شما برای مطالعه این مقاله فقط 10 دقیقه وقت نیاز دارید

blog157

آشنایی با حمله بروت فورس (brute force) در وب

4.4/5 - (5 امتیاز)

حمله بروت فورس (brute force) یکی از روش های هک اطلاعات است که بر پایه تکنیک آزمون و خطا کار می کند. اگر علاقمند به آشنایی با حمله Brute Force در وب هستید و تا الان منبع مناسبی را برای این آموزش پیدا نکرده اید، در جای درستی قرار دارید.

Brute Force یک روش قدیمی است ولی با این حال، هنوز هم برای هک رمزهای عبور به طور رایج مورد استفاده قرار می گیرند. ابزارهای مورد استفاده در حمله بروت فورس از ترکیب رمزهای عبور برای دور زدن فرآیندهای احراز هویت استفاده می کنند. ما در این مقاله هر آنچه که باید در مورد حملات Brute Force بدانید را پوشش می دهیم و غیر ممکن است که اطلاعات مورد نظر خود را به دست نیاورید. پس ادامه مطلب را از دست ندهید:

 حمله بروت فورس چیست؟

حمله بروت فورس

حمله بروت فورس یک روش آزمون و خطا است که برای رمزگشایی داده های حساس استفاده می شود. این تکنیک ساده و قابل اعتماد برای دسترسی غیرمجاز به حساب های کاربری، سیستم ها و شبکه های سازمانی استفاده می شود.

حمله بروت فورس به عنوان یک تکنیک ساده و قابل اعتماد، از روش آزمون و خطا برای هک رمزهای عبور، اطلاعات مربوط به احراز هویت و کلیدهای رمزنگاری استفاده می کند. در این روش، هکرها از ابزارهای متنوع برای دسترسی به اطلاعات استفاده می کنند و آزمون و خطا را آنقدر تکرار می کنند که ورودی صحیح را شناسایی کنند.

در این روش، هکر با امتحان رمزهای متنوع تلاش می کند که به اطلاعات درست دسترسی پیدا کند و با موفقیت وارد سیستم شود. حضور هکر در داخل سیستم تا زمانی ادامه پیدا می کند که این دسترسی غیرمجاز تشخیص داده نشود. از رایج ترین کاربردهای این روش می توان به هک رمزهای عبور و کلیدهای رمزنگاری شده اشاره کرد. دسترسی به کلیدهای API و ورود به سیستم SSH از سایر اهداف استفاده از این روش هستند.

معمولاً حملات مربوط به هک رمز عبور توسط اسکریپت ها و ربات هایی انجام می شود که صفحه ورود به وبسایت را هدف قرار می دهند؛ اما جا دارد به این نکته نیز اشاره کنیم که برخی از هکرها این حمله را به صورت دستی نیز انجام می دهد.

عدم استفاده از استراتژی فکری، ویژگی ای است که باعث تمایز حمله بروت فورس از سایر روش های هک می شود. هکرها با استفاده از این روش سعی می کنند با ترکیب کاراکترهای مختلف، یک توالی صحیح از آن ها را کشف کنند. دقیقاً شبیه راهکار دزدی که سعی می کند با وارد کردن ترکیب های مختلف از اعداد، در گاوصندوق را باز کند.

یک هکر می تواند با هدف سرقت اطلاعات، آلوده کردن سایت به بدافزار، از دسترس خارج کردن وبسایت، بهره مندی از سود تبلیغات یا اختلال در سرویس از این روش استفاده کند و مدت زمان تکمیل پروسه حملات Brute Force در بازه چند ثانیه تا چند سال متغیر است. در واقع، این میزان امنیت و پیچیدگی اطلاعات حساس است که مشخص می کند پروسه هک چه مقدار طول بکشد.

نحوه کار حمله بروت فورس

اکثر حملات بروت فورس با استفاده از ابزارهای خودکار انجام می شوند. این تکنیک، نیاز به حداقل توجه دارد و دلیل آن هم این است که پس از تنظیم ابزار، حمله به طور خودکار انجام می شود و میزان نتیجه گیری به عملکرد و دقت ابزار بستگی دارد. راه اصلی اجرای این حمله، هدف گیری درخواست های POST و GET است.

