تاريخ عمليات تشويه صفحات ويب
بلغ عدد عمليات تشويه صفحات ويب، التي رصدت في أنحاء العالم منذ العام 1995، وحتى الآن، حوالي 5000 عملية، توزعت على مختلف مواقع ويب، التي تملك أسماء نطاقات تجارية (com وnet، وorg)، ونطاقات محلية في جميع دول العالم تقريباً. وتشير الدراسات، إلى أن حوالي 20 في المائة من عمليات التشويه، تتم يوم الأحد. ويرجح السبب في ذلك، إلى أن تغيير الصفحة الرئيسية في موقع معين يوم العطلة الأسبوعية (في معظم دول العالم)، يضمن بقاء التغيير أطول مدة ممكنة، إلى أن يعود مدير الشبكة وموظفو الشركات، من إجازتهم، ويرجعوا الصفحة الأصلية للموقع، إلى ما كانت.
وحدثت أوائل عمليات التشويه في العالم، العام 1995، ولم تتعدَ في ذلك الوقت، أربع عمليات. وتلتها 18 عملية العام 1996، و28 عملية سنة 1997، ثم تضاعفت العام 1998، عشر مرات، ليصل العدد إلى 233 عملية. وانتشرت حمى تشويه مواقع إنترنت سنة 1999، ليتضاعف عددها حوالي 15 مرة، وليبلغ 3699 عملية تشويه في مختلف أنحاء العالم، ومن ضمنها 16 عملية تمت على مواقع محلية في الدول العربية! وكانت المواقع المحلية البرازيلية، أكثر دول العالم إصابة بعمليات التشويه، وبلغ عدد العمليات فيها، 178 عملية، تلتها الولايات المتحدة الأمريكية، التي بلغ عدد العمليات فيها 126 عملية.
وجدير بالذكر أن كثيراً من عمليات التشويه، مرت بدون أن يذاع صيتها، فلم تدخل ضمن هذه الإحصائيات. ويتوقع لذلك، أن يكون عدد عمليات التشويه الفعلية التي تمت، أكبر من العدد المذكور!
هجمات حجب خدمة: الهدف.. تدمير إنترنت!
"الوصول إلى هذا الموقع، غير ممكن!"
قد تعني الرسالة السابقة أن الموقع الذي تحاول أن تزوره، تعرض لهجمات حجب الخدمة، خاصة إذا كان واحداً من المواقع الكبرى، التي يعني ظهور مثل هذه الرسالة في موقعها، خسارة عشرات الآلاف من الدولارات!
يكمن الفرق بين عمليات التشويه، وبين هجمات حجب الخدمة DoS (denial of service)، أن الأولى تتم عن طريق اختراق مزودات ويب، وتتم الثانية عن طريق توجيه جهة معينة، حزم بيانات شبكية بصورة كثيفة جداً، إلى هذه المزودات، بهدف إيقافها عن العمل. ويعتبر القيام بمثل هذه الهجمات سهلاً للغاية، حيث يوجد عدد كبير من البرامج التي يمكن استخدامها لتوجيه الطلبات والحزم الشبكية إلى هدف محدد، كموقع إنترنت، أو عنوان IP.
اعتمدت أولى هجمات حجب الخدمة، التي ظهرت في العالم، على توجيه طلبات كثيفة باستخدام بروتوكول رسائل التحكم بإنترنت ICMP (Internet Control Message Protocol)، الذي يسمح بتبادل رسائل التحكم، والتعامل مع رسائل الخطأ، بين مزودات ويب. وتحدث هذه الهجمات اليوم، باستخدام منافذ بروتوكولات TCP، وUDP، بالإضافة إلى ICMP، في تسليط سيل من الرزم الشبكية إلى مزودات معينة، عبر أوامر، مثل Ping. ومن أشهر الهجمات، تلك التي تستخدم نوع الهجوم المعروف باسم WinNuke، والتي تسلط سيلاً من الحزم الشبكية عبر المنفذ 139 من نظام NetBIOS، الذي يسمح بتحاور التطبيقات الموجودة على الأجهزة المرتبطة بالشبكة.
