touch /home/username/.ssh/config

ثم ضع فيه الآتي
Host IPADDR
Port #
User USERNAME

أبدل IPADDR بالعنوان الحقيقي لخادم svn
أبدل # برقم المنفذ الذي تستمع عليه خدمة ssh على الخادم البعيد
أبدل USERNAME باسم المستخدم على خادم ssh

مثال
Host 1.1.1.1
Port 8022
User mtafran

الآن من الحاسوب المحلّي نفّذ الأمر التالي:
svn co svn+ssh://1.1.1.1/my/project local

ستضطر إلى إدخال كلمة المرور أكثر من مرّة ولكن بعدها سوف يتم إنشاء المجلد ووضع الملفات التي تمّ سحبها من المخزن فيه.

قد يكون هناك طرق أخرى أفضل لعمل ذلك ولكنّي وجدّت هذه الطريقة سهلة والأهم من ذلك أنهّا تعمل. إن كان لديكم طرق أخرى للقيام بنفس المهمّة فحبّذا لو تشاركونا فيها.

عند زيارة صفحة تحتوي هذا الكود المستخدم (الزائر) لن يلاحظ أي شيء ولكن في الخفاء سيتمّ الاتصال بالموقع السيء من أجل الحصول على تعليمات. الموقع المذكور مصنّف على أنه malware يقوم بالاتصال بالمنزل للحصول على تعليمات. هذه التعليمات قد تكون سرقة بيانات خاصّة مثل الكوكيز وقد تكون عبارة عن تحميل لبرنامج سيء على حاسوب الزائر دون علمه. استخدم خيالك لما قد يكون البرنامج.

هذا المعطيات لم تجب على سؤال كيف ظهر هذا الكود ويدأ بالانتشار مما استدعى عمل بحث شامل على جذر المشكلة. بدأت العملية ببحث عن كافة ملفات PHP بعد ذلك قمت باختيار ملف من الملفات حسب اسمه (للاسف لا استطيع ذكر اسم الملف) والذي اعرف أن هناك اصدارات منه تحتوي على ثغرات تسمح بعمل حقن XSS ووجدّت فيه الكود التالي:

كلمة body هي نهاية الكود الأصلي وبداية الكود السيء. الكود اعلاه موجود في صفحات موقع مشهور ويزوره عدد كبير من الزّوار يوميّاً. كل زائر من زوار الموقع معرّض لاستقبال الكود السيء بمجرد زيارة الصفحة التي تحتوي هذا الكود. فقط من يستخدم NoScripts في فايرفوكس ولديه تعطيل iframe من المحتمل أن ينجو من هذا الاختراق. (بعد انتهاء الفصل الدراسي الحالي سأقوم إن شاء الله بتجهيز مختبر واستخدام الكود الذي وجدّته من اجل الاتصال بالموقع ومعرفة تفاصيل أكثر حول ما يقوم به بالضبط.)

اختبرت وتعاملت مع XSS لفترة ولكن كل ذلك كان يتم داخل مختبر وليس على موقع يعمل. هذه تجربة اعطتني نظرة عن قرب لمدى خطورة هجمات XSS. لا يوجد استثناءات في الاستهداف قبل يومين تمّ اكتشاف ثغرات في موقعي أشهر شركتان في مجال أمن المعلومات سيمانتك و كاسبرسكي.

معلومات اكثر حول الثغرة في موقع سيمانتك يمكنكم الحصول عليها من هذا الموقع.

أي شخص معرض ليكون ضحيّة من ضحايا XSS فمثلاً موقعك المشهور قد يكون فيه ثغرة XSS أنت تقوم بزيارته وتتعرض للإصابة. قد يكون موقع مزوّد خدمة الانترنت لديك.

العام الماضي شهد موجة هائلة من حقن iframe داخل صفحات مشهورة عن طريق تسميم نتائج البحث في غوغل.

سواء كنت مستخدم لينكس ماك ويندوز أو غيره أنت معرض لهكذا هجمات. قد تتراوح درجات الخطورة ولكن الخطر لا يزال قائم وأقلّه سرقة بيانات شخصيّة خاصة بك مثل الكوكيز. انتبه للمواقع التي تزورها. حتى لو زوّدك صديق به عن حسن نيّة. فلا يوجد ضمانات أنّ الموقع آمن.