در ساده ترین شکل ممکن، برنامه یا ربات تنظیم می شود و این ابزار از هر ترکیب ممکن از اعداد، حروف و کاراکترها برای شناسایی رمز استفاده می کند. اگر از قبل فهرستی از رمزهای لو رفته را تهیه کنید، قدرت ابزار برای شناسایی رمز افزایش پیدا می کند و همین هم شانس موفقیت را بالا می برد.

یکی از راه هایی که هکرها برای اجرای حمله Brute Force استفاده می کنند، کمک گرفتن از Dark web است. به این صورت که کیت های بد افزار بروت فورس در Dark web به فروش می رسند که همه ابزارها و لیست اطلاعات کاربران هک شده را شامل می شوند. به این ترتیب، دسترسی به این کیت ها، فرآیند حمله بروت فورس را راحت تر می کند.

هنگامی که هکر، ابزار را تنظیم کرد و لیست مربوط به اطلاعات کاربری فاش شده را در آن قرار دارد، عملیات هک شروع می شود.

انواع حملات بروت فورس

انواع حمله بروت فورس

انواع مختلفی از روش های حمله بروت فورس وجود دارد که هکرها به وسیله آن ها می توانند به طور غیرمجاز به داده ها دسترسی پیدا کنند:

حملات بروت فورس ساده

این نوع حمله زمانی اتفاق می افتد که هکر سعی می کند اطلاعات کاربری مربوط به احراز هویت را به صورت دستی و بدون کمک گرفتن از هیچ ابزاری حدس بزند. در این روش، هکر با ترکیب رمزهای عبور استاندارد، اطلاعات شخصی کاربر و کدهای PIN، شانس خود را برای دسترسی به وبسایت امتحان می کند.

این نوع حملات Brute Force، بسیار ساده هستند چون کاربران زیادی وجود دارند که از رمزهای عبور ضعیف مثل “password123” یا “1234” استفاده می کنند یا با اصول رمزگذاری درست برای حساب خود آگاه نیستند. استفاده از دستورات پیچیده برای حدس رمز عبور، زمان دسترسی به اطلاعات کاربری را افزایش می دهد.

حمله دیکشنری

در این نوع حمله، هکر ابتدا یک هدف انتخاب می کند و سپس تمام رمزهای احتمالی را بر اساس اطلاعات کاربر امتحان می کند. شاید فکر کنید که این همان حمله بروت فورس ساده است، در حالی چنین نیست. در این روش، ابزار آزمون و خطا بر اساس یک دیکشنری که بر اساس کلمات فرضی ایجاد شده است، کار می کند و عمل حمله به صورت دستی انجام نمی شود.

هکرها می توانند کلمات موجود در دیکشنری را با اعداد، کاراکترها و … تقویت کنند تا رمزهای عبور طولانی تر را بشکنند. نرم افزار دیکشنری فقط ترکیباتی را امتحان می کند که به درست بودن آنها اعتقاد دارد.

حمله دیکشنری معمولاً زمان بر است و در مقایسه با روش های دیگر، شانس موفقیت کمتری دارد. توجه داشته باشید که این نوع حمله از مهم ترین ابزارهای حملات بروت فورس است اما به خودی خود، حمله بروت فورس محسوب نمی شود.

حملات بروت فورس ترکیبی

این حمله با ترکیب روش حمله بروت فورس ساده و دیکشنری انجام می شود. به این صورت که ابتدا هکر، نام کاربری را تشخیص می دهد سپس با استفاده از حمله ساده و دیکشنری، اطلاعات لازم برای ورود به حساب کاربری را کشف می کند. این راهکار در مقایسه با روش دیکشنری و ساده، کارآمدتر است.

این نوع حمله Brute Force به هکرها اجازه می دهد تا رمزهای عبوری را پیدا کنند که ترکیبی از کلمات رایج، اعداد، سال ها و کاراکترهای تصادفی هستند، مثل “server123” یا “newyork2020”.