وتوجد بالإضافة إلى ما سبق، عشرات الطرق التي يمكن اتباعها لدفع الحزم أو الطلبات الشبكية، إلى مزودات معينة، لإيقافها عن العمل، سواء كانت مزودات ويب، أو مزودات بريد إلكتروني، أو أي مزود يمكنه أن يستقبل الحزم الشبكية. وتعرف أنواع هذه الهجمات، بأسماء غريبة، منها: SYN، وSmurf، وFloods، وLand، وPing Bomb، وPing O'Death، وFraggle، بالإضافة إلى Winnuke، المذكور سابقاً. والأمر الذي يزيد الطين بلة، بالإضافة إلى سهولة القيام بمثل هذه الهجمات، هو أن توقعها، أو صدها صعب جداً! لكن ما دوافع هذه الهجمات؟!
توجد عدة أهداف، قد تدفع جهة معينة، أو شخصاً معيناً، إلى القيام بمثل هذه الهجمات، وأهمها:
1-التسلل إلى النظام: يمكن أن يتمكن بعض المخترقين من التسلل إلى النظام وقت انهياره وحجبه عن الخدمة، أو وقت إعادة إقلاعه. وتوجد عدة طرق لذلك، على مختلف الأنظمة، وهي أحد الأسباب الأكثر منطقية لمثل هذه الهجمات.
2-أسباب سياسية: قد توجه جهة معينة، مثل هذه الهجمات، إلى موقع حكومي يتبع دولة تعاديها، أو موقع شركة تنتمي إلى هذه الدولة. ويتوقع أن تزداد في المستقبل، الهجمات ذات الأهداف السياسية، مع ازدياد انتشار إنترنت!
3-أسباب اقتصادية: قد توجه شركة صغيرة مثل هذه الهجمات، إلى شركة كبيرة تسيطر على السوق، في نوع من المنافسة التجارية غير الشريفة!
4-الانتقام: يحدث كثيراً، أن تسرّح شركة أحد الموظفين المسؤولين عن إدارة الشبكة. وقد يلجأ بعض هؤلاء، إذا ما شعروا بالظلم، إلى الانتقام من الشركة!
5- الطبيعة التخريبية: يلجأ بعض الأشخاص إلى مثل هذه الهجمات، لإشباع رغبات تخريبية تتملكهم!
LEO
14-11-2001, 08:45
معلومات تقنية مهمة، للتصدي لهجمات حجب الخدمة
إذا كنت تعمل مديراً لشبكة ويب، أو كنت مسؤولاً عن أحد مواقع ويب، فمن المؤكد أن تكون عمليات التشويه وحجب الخدمة الأخيرة، التي تمت خلال شهر فبراير/ شباط الفائت، والتي طالت أكبر مواقع إنترنت في الدول العربية والعالم، سببت لك قلقاً كبيراً على وظيفتك، وربما بعضاً من الكوابيس ليلاً! وننصحك لذلك، بالاطلاع على الدراسات التقنية في المواقع التالية، التي تشرح بتوسع طرق عمل عمليات حجب الخدمة، مع عرض أفضل الوسائل التقنية للوقاية منها، وتحري مصادرها:
الدراسة الموقع
خلاصة ورشة عمل، أجرتها منظمة CERT، للتعامل مع هجمات حجب الخدمة http://www.cert.org/reports/dsit_workshop.pdf
دراسة لاستراتيجيات الوقاية من هجمات حجب الخدمة الموزعة، تقدمها شركة Cisco http://www.cisco.com/warp/public/707/22.html
شرح تقني مهم، لطرق التقليل من مخاطر هجمات Smurf، وfraggle http://users.quadrunner.com/chuegen/smurf.cgi
ماذا تفعل عند إصابة نظامك ببرامج حصان طروادة، الخاص بهجمات DDoS؟ http://www.sans.org/y2k/DDoS.htm
أساليب الوقاية التي يجب أن يتبعها مقدمو خدمة إنترنت (ISPs) http://www.cs.washington.edu/homes/.../traceback.html
التعامل مع هجمات DDoS الناتجة عن برنامجي TRINOO، وTFN http://xforce.iss.net/alerts/advise40.php3
إنذار.. برنامج جديد لشن هجمات حجب الخدمة الموزعة
استخدمت جميع هجمات حجب الخدمة التي تمت في شهر فبراير الفائت، برامج من نوع حصان طروادة، لا تعمل إلا على أنظمة يونكس، ولينكس فقط، ما يعني أن مستخدمي أنظمة ويندوز كانوا في أمان نسبي، من أن تُستخدم أجهزتهم، بدون علمهم، لشن هجمات على مواقع إنترنت معينة. لكن شركة TrendMicro، التي تعمل في مجال الحماية من الفيروسات، كشفت أواخر الشهر ذاته، عن انتشار برنامج (TROJ_TRINOO) الجديد من نوع حصان طروادة، تمت برمجته لشن هجمات حجب الخدمة هذه المرة، من أنظمة ويندوز!