لاحظ الشكل التالي (1):

الشكل الأول

في الشكل أعلاه قام المستخدم عبد الرحمن بعمل اتصال مع الكاش طالباً منه الحصول على أهلاً وسهلاً لاحظ كلمة GET كل جزء من الصفحة يتم طلبه من الخادم ـأو الكاش- باستخدام هذا الأمر، المستخدم بطبيعة الحال لا يشاهد ذلك لأنه يتم في الخلفية. الآن لأن الكاش لا يحتوي الصفحة التي طلبها المستخدم، قام الكاش بالاتصال بالخادم طالباً منه أهلاً وسهلاً. يقوم الخادم عند استلام الطلب بالرّد على الكاش أن طلبه موجود وهذا معنى 200 OK ويرفق معه طلبه (وهو في هذه الحالة أهلاً وسهلاً). يستلم الكاش هذا الطلب ويقوم بإرساله لعبد الرحمن بنفس الطريقة 200 OK وأهلاً وسهلاً. الآن لو قام شخص يدعى عبد الله بطلب نفس الصفحة يرسل طلبه إلى الكاش ويقوم الكاش بالرد عليه كون طلبه موجود لديه وهو ما يوفر وقت الطلب من الخادم وانتظار رده.

صفحات الإنترنت تعرف أين موقع كنت فيه (وبدون جافا سكريبت)، أين سجّلت دخول، ماذا شاهدت على يوتوب، والآن بإمكانهم رؤيتك وسماعك عبر ما يعرف ب Clickjacking + Adobe Flash. تفاصيل العملية التقنيّة لم يتم الإفصاح عنها بناءاً على طلب شركة Adobe. مسؤولية حلّ هذه المشكلة الأمنية لا تقع على عاتق المزود (شركة Adobe) فقط، بل تقع على عاتق الجميع من مزودي المتصفحات إلى أصحاب المواقع والمستخدمين كلهم لديهم حلولهم الخاصّة والتي تساعد في التقليل من أثر التهديد في حال فشل البعض في تأمين الحماية المطلوبة.

المشكلة في ال Clickjacking هو أنه يجعل من أي حاسوب موصول به ميك و ويب كاميرا جهاز مراقبة عن بعد بشكل مخفي عن صاحب الحاسوب وبنقرة فأرة واحدة. تخيل ماذا يعني هذا الأمر بالنسبة للحكومات (تجسس) والأفراد (لا خصوصية) إلخ…يقوم المهاجم (الهكر السيء) بإرسال بريد إلكتروني إلى الهدف وعندها يتمكن من أخذ صورة مباشرة لهذا الهدف مخترقاً طرق الحماية التقليدية التي تعمد على tokens. الفيديو المرفق يظهر مثال لهذه العملية.

الكشف عن هذا التهديد جاء في عرض ل OWASP، حيث وصفها أحد المشاركين بأنها 0-day” (في عالم الهكرز هو الهجوم من خلال استخدام ثغرة لم يتم إغلاقها أو عمل patch لها) وهو يصيب كل متصفحات الانترنت المعروفة باستثناء ما يشبه lynx (برنامج تصفح من خلال سطر الأوامر) ولا علاقة له بالجافا سكريبت بمعنى لو تمّ تعطيل خاصّية الجافا السكريبت إمكانية التأثر بال clickjacking لا تزال قائمة.” حسب هانسن تمّت مناقشة الموضوع مع كلٍّ من مايكروسوف و موزيلا وكلتا الشركتين أجمعتا (بشكل منفصل) على أنها مشكلة وصعبة ولا يوجد لها حل بسيط الآن.

جورجي ماوني مطور NoScript (وهي إضافة يمكن تنصيبها على متصفح فايرفوكس) أرسل رسالة إلى موقع zdnet الشهير حول الموضوع وهذا باختصار ما قاله:

“اطلعت على معلومات تفصيليّة حول الثغرة وهي بالفعل مخيفة جدّاً. NoScript بالوضعية الإفتراضية يمكنها التغلب على غالبية سناريوهات الهجوم، لحماية 100% عن طريقة NoScript يجب أن يختار المستخدم خاصية Plugings | Forbid <IFRAME>”

أحد المسؤولين (لمزود يأثر هذا التهديد على منتج شركته) قال بأنه من شبه المستحيل إصلاحها بطريقة سلمية ( من عندي على الأقل في الوقت الحالي).

الفيديو

فيديو توضيحي

مثال توضيحي آخر

http://www.breakingpointsystems.com/community/blog/clickjacking/real-clickjacking

الحلّ المؤقت الآن:

1- عطل كل الإضافة ( Plugings ).
2- استخدام فايرفوكس مع NoScript.

كل الموقع مهددة حتى الشهيرة منها ولا تحتاج من المستخدم الضغط على وصلة في بريد إلكتروني فيكفي أن يكون الموقع الشهير يظهر إعلان على إحدى صفحاته ويكون هذا الاعلان من مصدر غير موثوق او تم اختراقه حتى ينجح المهاجم في استخدام الثغرة وبالتالي كن حذراً.

الموضوع خطير ولذلك ارجو من الإخوة الانتباه لهذا الموضوع ونشر المقال (من لديه أفضل فليتفضل مشكوراً) على نطاق واسع.

