EX.UA, LOIC और असहाय यूक्रेनी पुलिस

यह कोई रहस्य नहीं है कि यूक्रेन एक ऐसा देश है जहां हर "शासक" (डिप्टी, अधिकारी और कुलीन वर्ग) सोचता है कि वह हर किसी से ज्यादा चालाक है और उसका मानना ​​है कि वह इस प्रक्रिया को नियंत्रित करता है, और बाद में पता चलता है कि किसी ने उसे नियंत्रित नहीं किया। मेरे सहयोगियों और मैं गुणवत्ता नीति फाउंडेशन की वेबसाइट पर सामाजिक-राजनीतिक दृष्टि से पृष्ठभूमि का एक छोटा सा विश्लेषण देते हैं ।

JS LOIC क्या है, यह 50 लाइनों के आकार के साथ सबसे सरल और बहुत अच्छी तरह से लिखा गया जावास्क्रिप्ट नहीं है, इसके संचालन के तकनीकी विवरण और इस तरह, नीचे वर्णित हैं। लेकिन इसकी विशिष्टता यह है कि प्रत्येक ब्राउज़र विशेष कार्यक्रमों और वायरस के संक्रमण को स्थापित किए बिना, हमलों का स्रोत बन सकता है। सबसे पहले, प्रत्येक छात्र और गृहिणी जल्द ही हमलों में भाग लेने में सक्षम होंगे , कुछ भी नहीं समझेंगे, बस एक लिंक प्राप्त करेंगे और पृष्ठ पर एक बटन पर क्लिक करेंगे। इसके अलावा, एक बटन को दबाने के लिए ऐसा करना आवश्यक नहीं है, कोई भी मास संसाधन मालिकों या हमलावरों द्वारा अंतर्निहित ऐसी स्क्रिप्ट का वाहक बन सकता है (इतना महत्वपूर्ण नहीं), लेकिन इस तरह के अनुरोध उनके लक्ष्य तक पहुंच जाएंगे।


चूंकि ब्राउज़र में क्रॉस-डोमेन AJAX अनुरोध सुरक्षा कारणों से काम नहीं करते हैं, JS LOIC एक सरल तकनीक का उपयोग करता है - गतिशील रूप से पृष्ठ पर एक तस्वीर के साथ एक टैग सम्मिलित करें, यहां कोड से एक पंक्ति है जो पूरी तकनीक को समझने योग्य बनाती है:

img.setAttribute("src", targetURL + "?id=" + rID + "&msg=" + messageNode.value); 

और इस अवसर को ब्राउज़र से बाहर नहीं फेंका जा सकता है, लेकिन एक अच्छी तरह से लिखित साइट के साथ - यह सुविधा बहुत डरावनी नहीं है। आदर्श रूप से, क्वेरी को डेटाबेस तक नहीं पहुंचना चाहिए, न ही गतिशील रूप से निष्पादित स्क्रिप्ट्स, और न ही फाइल सिस्टम तक पहुंच। यह बस Apache, nginx, IIS में हल किया गया है, वास्तव में, अनुरोधों को फ़िल्टर करने के कई तरीके हैं: नियमित अभिव्यक्तियों का उपयोग करते हुए URL पुनर्लेखन के चरण में, LOIC में कॉल के बीच कुकीज़ भी नहीं हटाई जाती हैं (क्योंकि वे एक दूसरे के भीतर बनाई गई हैं डोमेन) एक और फ़िल्टरिंग फैक्टर है, आईपी अपने आप से अवरुद्ध होता है, और यह देखते हुए कि प्रॉक्सी के माध्यम से कई हमले, सभी पुनर्निर्देशित अनुरोधों को तुरंत रद्द किया जा सकता है। इसी समय, अधिकारी रो रहे हैं कि उन्हें उपकरणों के लिए थोड़ा पैसा आवंटित किया गया था, और उनका लोहा हमलों का सामना नहीं कर सकता था। यूक्रेनी अधिकारियों के कम बजट और टेढ़ी-मेढ़ी वेबसाइटों ने हमलों का सामना नहीं किया, बेशर्म अधिकारियों द्वारा विकास से पहले भी इनकार किया गया।

लेकिन तकनीकी पहलुओं पर, HTML में छवियों, फ़्रेमों, लिपियों का गतिशील सम्मिलन एकमात्र से दूर है और ब्राउज़र हमलों का सबसे प्रभावी तरीका नहीं है। JSONP प्रोटोकॉल भी है - यह सुरक्षित क्रॉस-डोमेन अनुरोधों का एक विनिर्देश है, लेकिन इस तरह के एक सुरक्षित विनिर्देश DDOS हमलों के लिए भी उपयुक्त है, यहाँ एक उदाहरण है:

 <script type="text/javascript" src="http://targetdomain.com/somePath?parameter1=value1&jsonp=callbackProcName1"> </script> 

यदि सर्वर JSONP को समझता है और अनुरोध सफल होता है, तो परिणाम कॉलबैक ProcName1 फ़ंक्शन ({"Result1": "value1", "SomeMore": "otherValue"}}) के रूप में वापस आ जाएगा। लेकिन हमलों के लिए - परिणाम प्राप्त करना इतना महत्वपूर्ण नहीं है।