حمله بروت فورس معکوس

در این نوع حمله، هکر فرآیند هک را با یک رمز عبور شناسایی شده شروع می کند. معمولاً این رمز عبور از طریق نفوذ در شبکه کشف می شود. سپس هکر از این رمز برای جستجوی اطلاعات احراز هویت استفاده می کند و در این پروسه، از لیست نام های کاربری کمک می گیرد.

حتی این امکان نیز وجود دارد که هکر یک رمز عبور ساده مثل “Password123” را درنظر بگیرد و از آن برای جستجو در پایگاه داده نام های کاربری استفاده کند تا با دسترسی به یک ترکیب درست از نام کاربری و رمز، به حساب مورد نظر دسترسی پیدا کند.

حمله Credential stuffing

در طول سال های متوالی، بیش از 8.5 میلیارد نام کاربری و رمز عبور هک شده است. این اطلاعات کاربری در dark web به فروش می رسند و هدف حمله Credential stuffing، استفاده از این اطلاعات فاش شده، است.

هکر با دسترسی به اطلاعات احراز هویت کاربران یک سایت، می تواند از نمونه های مشابه آن برای هک وبسایت های دیگر استفاده کند. با توجه به این که برخی از کاربران برای اینکه نام کاربری و رمز خود را فراموش نکنند، از اطلاعات مشابه برای ثبت نام و ورود در وبسایت ها استفاده می کنند، راه برای موفقیت این نوع حملات بازتر است.

کلیک کنید  معرفی فایروال IPTables و دستورات کاربردی در لینوکس

حمله Rainbow table

 Rainbow table یا جدول رنگین کمان، یک جدول از پیش محاسبه شده برای معکوس سازی توابع هش رمزنگاری است. این حمله بروت فورس برای حدس زدن یک تابع تا یک طول مشخص از مجموعه کاراکترهای محدود قابل استفاده است.

ابزارهای مورد استفاده در حمله بروت فورس

ابزارهای brute force

ابزارهای زیادی هستند که به صورت رایگان در اینترنت موجود هستند و در برابر طیف گسترده ای از پلتفرم ها و پروتکل ها کار می کنند. در ادامه به چند مورد از آنها اشاره می کنیم:

Aircrack-ng: این ابزار برای دسترسی به رمز وای فای استفاده می شود و به صورت رایگان در دسترس است.

DaveGrohl: این ابزار حمله بروت فورس مخصوص سیستم عامل Mac os است که از روش دیکشنری پشتیبانی می کند. حالت توزیع شده این ابزار به هکر کمک می کند که عملیات هک رمز عبور را از طریق چند سیستم پیش ببرد.

Hashcat: این ابزار مبتنی بر CPU است و برای سیستم های Windows، Mac OS و Linux به صورت رایگان در دسترس است. Hashcat از حملات ساده، دیکشنری و ترکیبی پشتیبانی می کند.

THC Hydra: هکرها از این ابزار برای شکستن رمز های عبور احراز هویت شبکه استفاده می کنند. با استفاده از این ابزار، حمله دیکشنری در برابر 30 پروتکل از جمله HTTPS، FTP و Telnet قابل انجام است.

John the Ripper: این ابزار، ابتدا برای دسترسی به رمز عبور سیستم یونیکس توسعه داده شد؛ اما الان بر روی 15 پلتفرم دیگر مثل Windows، OpenVMS و DOS نیز قابل استفاده است. John the Ripper، نوع هش به کار رفته در رمز را به طور خودکار تشخیص می دهد بنابراین می توان از این ابزار برای ذخیره سازی رمز عبور رمزگذاری شده استفاده کرد.

L0phtCrack: این ابزار در حملات ساده، دیکشنری، ترکیبی و Rainbow table برای هک رمزهای عبور سیستم ویندوز به کار می رود.

NL Brute: این ابزار حمله بروت فورس، از سال 2016 در دسترس کاربران dark web است.

Ophcrack :Ophcrack یک ابزار رایگان و متن باز برای شکستن رمز عبور ویندوز است. این ابزار به کمک Rainbow table برای رمزگشایی از هش های LM استفاده می کند.

