Chapter lll ใช้ ZAP บุกทะลวงประตูบ้านด้วย Brute force attack

Brute force attack

  ชื่อนี้อาจจะคุ้นหู Admin หลายๆคนที่ทำ Log ตรวจสอบว่าใครกรอกรหัสผ่านเข้าบ้านเรามาบ้าง ล่าสุดผู้เขียนเอาไปลองกับระบบตัวเองจน Log ล้นเป็นขยะจนต้องปิดการแจ้งเตือนออกไป สำหรับ ZAP นั้นจะมีฟีเจอร์หลักๆ อยู่มากมาย ในแชปเตอร์นี้ผู้เขียนจะขอเปิดประเดิมด้วยการรีวิวฟีเจอร์ทะลวงประตูบ้านสุดเกรียนอย่าง Brute force attack 

วอสอิ๊สสส Brute force attack?

   ชื่ออย่างเท่จริงๆ เรียก Random Password จะเข้าใจง่ายกว่า Brute force attack จริงๆแล้วมันเป็นการโจมตีแบบเดารหัสผ่านโดยการสุ่มไปเรื่อยๆ ซึ่งการทำจะใช้โปรแกรมทำให้การโจมตีทำได้เร็วกว่ามานั่งลองผิดลองถูกทีละตัว นอกจากจะทำให้เว็บมีความเสี่ยงในการที่จะถูกแฮ็กแล้ว ยังทำให้โหลดบนเว็บเราเพิ่มขึ้นอีกด้วย

มันทำงานอย่างไร ?

   ง่ายๆเลย ส่วนใหญ่จะใช้ user: admin pass แล้วแต่จะตั้ง hacker ก็เดาจาก user: admin สุ่มรหัสไปเรื่อยๆ แบบถึกๆ ยกตัวอย่างประมาณนี้

• ถ้าคุณใช้รหัส  admin ก็จบกันเพราะมันเป็นอันแรกที่จะใช้เดา
• ถ้าใช้ ตัวเลข 4 ตัว 1234 ก็ใช้เวลาในการเดา 11.11 วินาที
• ถ้าใช้ 123456 ก็ใช้เวลาในการเดา 18.52 นาที 
• ถ้าใช้ วันเดือนปีเกิด 00 00 0000 ใช้เวลา 1 วัน
• ถ้าใช้ เบอร์มือถือ 0891234567 ใช้เวลา 4 เดือน
• ถ้าใช้ตัวอักษรใหญ่ เล็ก อักขระ และตัวเลข แต่ใช้แค่อย่างละตัว แบบนี้ Wz%5 ใช้เวลาเดา 22.87 ชั้วโมง

จริงๆข้อมูลนี้ ถูกอ้างอิงมานานมากแล้ว ปัจจุบันมีเทคโนโลยีอย่างคอมพิวเตอร์ระบบควอนตัมเร็วกว่า PC ถึง 100 ล้านเท่า ทำให้การถอดรหัสที่ใช้เวลาเป็นปีอาจเหลือเพียง 10 วินาทีเลยก็เป็นไปได้

แนวทางแก้ไขหละ?

จริงๆ สามารถทำได้หลายทางมาก เช่น

- ป้องกันโดยการใช้ Recaptcha [อ้างอิง]

- ป้องกันโดยการบล็อกไอพี 

สำหรับการบล็อคไอพีไม่แนะนำเพราะยังไงถ้าคนมันจะเอาก็เปลี่ยน IP สุ่มมาใหม่อยู่ดี ดังภาพ

เจอแบบนี้บล็อคยังไงก็ไม่มีประโยชน์

ถ้าเอาแบบง่ายๆ สบายๆ ก็แค่เปลี่ยนรหัสให้มันยากๆ นั่นแหละครับ แต่ควรอยู่ในเงื่อนไขดังนี้

• Uppercase Alphabet (เช่น A B C D …)
• Numeric  (เช่น 1 2 3 4 …)
• Special Character  (เช่น ! @ # $ % ^ & * ( ) [ ] – _ +)

แต่ยังไงก็ควรที่จะเปลี่ยนรหัสผ่านเป็นประจำ ไม่ควรใช้รหัสเดิมๆซ้ำๆ เป็นเวลานาน เพียงแค่นี้ก็ไม่ต้องกังวลอะไรแล้ว ปล่อยมัน Random มาเถอะห้ามยังไงก็หยุดไม่อยู่

เอาหละครับถือว่าเป็นตัวอย่างคร่าวๆสำหรับหนึ่งฟีเจอร์หลักใน ZAP สำหรับบทต่อไปผู้เขียนยังคงรีวิวฟีเจอร์หลักๆของ ZAP อีกเช่นเดิม ติดตามต่อได้ใน Chapter IV ค้าบ