इस संबंध में एक और तकनीक बहुत अधिक फलदायी है - लंबे समय से प्रतीक्षित वेब सॉकेट और सॉकेट.आईओ , जो ब्राउज़र हमलों के टूलकिट का बहुत विस्तार करेगा। वेब पॉकेट चित्र में आँकड़ों का समर्थन करते हैं। इसलिए, जेएस एलओआईसी केवल पहला परीक्षण है, और बहुत जल्द हम इस तथ्य का सामना करेंगे कि 30 मिनट में पांचवीं कक्षा के छात्र मजाक के लिए कुछ भी व्यवस्थित और नष्ट कर सकेंगे। चुनावों के दौरान, उदाहरण के लिए, या अन्य घटनाओं, सैन्य अभियानों, कानूनों को अपनाने, राजनेताओं के भाषण, शिखर सम्मेलन ... त्त्त्स्का पहले ही हाथों में आ गए हैं, अब आप इसे नहीं ले सकते।

क्या आप शायद मेरे आने-जाने के सही कारण में दिलचस्पी रखते हैं?

और अब वापस EX.UA और यूक्रेन में हमले। परिणाम क्या है:
1. यूक्रेन के राज्य निकायों, पुलिस और यहां तक ​​कि विशेष सेवाओं की साइटों ने अपनी पूरी लाचारी और अक्षमता दिखाई। पूरे 3 दिनों तक सब कुछ पड़ा रहा, वे जल्दी से दूसरी जगह नहीं जुटा पाए या उनकी रक्षा नहीं कर सके।
2. राजनेताओं और अधिकारियों को जो हुआ उससे फायदा होने की संभावना है - समाज और सरकार, इलेक्ट्रॉनिक सेवाओं, आदि के बीच इलेक्ट्रॉनिक साधनों के विकास को रोकने के लिए एक अच्छा बहाना है। लेकिन सच में, किसी ने वास्तव में उन्हें विकसित नहीं किया, यह वास्तव में सब कुछ पूरी तरह से रोकने का एक अद्भुत कारण है।
3. अगले चुनावों के दौरान और यूरो 2012 सब कुछ झूठ होगा जो झूठ हो सकता है।
4. EX.UA भी इसे पूरी तरह से बंद करने के लिए बहुत ख़ुश है, जो विज्ञापन पर अच्छा पैसा पैदा करने में सक्षम है, उसे नष्ट कर देगा, यह यूक्रेनी में नहीं है, आपको बस बातचीत करनी है, सही लोगों के साथ लाभ साझा करना है।

UPD: छवियों के लोडिंग के बारे में, मुझे एक और अच्छी विधि याद आ गई, जो हमलों के लिए बहुत ही लागू है:

 images = new Array(); ... images[n] = new Image(); images[n].src = "http://targetdomain.com/images/img"+i+".jpg"; ... 

UPD2: सामान्य तौर पर, यह सुंदर रूप से बदल जाता है, जबकि शीर्ष अधिकारी बस चुराते हैं - हर कोई चुप था, लेकिन जब उन्होंने पवित्र पर अतिक्रमण किया, तो उन्होंने फिल्मों से वंचित कर दिया - तुरंत एक युद्ध!

UPD3: कई लोग रुचि रखते हैं कि JS LOIC स्रोत कहां से प्राप्त करें, आप उन्हें यहाँ देख सकते हैं, उदाहरण के लिए: pastehtml.com/view/bmp0uzp8a.html (मैं इसे विशेष रूप से लिंक के रूप में डिज़ाइन नहीं करता, ताकि वे गलती से क्लिक न करें)

UPD4: सभी के लिए उपलब्ध सबसे सरल सुरक्षा विधियाँ और 5 मिनट में कार्यान्वित की गई हैं:

• URL फ़िल्टरिंग - .htaccess में एक लाइन यूक्रेन के लिए समस्या का समाधान करेगी: RewriteRule। * Msg =। * /StaticHelloLOIC.html
• {HTTP_REFERER} फ़ील्ड द्वारा फ़िल्टरिंग .htaccess 5-6 पंक्तियों में सबसे आम JS LOIC होस्टिंग है
• और अंतिम उपाय के रूप में, अस्थायी रूप से, मुख्य प्रदाताओं के आईपी रेंज को फ़िल्टर करना संभव था, जहां से हमले आ रहे थे, किसी भी व्यवस्थापक व्यवसायी को यह सब पता है।

यह स्क्रिप्ट और स्क्रिप्ट को डेटाबेस तक पहुंचने से रोक देगा (लोड के मुख्य कारण), यह उल्लेख नहीं करने के लिए कि राउटर पर अनुरोधों को फ़िल्टर किया जा सकता है, लेकिन देश में उपकरण के लिए पर्याप्त पैसा नहीं था, हम पहले से ही समझ गए थे।

और मैं दोहराता हूं, यह सर्वर नहीं था जो झूठ बोल रहा था, अर्थात् सॉफ्टवेयर, वे अन्य सर्वर पोर्ट का जवाब दे रहे थे, और कुछ ने बहुत जल्दी "HTTP 502 बैड गेटवे" के साथ पृष्ठ दिया। यह तब होता है, उदाहरण के लिए, जब नेग्नेक्स फ्रंट-एंड के रूप में खड़ा होता है, और बैक-एंड अपाचे या सॉफ्टवेयर के साथ एक अन्य सर्वर (जो दुर्घटनाग्रस्त हो गया, और फ्रंट-एंड को इसे सुरक्षित और कैश करना पड़ा)।