نقاط ضعف و قوت حملات بروت فورس

بزرگترین مزیت حمله بروت فورس این است که اجرای آنها کار راحتی است و به خاطر عدم نیاز به استراتژی حساس برای رسیدن به هدف، همیشه کار می کند. هر سیستم مبتنی بر رمز عبور و کلید رمزنگاری با تهدید حملات Brute Force روبرو است و احتمال دارد که در معرض دسترسی غیرمجاز قرار بگیرد.

در واقع، مدت زمانی که طول می کشد حملات بروت فورس با موفقیت تکمیل شوند، معیاری برای سنجش سطح امنیت سیستم مورد نظر است.

از طرف دیگر، حمله بروت فورس می توانند بسیار کند باشد چون راهکار پیدا کردن یک توالی درست از کاراکترها می تواند 1 دقیقه طول بکشد یا چند سال.

هر چقدر طول توالی کاراکترهای رمز عبور بیشتر باشد، زمان لازم برای دسترس به آن نیز افزایش پیدا می کند. به عنوان مثال، پیدا کردن یک رمز عبور 4 کاراکتری نسبت به رمز 3 کاراکتری، نیاز به زمان بسیار بیشتری دارد.

اگر رشته مربوط به کاراکترها به اندازه کافی طولانی باشد، اجرای موفقیت آمیز حمله بروت فورس ممکن است روزها، ماه ها و یا حتی سال ها طول بکشد.

همچنین، استفاده از استراتژی rate-limiting در اکثر وبسایت ها باعث شده است کاربرانی که بیش از حد از امکانات و منابع وبسایت استفاده می کنند، مسدود شوند. به عنوان مثال، این استراتژی، چند تلاش ناموفق برای ورود به حساب کاربری را حمله تشخیص می دهد و پروتکل های مربوط به امنیت سیستم فعال می شود. این نوع استراتژی ها باعث تضعیف قدرت حملات Brute Force می شوند.

راه های جلوگیری از حملات بروت فورس

جلوگیری از حمله بروت فورس

در ادامه به تاکتیک هایی اشاره می کنیم که می توانند امنیت سیستم و حساب کاربری شما را در برابر این نوع حملات افزایش دهند:

از رمزهای عبور پیچیده، قوی و طولانی (بیش از 10 کاراکتر) استفاده کنید. اگر این رمز عبور ترکیبی از حروف بزرگ، اعداد و نمادها باشند، مقاومت حساب شما در برابر حمله بروت فورس بیشتر خواهد بود. پیشنهادات رمز مرورگر گوگل، نمونه هایی از رمزهای ایده آل هستند که استفاده از این رمزها نه تنها امنیت حساب را بالا می برد بلکه خطر فراموشی رمز نیز را از بین می رود.

در صورت استفاده از کلمات رایج در رمز عبور، آن کلمه را طوری تغییر دهید که برای دیگران بی معنی به نظر برسد. به عنوان مثال، به جای HOPE از HP استفاده کنید.

از رمزهای عبور تکراری و رایج استفاده کنید. همانطور که در بخش انواع حملات اشاره کردیم، اکثر هکرها به رمزهای فاش شده دسترسی پیدا می کنند و با استفاده از آنها، قدرت حمله خود را بالا می برند.

استفاده از تاکتیک رمزنگاری Salting این امکان را به ادمین های سیستم می دهد که هش رمز عبور خود را تقویت کنند. اصل این تاکتیک، استفاده از یک رشته تصادفی از اعداد و حروف ذخیره شده در یک پایگاه داده جدا به عنوان رمز عبور است.

احراز هویت چند مرحله ای را فعال کنید. با این کار دیگر لازم نیست که برای ورود به حساب خود، فقط به رمز عبور بسنده کنید. بلکه بعد از آن، نیاز به اطلاعات دیگری نیز می باشد تا به حساب خود دسترسی کامل داشته باشید.

محدود کردن تعداد تلاش های لازم برای ورود به حساب، یک ایده عالی برای کاهش قدرت حمله بروت فورس است. به عنوان مثال، قفل کردن حساب کاربری بعد از 2 یا 3 بار تلاش ورود، باعث منصرف شدن هکر می شود.

