Archive for » 2009 «

آذر
۲۸
حمله به دامنه یک وب‌سایت‌ ( قسمت اول )
اعظم زندى

به عنوان یک توسعه دهنده وب، یکی از مواردی که همیشه برایم جالب بوده شیوه‌های نفوذ به یک وب‌سایت و یا هک آن است. خبری که امروز در روی اینترنت پخش شد مبنی بر هک وب‌سایت تویتر باعث شد جستجو در مورد نحوه هک شدن تویتر را آغاز کنم مطلبی که درادامه خواهید خواند حاصل وب‌گردی‌های امشب من است.
همانطور که می‌دانید مسئولان سایت تویتر امروز علت از کار افتادن سایت خود را تغییر در DNS Record سایت اعلام کردند اما چگونه می‌توان DNS Record یک وب سایت را تغییر داد.

سامانه نام دامنه یا DNS چیست؟

DNS مخفف عبارت Domain Name Service می‌باشد. وقتی می‌خواهید وارد سایتی شوید، باید آدرس وب سرور آن‌ را بدانید. آدرس وب سرور با IP مشخص می‌شود. اما به خاطر سپردن آدرس IP دشوار است. می‌توان به جای IP از نام دامنه‌ها استفاده کرد. برای هر IP یک نام دامنه در نظر گرفته شده است. مثلا IP آدرس گوگل ۷۴.۱۲۵.۶۷.۱۰۰ است. که شما برای دسترسی به گوگل می‌توانید از ip یا آدرس www.google.com استفاده کنید. (برگرفته از ویکی پدیا)

هکرها با تغییر DNS Record تلاش می‌کنند که، یک نام دامنه به آدرس IP به جز IP اصلی آن متصل شود در واقع با این کار آنان بازدید کنندگان سایت را به سایت دیگری هدایت می‌کنند . به عنوان مثال تصور کنید شما می‌خواهید برای آگاهی از اخبار روز به سایت سی‌ان‌ان با نام دامنه www.cnn.com مراجعه کنید. مرورگر خود را باز می‌کنید و آدرس فوق را در نوار آدرس تایپ می‌کنید و کلید اینتر را میزنید.

در پشت صحنه چه اتفاقی می‌افتد؟
مرورگر یک تقاضا به سرور سامانه نام دامنه ( DNS SERVER ‌) ارسال می‌کند تا IP معادل با نام دامنه www.cnn.com را دریافت کند و در پاسخ، سرور سامانه نام دامنه ، IP دامنه فوق را به مرورگر شما باز می‌گرداند مرورگر شما پس از دریافت IP سایت سی‌ان‌ان ، به آن متصل شده و محتویات سایت را نمایش می‌دهد.
اما یک دقیقه صبر کنید اینبار به جای وب سایت سی‌ان‌ان یک صفحه نمایش داده شده است که بر روی آن نوشته شده وب‌سایت سی‌ان‌ان بسته شده به دلیل آنکه آنها دیگر نمی‌توانند پولی برای وب‌سایت خود پرداخت کنند! در این هنگام ممکن است شما این خبر را به دوست خود منتقل کنید ولی او در پاسخ می‌گوید مطابق هر روز مشغول خواندن اخبار روز از سایت سی‌ان‌ان است!

اما چگونه هکرها DNS Record یک دامنه را تغییر می دهند؟ آن‌ها اینکار را به شیوه‌های متفاوتی می توانند انجام دهند که در ادامه به آن‌ها اشاره می‌شود.

الف ) آلوده کردن کش سامانه نام دامنه ( DNS Cache Poisoning )

همانطور که میدانید یک DNS Server نمی تواند اطلاعات مربوط به همه دامنه‌ها و آی‌پی‌ها را نگهداری کند به همین دلیل اطلاعات را کش می‌کند. در واقع یک DNS Server فقط اطلاعات مربوط به نام دامنه‌هایی را نگهداری می‌کند که اجازه آن را دارد و چنانچه تقاضایی برای ارسال IP یک دامنه دریافت کند که دامنه مورد نظر در محدوده دامنه و آپی‌های خودش نباشد در مرحله اول به کش خود مراجعه می‌کند چنانچه اطلاعات مورد نظر در کش سرور نباشد از یک DNS Server دیگر که دربرگیرنده اطلاعات دامنه درخواست شده می‌باشد، تقاضای ارسال IP دامنه را می‌کند . DNS Server اولیه پس از دریافت اطلاعات از سرور دوم، آنرا برای مدتی در کش خود نگهداری می‌کند تا بتواند به درخواست‌های آتی سریعتر پاسخ دهد.
هکرها از همین مسئله سواستفاده کرده و تلاش می کنند کش DNS Server را آلوده کنند.

