسترسی روت لازم نیست

فکر نکنم نیازی به توضیح بیشتری باشه . لطفا جواب های قبلی  رو مطالعه کنید و این بحث ادامه ندهید چون باعث حذف تاپیک خواهد شد.

موفق باشید.

[Mr.Python]

در ۱ ساعت قبل، OOOHHHAAACCCKKKOOO گفته است :

خب با چه زبانی؟ با چه برنامه ای؟

bash , c , python , perl

 

[mownten]

در در 1397/06/13, 11:35:05، OOOHHHAAACCCKKKOOO گفته است :

اگه دیتابیس نمیتونه ویروسی بشه میتونیم خودمون رو بجای سرور جا بزنیم و به دیتابیس دسترسی پیدا کنیم؟

این دیگه چه سوالیه؟ دیتابیس به تو وصل نمیشه که، تو به دیتابیس وصل میشی و برای اتصال به دیتابیس نیاز به اسم و یوزرنیم و پسورد داری. 

[OOOHHHAAACCCKKKOOO]

در ۱ ساعت قبل، mownten گفته است :

این دیگه چه سوالیه؟ دیتابیس به تو وصل نمیشه که، تو به دیتابیس وصل میشی و برای اتصال به دیتابیس نیاز به اسم و یوزرنیم و پسورد داری. 

خب منم می گم میتونیم یوزر نیم پسورد رو دور بزنیم؟

[R3dC0d3r]

دیتابیس / پایگاه داده به منظور مدیریت سازمان یافته اطلاعات ساخته میشه

 

این اطلاعات میتونه شامل یه لیست ساده باشه  یا شامل یوزر نیم پسورد های CMS مورد استفاده سایت یا هر قبیل اطلاعات دیگه ای باشه

سیستم مدیریت پایگاه داده های زیادی تا با امروز توسعه داده شده که از معروف ترین اونها میتونیم به MySql و Sql Server اشاره کنم .

شیوه ارتباط بین ادمین و سرور به این صورت هست که نام هاست , نام دیتابیس , و پسورد رو وارد میکنه و میتونه دسترسی کامل بگیره ;

و اما کاربر برای ارتباط بین سیستم مدیریت محتوا و دیتابیس یوزر و پسورد خودش رو وارد میکنه و مدیریت محتوا از طریق فایل های Include و Config ارتباطه خودش رو با دیتابیس برقرار میکنه . که بخشی از کد PHP/SQL کانفیگ رو در زیر میتونید ببینید :
 

This is the hidden content, please

• ورود
• یا
• ثبت نام

راه هایی برای گرفتن دسترسی به این فایل کانفیگ وجود داره که اصطلاحا سیملینک زدن خطاب میشه ;

 

همینطور کد نویسی Sql میتونه شامل ضعف هایی باشه که باعث ایجاد حفره بشه .

 

 

پیشنهاد میکنم مفاهیم رو از پایه برای افزایش دانشتون یاد بگیرید .

به دلیل انحراف از عنوان اصلی تاپیک

+ قفل