هناك وعد من شركة Adobe بحلّ الثغرة قبل نهاية الشهر الحالي.

المراجع

1- http://jeremiahgrossman.blogspot.com/2008/10/clickjacking-web-pages-can-see-and-hear.html
2- http://blogs.zdnet.com/security/?p=1973
3- http://www.breakingpointsystems.com/community/blog/clickjacking/real-clickjacking
4- http://en.wikipedia.org/wiki/Zero_day_attack
5- http://www.thetechherald.com/article.php/200841/2215/Adobe-promises-Clickjacking-fix-before-the-end-of-October

والله من وراء القصد

بحمد الله وفضله عثرت على موقع يشرح ما أريد بالضبط. وإليكم مختصر الطريقة.

هذه الطريقة جرّبت على نظام لينكس Ubuntu مع PHP 5

ما هو مطلوب من أجل عمل ما نريد؟

$sudo aptitude update
$sudo aptitude install php5-dev php5-cli php-pear buid-essential \
$openssl-dev zlib1g-dev

الاوامر اعلاه ستقوم بتنصيب الحزم التي نحتاج إليها إذا كانت هذه الحزم موجودة على نظامك فلا داعي للأمر الثاني.

ثم قم بتنزيل مكتبة libssh2 من موقع sourceforge

cd /usr/src
wget http://surfnet.dl.sourceforge.net/sourceforge/libssh2/libssh2-0.14.tar.gz
tar -zxvf libssh2-0.14.tar.gz
cd libssh2-0.14/
./configure
make all install

لاحظ أن الحزم التي نحتاج إليها هي 2-0.14 لقد قمت بتجربة آخر اصدارة وهي الان 0.18 ولكن لم تعمل.

اللآن نحتاج إلى ربط libssh2 مع PHP لعمل ذلك ننفذ الامر التالي

pecl install -f ssh2
بعد ذلك نحتاج الى اضافة الامتداد الى ملفي php.ini في

/etc/php5/cli/php.ini, و /etc/php5/apache2/php.ini
موقع هذه الملفات قد يختلف اذا كنت تستخدم نظام آخر غير Ubuntu

اضف هذا السطر الى الملفين اعلاه

extension=ssh2.so
موقع السطر في الملفين السطر 515 او حوله

الان اصبحنا جاهزين لاستخدام هذه الخاصيّة

هناك طريقتان لاستخدام هذه الخاصية:
1- خاصية التنفيذ وهي الخاصية المفضلة
2- خاصية الشل

1- خاصية التنفيذ: تقوم بتنفيذ أمر وارجاع النتيجة الى السكريبت

<pre lang=”php” “>
if (!function_exists(“ssh2_connect”)) die(“function ssh2_connect doesn’t exist”);
// log in at server1.example.com on port 22
if(!($con = ssh2_connect(“server1.example.com”, 22))){
echo “fail: unable to establish connection\n”;
} else {
// try to authenticate with username root, password secretpassword
if(!ssh2_auth_password($con, “root”, “secretpassword”)) {
echo “fail: unable to authenticate\n”;
} else {
// allright, we’re in!
echo “okay: logged in…\n”;
// execute a command
if(!($stream = ssh2_exec($con, “ls -al” )) ){
echo “fail: unable to execute command\n”;
} else{
// collect returning data from command
stream_set_blocking( $stream, true );
$data = “”;
while( $buf = fread($stream,4096) ){
$data .= $buf;
}
fclose($stream);
}
}
}
</pre>

الأمر أعلاه ان يظهر النتيجة ولكن سيقوم بتخزينها في متغير data اذا ارد اظهار النتيجة فقط اضف السطر التالي قبل نهاية السكريبت

echo $data;
2- خاصية الشل خاصية متقدمة حيث انها تقوم بفتح شل فعلي النظام الذي نعمل اتصال معه

if (!function_exists(“ssh2_connect”)) die(“function ssh2_connect doesn’t exist”);
// log in at server1.example.com on port 22
if(!($con = ssh2_connect(“server1.example.com”, 22))){
echo “fail: unable to establish connection\n”;
} else {
// try to authenticate with username root, password secretpassword
if(!ssh2_auth_password($con, “root”, “secretpassword”)) {
echo “fail: unable to authenticate\n”;
} else {
// allright, we’re in!
echo “okay: logged in…\n”;

// execute a command
if(!($stream = ssh2_exec($con, “ls -al” )) ){
echo “fail: unable to execute command\n”;
} else{
// collect returning data from command
stream_set_blocking( $stream, true );
$data = “”;
while( $buf = fread($stream,4096) ){
$data .= $buf;
}
fclose($stream);
}
}
}

أسأل الله أن يكون في ذلك فائدة لكم. إن كانت لديكم اقترحات او طرق أفضل فلا تبخلوا بها