مراحل کار :
هکرها دارای یک وب سایت ( به عنوان مثال با نام دامنهwww.attacker.com ) هستند که بر روی آن یک DNS Server هک شده ( به عنوان مثال با نام ns.attacker.com) وجود دارد گفتیم یک سرور هک شده بدین معنا که آنها رکوردهای اطلاعاتی دامنه‌ها را آگاهانه تغییر داده‌اند به عنوان مثال چنانچه آی پی آدرس وب‌سایت سی‌ان‌ان ۲۱۲.۱۵۳.۳۲.۶۵باشد آنها رکورد اطلاعاتی وب‌سایت سی‌ان‌ان را به شکل زیر تغییر داده اند
www.cnn.com=172.50.50.50

مرحله اول) هکر(ها) یک تقاضا به DNS Server شما برای سایت www.attacker.comارسال می‌کنند.

مرحله ۲ ) DNS Server شما اطلاعات مربوط به نام دامنه www.attacker.com را ندارد بنابراین یک تقاضا به DNS Server هکرها (ns.attacker.com) ارسال می کند.

مرحله ۳ ) سرور آلوده هکرها به سرور شما پاسخ داده اما علاوه بر اطلاعات مربوط به نام دامنه www.attacker.com سایر رکوردهای اطلاعاتی خود را نیز برای سرور شما ارسال می کنند.

مرحله۴ ) هکرها IP وب سایت خود را از DNS Server شما دریافت می‌کنند اما برای آن‌ها هدف واقعی ارسال رکورد‌های آلوده به کش سرور شما بود که انجام شد. توجه به این نکته ضروری است که در این حالت سرور شما آلوده نشده بلکه فقط کش آن تا زمانی که پاک نشده و یا به‌روزرسانی نشود آلوده خواهد بود.

مرحله ۵) کاربری از طریق DNS Server شما تقاضای IP وب‌سایت سی‌ان‌ان را می‌کند در این حالت سرور شما به جای ارسال ۲۱۲.۱۵۳.۳۲.۶۵ که آی‌پی واقعی وب‌سایت سی‌ان‌ان است آی‌پی ۱۷۲.۵۰.۵۰.۵۰ را به مرورگر کاربر ارسال می کند و در نهایت کاربر به وب‌سایت هکرها هدایت می‌شود.

حتی با تغییرات اندکی هکرها می توانند فقط ترافیک وب‌سایت سی‌ان‌ان را به وب‌سا‌یت دیگری منتقل کنند در حالیکه کاربر همچنان اطلاعات وب‌سایت سی‌ان‌ان را در مرورگر خود مشاهده می‌کند.

ادامه دارد …

موضوع: اينترنت, روزانه  كليد‌واژه‌ها: , , , , ,  ۵ پيام‌ها
آبان
۱۱
دعوت به همکاری از یک برنامه نویس پی اچ پی
اعظم زندى

به دنبال یک برنامه نویس php در مشهد هستم

شرایط و نحوه همکاری :
• حضور در محل کار به مدت حداقل ۵ ساعت در روز از ساعت ۲ به بعد ( ۲ تا ۷ – ۳ تا ۸ یا ۴ تا ۹ )
• مسلط به php
• مسلط به DreamWeaver
• آشنایی متوسط با بالا با Mysql
• نظم و حضور به موقع در ساعت های توافق شده
• توانایی انجام کار گروهی
• قرارداد ساعتی ( توافقی )

در صورت تمایل رزومه کاری خود را به آدرس aazam.zandi@gmail ارسال کنید .

موضوع: روزانه  پيام بگذاريد.
مهر
۳۰
همه کتاب هایی که توسعه دهندگان به دنبال آنها هستند
اعظم زندى

امروز در تویتر به این لینک برخوردم که نویسنده آن تمام کتاب هایی که یک توسعه دهنده وب ممکن نیاز داشته باشه  رو به صورت دسته بندی شده کنار هم لیست کرده . کتاب ها قابل دانلود هستند بنابراین از دست ندید

نمونه ای از کتاب های معرفی شده :