چند راهکار دیگر برای جلوگیری از حمله بروت فورس

  • استفاده از کپچا
  • حذف حساب های قدیمی و استفاده نشده
  • تنظیم قوانین لازم برای رد رمزگذاری های ضعیف
  • اجرای روش threat hunting برای پیشگیری از حملات
  • استفاده از تاکتیک رمزنگاری 256 بیتی

جا دارد به این نکته نیز اشاره کنیم که هر سیستم با هر سطح امنیت در معرض خطر حمله قرار دارد. حمله هایی مثل حمله بروت فورس نسبت به قبل ضعیف تر شده اند ولی در کل، اگر می خواهید امنیت سیستم یا سرور خود را بالا ببرید. تمام تکنیک های لازم برای حفظ اطلاعات خود را پیاده سازی کنید.

افرادی که از سرور مجازی استفاده می کنند نیز باید به فکر بالا بردن سطح امنیت خود باشند. با این که با استفاده از سرور مجازی، قدرت و سرعت پردازش بالا می برد و محدودیت هایی که از قبل مانع راه شما بودند، از بین می رود، اما حتماً باید به فکر امنیت آن نیز باشید. زمانی می توانید از مزایای سرور مجازی به طور کامل بهره مند شوید که هر نوع خطر حمله را از سرور خود دور نگه دارید.

اگر به فکر این هستید که وضعیت کسب و کار خود را با خرید سرور مجازی، ارتقا بدهید، یک پیشنهاد ویژه برای شما داریم. شرکت آسام سرور با ارائه سرورهای مجازی با قدرت پردازشی بالا و سرعت عالی، در تلاش است که به محدودیت های شما پایان بدهد تا مسیر رشد هموار تری داشته باشید.

در صورت تمایل می توانید به صفحه خرید سرور مجازی اختصاصی، سرور مجازی لینوکس، سرور مجازی ویندوز و …، پلن های مربوط به هر کدام را مشاهده کنید و بر اساس نیاز و خواسته خود یک انتخاب عالی داشته باشید.

سخن آخر

حمله بروت فورس یکی از قدیمی ترین روش های هک اطلاعات و دسترسی غیرمجاز به حساب می باشد که کار خود را بر اساس آزمون و خطا پیش می برد. ابزارهایی هستند که به طور رایگان در دسترس هکر های قرار می گیرند و با پشتیبانی از انواع حملات Brute Force ، وبسایت ها، سرور ها و … را تهدید می کنند. استفاده از راهکارهای امنیتی، خطر این نوع حملات را کاهش می دهد و راه را برای دسترسی های غیرمجاز می بندد.

از اینکه تا انتهای مقاله با ما همراه بودید، از شما متشکریم. امیدواریم که مطالعه این مقاله برای شما مفید واقع شده باشد. در صورت داشتن هرگونه سوال، درخواست و نیاز به راهنمایی، می توانید با ثبت نظر خود، با ما وارد ارتباط شوید تا هر چه زودتر به شما پاسخ دهیم.

سوالات متداول:

طبق تحقیقات Verizon در سال 2017، حملات بروت فورس تقریباً عامل 5 درصد از نشت داده ها بودند که مطمئناً در حال حاضر به خاطر افزایش آگاهی، این درصد کمتر نیز شده است.

مطالب مشابهی که شاید علاقمند باشید

من زهرا پیرجانی دانشجوی رشته نرم افزار هستم. علاقه ای که به یادگیری مطالب جدید دارم باعث شد که انگیزم برای فعالیت در حوزه تولیدمحتوا بیشتر شود. تمام تلاشم این است که با درک کامل موضوع، محتوایی ساده و کامل تهیه کنم که برای همه علاقمندان مفید و کاربردی باشد. یادگیری مطالب جدید و آموزش اونها به بقیه، بهترین کاری هست که می توانم برای رشد خودم و همچنین کمک به رشد علاقمندان به مباحث مورنظر انجام بدم.

دیدگاه های شما

برای دریافت این مقاله لطفا ایمیلتان را وارد کنید

می توانید مقاله را دانلود کنید یا پرینت بگیرید