وهذا البرنامج هو زبون لبرنامج Trinoo، الذي يعمل كمركز القيادة، لشن هذه الهجمات.. فإذا تمكن أحد المخترقين، وضع هذا البرنامج في نظامك، بدون علمك، عن طريق إرساله بالبريد الإلكتروني، مثلاً، فإنه سيتمكن من استخدام جهازك لشن الهجمات على أي مزود متصل بإنترنت. ولا يحتاج في هذه الحالة، إلا إلى معرفة عنوان IP لجهازك، خلال اتصالك بإنترنت! ويمكنك التأكد من خلو نظامك من هذا البرنامج، كما يلي:
افصل اتصال جهازك بإنترنت، ثم شغّل برنامج محرر سجل النظام (Regedit.exe)، واذهب إلى المفتاح (HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Cur
rentVersion\Run)، وابحث عن الملف SERVICE.EXE (وليس الملف SERVICES.EXE، الموجود أصلاً في أنظمة NT، و2000)، واحذفه من النظام، إن وجد، ثم أعد تشغيل الجهاز. ويمكنك التأكد من أن الملف الذي تحذفه هو هذا البرنامج الخبيث، بالتأكد من حجمه، الذي يعادل 23145 بايت. وجدير بالذكر أن معظم برامج الحماية من الفيروسات ستطرح تحديثات تحمي من هذا البرنامج، في أحدث إصداراتها.
بلغ عدد عمليات تشويه صفحات ويب، التي رصدت في أنحاء العالم منذ العام 1995، وحتى الآن، حوالي 5000 عملية، توزعت على مختلف مواقع ويب، التي تملك أسماء نطاقات تجارية (com وnet، وorg)، ونطاقات محلية في جميع دول العالم تقريباً. وتشير الدراسات، إلى أن حوالي 20 في المائة من عمليات التشويه، تتم يوم الأحد. ويرجح السبب في ذلك، إلى أن تغيير الصفحة الرئيسية في موقع معين يوم العطلة الأسبوعية (في معظم دول العالم)، يضمن بقاء التغيير أطول مدة ممكنة، إلى أن يعود مدير الشبكة وموظفو الشركات، من إجازتهم، ويرجعوا الصفحة الأصلية للموقع، إلى ما كانت.
وحدثت أوائل عمليات التشويه في العالم، العام 1995، ولم تتعدَ في ذلك الوقت، أربع عمليات. وتلتها 18 عملية العام 1996، و28 عملية سنة 1997، ثم تضاعفت العام 1998، عشر مرات، ليصل العدد إلى 233 عملية. وانتشرت حمى تشويه مواقع إنترنت سنة 1999، ليتضاعف عددها حوالي 15 مرة، وليبلغ 3699 عملية تشويه في مختلف أنحاء العالم، ومن ضمنها 16 عملية تمت على مواقع محلية في الدول العربية! وكانت المواقع المحلية البرازيلية، أكثر دول العالم إصابة بعمليات التشويه، وبلغ عدد العمليات فيها، 178 عملية، تلتها الولايات المتحدة الأمريكية، التي بلغ عدد العمليات فيها 126 عملية.
وجدير بالذكر أن كثيراً من عمليات التشويه، مرت بدون أن يذاع صيتها، فلم تدخل ضمن هذه الإحصائيات. ويتوقع لذلك، أن يكون عدد عمليات التشويه الفعلية التي تمت، أكبر من العدد المذكور!
هجمات حجب خدمة: الهدف.. تدمير إنترنت!