APIs

CSS3

CMS/CMS’s API

JavaScript

موضوع: برنامه نويسي وب  ۲ پيام‌ها
مهر
۱۰
مایکروسافت و پی اچ پی
اعظم زندى

گاهی دنیای اطراف ما با چنان سرعتی تغییر میکنه که ما حتی تغییر رو احساس نمی کنیم. حداقل برای من ، دیدن هر روزه امکانات جدید در گوگل، یاهو ، ویندوز . . . چنان عادی شده که از کنار آنها حتی بدون تست کردنشون می گذرم . اگر چه بروز بودن برای کسی که زمینه فعالیتش هم آی تی است، امری ضروری محسوب می شود اما گاهی فکر می کنم اگر قرار باشه همه این ها رو بررسی کنم به هیج کاری نمی رسم. که ناگهان شنیدن یک خبر و کمی تحقیق پیرامون آن، من رو با دنیای جدیدی آشنا می کنه .
یکی از این خبر ها دیروز توسط امیل و از طریق سایت PHPCLASSES به دستم رسید . خبری پیراون ابتکارات جدید مایکروسافت برای پی اچ پی کاران با عنوان “مایکروسافت به دنبال افزایش ارتقای مشاغل برای برنامه نویسان PHP ”
همان طور که میدونید بحث انتخاب بین پی اچ پی و محصولات مایکروسافت برای برنامه نویسان تازه کار و طرفداران دو گروه ،سالهاست که ادامه داره و جواب قطعی هم براش وجود نداره. تنها چیزی که من از این بحث ها آموختم اینه که بهتر هیچگاه وارد این بحث نشده و به جای اون زمانم رو صرف افزایش دانش برنامه نویسیم کنم!!
۲ تفکر همیشه در این بحث ها پیش کشیده می شه که قبل از اشاره به اون ها باید اعتراف کنم که هیچکدوم از آونها رو باور ندارم
الف ) با پی اچ پی نمیشه برنامه های بزرگ نوشت
ب ) پی اچ پی کاران حقوقی کمتر از دات نت کاران می گیرند.
به باور من ، گزینه اول شاید نتیجه یک چنگ روانی باشه که طرفداران مایکروسافت برای غلبه بر بازار تلاش در القای اون دارن . نمونه های بسیاری از سایت های بزرگ اجرا شده با پی اچ پی بر روی اینترنت خود گواه این ماجراست. در مورد گزینه دوم هم اعتقاد من بر اینه که هر فردی به اندازه دانش و مهارتش می تونه ارزش خودش رو تعیین کنه . نزدیک به ۷ سال کار در این زمینه و چندین تلاش برای استخدام برنامه نویس نمایش دهنده این واقعیت بود که حداقل در جامعه برنامه نویسان ایرانی در اغلب موارد تناسبی بین شایستگی و حقوق درخواستی فرد وجود ندارد برای این افراد معمولا بهترین انتخاب استخدام در یک محیط دولتی یا نیمه دولتی است که اغلب هم به دلیل عدم رعایت قانون کپی رایت و عدم هزینه بر بودن برنامه ها ، از محصولات مایکروسافت استفاده می کنند گرچه این محیط ها معمولا پیشرفت های شغلی،و دانشی در پی ندارند .
به نظر میرسه آقای مانوئل لموس هم در پاسخ به این دو سوال با من هم عقیده است :

- Is PHP really ready for the enterprise market?

This is a recurring question that we often see being asked among the PHP community. I would say that is the wrong question to ask. Whether PHP is technically ready or not for the enterprise market is not really an issue. Let me explain.

….

I am sure that the problem is not whether PHP is technically ready or not for the enterprise market, but rather the fact that many PHP professionals are not ready to address the needs of larger companies.

I think the greatest problem of those PHP professionals is the (lack of) perception of what are really the needs of those companies.

به عقیده او پی اچ پی برای انجام پروژه های بزرگ آماده است اما این برنامه نویسان هستند که برای انجام پروژه های بزرگ آماده نیستند .

خبری که در ادامه صحبت آقای لموس مطرح میشود امکاناتی است که مایکرو سافت برای پی اچ پی کاران فراهم کرده است . مثل همیشه این بحث حمله شدید طرفداران متن باز و تردید آنها را به همراه داشت .
خوب حالا باید بر گردم به بحث آغازین این پست . با نیم نگاهی به تحولات که در اطرافمون در حال رخ دادن و به همون دلیل که مایکروسافت نتونست بی خیال پی اچ پی شود، ما هم نمی تونیم به همین راحتی از کنار مایکروسافت بگذریم اگر بخواهیم در تحولات آینده سهیم باشیم.
در پایان باید گفت باید با هوشیاری به تحولات اندیشید و از امکانات جدید بهره جست بدون آنکه موقعیت و جایگاهی که در اون هستیم رو از دست بدیم اشتباهی که دلفی انجام داد و منجر به از دست دادن بخش بزرگی از بازارش شد. به عنوان مثال یکی از امکانات مایکروسافت برای پی اچ پی ، toolkit for PHP with ADO.NET Data Services است در حالیکه خود پی اچ پی ایکستنشن های قوی برای ارتباط با انواع پایگاه داده داره .

موضوع: برنامه نويسي وب  پيام بگذاريد.
« نوشته‌ى قبلى