"الوصول إلى هذا الموقع، غير ممكن!"
قد تعني الرسالة السابقة أن الموقع الذي تحاول أن تزوره، تعرض لهجمات حجب الخدمة، خاصة إذا كان واحداً من المواقع الكبرى، التي يعني ظهور مثل هذه الرسالة في موقعها، خسارة عشرات الآلاف من الدولارات!
يكمن الفرق بين عمليات التشويه، وبين هجمات حجب الخدمة DoS (denial of service)، أن الأولى تتم عن طريق اختراق مزودات ويب، وتتم الثانية عن طريق توجيه جهة معينة، حزم بيانات شبكية بصورة كثيفة جداً، إلى هذه المزودات، بهدف إيقافها عن العمل. ويعتبر القيام بمثل هذه الهجمات سهلاً للغاية، حيث يوجد عدد كبير من البرامج التي يمكن استخدامها لتوجيه الطلبات والحزم الشبكية إلى هدف محدد، كموقع إنترنت، أو عنوان IP.
اعتمدت أولى هجمات حجب الخدمة، التي ظهرت في العالم، على توجيه طلبات كثيفة باستخدام بروتوكول رسائل التحكم بإنترنت ICMP (Internet Control Message Protocol)، الذي يسمح بتبادل رسائل التحكم، والتعامل مع رسائل الخطأ، بين مزودات ويب. وتحدث هذه الهجمات اليوم، باستخدام منافذ بروتوكولات TCP، وUDP، بالإضافة إلى ICMP، في تسليط سيل من الرزم الشبكية إلى مزودات معينة، عبر أوامر، مثل Ping. ومن أشهر الهجمات، تلك التي تستخدم نوع الهجوم المعروف باسم WinNuke، والتي تسلط سيلاً من الحزم الشبكية عبر المنفذ 139 من نظام NetBIOS، الذي يسمح بتحاور التطبيقات الموجودة على الأجهزة المرتبطة بالشبكة.
وتوجد بالإضافة إلى ما سبق، عشرات الطرق التي يمكن اتباعها لدفع الحزم أو الطلبات الشبكية، إلى مزودات معينة، لإيقافها عن العمل، سواء كانت مزودات ويب، أو مزودات بريد إلكتروني، أو أي مزود يمكنه أن يستقبل الحزم الشبكية. وتعرف أنواع هذه الهجمات، بأسماء غريبة، منها: SYN، وSmurf، وFloods، وLand، وPing Bomb، وPing O'Death، وFraggle، بالإضافة إلى Winnuke، المذكور سابقاً. والأمر الذي يزيد الطين بلة، بالإضافة إلى سهولة القيام بمثل هذه الهجمات، هو أن توقعها، أو صدها صعب جداً! لكن ما دوافع هذه الهجمات؟!
توجد عدة أهداف، قد تدفع جهة معينة، أو شخصاً معيناً، إلى القيام بمثل هذه الهجمات، وأهمها:
1-التسلل إلى النظام: يمكن أن يتمكن بعض المخترقين من التسلل إلى النظام وقت انهياره وحجبه عن الخدمة، أو وقت إعادة إقلاعه. وتوجد عدة طرق لذلك، على مختلف الأنظمة، وهي أحد الأسباب الأكثر منطقية لمثل هذه الهجمات.
2-أسباب سياسية: قد توجه جهة معينة، مثل هذه الهجمات، إلى موقع حكومي يتبع دولة تعاديها، أو موقع شركة تنتمي إلى هذه الدولة. ويتوقع أن تزداد في المستقبل، الهجمات ذات الأهداف السياسية، مع ازدياد انتشار إنترنت!
3-أسباب اقتصادية: قد توجه شركة صغيرة مثل هذه الهجمات، إلى شركة كبيرة تسيطر على السوق، في نوع من المنافسة التجارية غير الشريفة!
4-الانتقام: يحدث كثيراً، أن تسرّح شركة أحد الموظفين المسؤولين عن إدارة الشبكة. وقد يلجأ بعض هؤلاء، إذا ما شعروا بالظلم، إلى الانتقام من الشركة!
5- الطبيعة التخريبية: يلجأ بعض الأشخاص إلى مثل هذه الهجمات، لإشباع رغبات تخريبية تتملكهم!
LEO
14-11-2001, 08:45
معلومات تقنية مهمة، للتصدي لهجمات حجب الخدمة
إذا كنت تعمل مديراً لشبكة ويب، أو كنت مسؤولاً عن أحد مواقع ويب، فمن المؤكد أن تكون عمليات التشويه وحجب الخدمة الأخيرة، التي تمت خلال شهر فبراير/ شباط الفائت، والتي طالت أكبر مواقع إنترنت في الدول العربية والعالم، سببت لك قلقاً كبيراً على وظيفتك، وربما بعضاً من الكوابيس ليلاً! وننصحك لذلك، بالاطلاع على الدراسات التقنية في المواقع التالية، التي تشرح بتوسع طرق عمل عمليات حجب الخدمة، مع عرض أفضل الوسائل التقنية للوقاية منها، وتحري مصادرها:
الدراسة الموقع
خلاصة ورشة عمل، أجرتها منظمة CERT، للتعامل مع هجمات حجب الخدمة http://www.cert.org/reports/dsit_workshop.pdf
دراسة لاستراتيجيات الوقاية من هجمات حجب الخدمة الموزعة، تقدمها شركة Cisco http://www.cisco.com/warp/public/707/22.html
شرح تقني مهم، لطرق التقليل من مخاطر هجمات Smurf، وfraggle http://users.quadrunner.com/chuegen/smurf.cgi
ماذا تفعل عند إصابة نظامك ببرامج حصان طروادة، الخاص بهجمات DDoS؟ http://www.sans.org/y2k/DDoS.htm
أساليب الوقاية التي يجب أن يتبعها مقدمو خدمة إنترنت (ISPs) http://www.cs.washington.edu/homes/.../traceback.html
التعامل مع هجمات DDoS الناتجة عن برنامجي TRINOO، وTFN http://xforce.iss.net/alerts/advise40.php3
إنذار.. برنامج جديد لشن هجمات حجب الخدمة الموزعة
استخدمت جميع هجمات حجب الخدمة التي تمت في شهر فبراير الفائت، برامج من نوع حصان طروادة، لا تعمل إلا على أنظمة يونكس، ولينكس فقط، ما يعني أن مستخدمي أنظمة ويندوز كانوا في أمان نسبي، من أن تُستخدم أجهزتهم، بدون علمهم، لشن هجمات على مواقع إنترنت معينة. لكن شركة TrendMicro، التي تعمل في مجال الحماية من الفيروسات، كشفت أواخر الشهر ذاته، عن انتشار برنامج (TROJ_TRINOO) الجديد من نوع حصان طروادة، تمت برمجته لشن هجمات حجب الخدمة هذه المرة، من أنظمة ويندوز!
وهذا البرنامج هو زبون لبرنامج Trinoo، الذي يعمل كمركز القيادة، لشن هذه الهجمات.. فإذا تمكن أحد المخترقين، وضع هذا البرنامج في نظامك، بدون علمك، عن طريق إرساله بالبريد الإلكتروني، مثلاً، فإنه سيتمكن من استخدام جهازك لشن الهجمات على أي مزود متصل بإنترنت. ولا يحتاج في هذه الحالة، إلا إلى معرفة عنوان IP لجهازك، خلال اتصالك بإنترنت! ويمكنك التأكد من خلو نظامك من هذا البرنامج، كما يلي:
افصل اتصال جهازك بإنترنت، ثم شغّل برنامج محرر سجل النظام (Regedit.exe)، واذهب إلى المفتاح (HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\Cur
rentVersion\Run)، وابحث عن الملف SERVICE.EXE (وليس الملف SERVICES.EXE، الموجود أصلاً في أنظمة NT، و2000)، واحذفه من النظام، إن وجد، ثم أعد تشغيل الجهاز. ويمكنك التأكد من أن الملف الذي تحذفه هو هذا البرنامج الخبيث، بالتأكد من حجمه، الذي يعادل 23145 بايت. وجدير بالذكر أن معظم برامج الحماية من الفيروسات ستطرح تحديثات تحمي من هذا البرنامج، في أحدث إصداراتها.
