حمله Brute Force دقیقاً چیست؟

تیکو – یکی از روش‌هایی که بسیاری از هکرها برای دسترسی به یک سایت وردپرسی استفاده می‌کنند، انجام یک حمله Brute Force یا حمله جستجوی فراگیر است. مانند هر تلاشی برای هک کردن، هدف این حملات این است که به هکرها اجازه دسترسی به سیستم را بدهد تا بتوانند محتوا را حذف کنند، محتوای خود را اضافه کنند یا سایر اقدامات دلخواه خود را انجام دهند. حمله Brute Force یکی از ساده‌ترین راه‌ها برای دسترسی به یک سیستم است.

برخلاف سایر حملات که بر آسیب‌پذیری‌های نرم‌افزاری و سخت‌افزاری تمرکز دارند، ایده اصلی پشت این نوع هک بسیار ساده است. مهاجم (که معمولاً یک ربات است) تا جایی که ممکن است نام کاربری و رمزهای عبور مختلف را امتحان می‌کند تا رمز عبور را پیدا کند. ممکن است به نظر برسد که این رویکرد کمی طول می‌کشد، اما از آنجایی که بسیاری از افراد از رمزهای عبور پیچیده استفاده نمی‌کنند، واقعا موثر است.

این حملات علاوه بر به خطر انداختن سیستم شما، زمان بارگذاری سایت را نیز کاهش می‌دهند. آنها همچنین می‌توانند به طور کامل سایت شما را دان کنند، زیرا مهاجم معمولاً هر ثانیه چندین رمز عبور را امتحان می‌کند که این ارسال درخواست‌های مکرر به سرور می‌تواند منجر به دان شدن سایت شود.

هدف از حمله Brute Force چیست؟

اگر چه انگیزه‌های زیادی در پشت حملات بروت فورس وجود دارد اما هدف این نوع حملات کاملا مشخص است. هکر قصد دارند با به دست آوردن رمز عبور سایت وردپرس، از آن برای دسترسی به پنل مدیریت استفاده کنند.

دسترسی به پنل مدیریت به این معنی است که مهاجم یا هکر کنترل کامل وب‌سایت را به دست می‌آورد. با به دست گرفتن پنل مدیریت می‌تواند اهداف بعدی را اجرایی کند. این اهداف می‌تواند مختلف باشد از جمله: تخریب سایت یا از بین بردن شهرت وب‌سایت با هدف انتقام‌جویی، سرقت اطلاعات آن، انجام تبلیغات، گسترش بدافزار با تزریق کدهای مخرب به صفحات یا تبدیل وب‌سایت به زیرساخت بدافزار خاص.

تخریب سایت یا از بین بردن شهرت آن

گاهی ممکن است سایت شما هدف حمله انتقام‌جویانه قرار گرفته باشد. در این حالت هکر سعی می‌کند با به دست گرفتن سایت‌تان و وارد کردن اطلاعات ناخوشایند باعث نارضایتی کاربران و در نتیجه از بین رفتن شهرت و اعتبار شما شود.

سرقت اطلاعات سایت

شما در سایت‌تان اطلاعات ارزشمندی دارید که افشای آنها می‌تواند ضررات جبران‌ناپذیری به سایت شما بزند. فاش شدن اطلاعات کاربری مشتریان، یا حتی افشای محصولات دانلودی سایت شما از جمله این ضررهاست.

شاید بپرسید اطلاعات کاربران سایت شما به چه درد هکرها می‌خورد؟ در جواب باید بگویم این اطلاعات برای تبلیغ کنندگان، شرکت‌های تحلیل رفتار کاربران برای ارائه مدل‌های کسب و کار یا دیگر علاقمندان به جمع‌آوری داده‌های شخصی افراد بسیار ارزشمند است. هکرها با دسترسی به این اطلاعات به راحتی می‌توانند آن را به این گروه افراد، بفروشند.

انجام تبلیغات

با دسترسی غیرقانونی به وب‌سایت‌ها، هکرها می‌توانند با پیاده‌سازی تبلیغات در سایت باعث شوند بازدیدکنندگان با مشاهده یا کلیک بر روی آن تبلیغ، برای هکر درآمدزایی کنند. هکرها همچنین می‌توانند ترافیک را به سمت سایت‌های غیرقانونی مملو از تبلیغات تغییر مسیر دهند.

هکرها با بهره‌برداری از مدل‌های تجاری تبلیغاتی و وادار کردن مردم به مشاهده و مقابله با آن‌ها، می‌توانند از هرزنامه‌ها، پول نقد کنند.

گسترش بدافزار

حملات Brute Force اغلب برای پخش ویروس‌ها و سایر بدافزارها در سراسر یک سیستم استفاده می‌شود. بسته به نوع بدافزاری که یک هکر استفاده می‌کند، ممکن است این بدافزار را از طریق سایت شما در سیستم‌های کاربران نیز گسترش دهد و سیستم بازدیدکنندگان را آلوده کند.

سیستم‌ربایی یا اخاذی

هکرها پس از ورود، می‌توانند سایت شما را با باج‌افزاری آلوده کنند. آنها احتمالا دسترسی شما به سایت‌تان را مسدود می‌کنند تا بتوانند با در دست گرفتن کنترل سایت و تهدید به نابودی یا انتشار اطلاعات، از شما اخاذی کنند. در این صورت تا زمانی که هزینه‌ای به هکر پرداخت نکنید، هیچ تضمینی وجود ندارد که بتوانید اطلاعات خود را پس بگیرید.

آیا همچنان هکرها از حملات Brute force استفاده می‌کنند؟

حملات Brute force موثر هستند زیرا بسیاری از کاربران رمزهای عبور امن را انتخاب نمی‌کنند. اگر کاربران هنگام ایجاد گذرواژه از دستورالعمل‌های اولیه پیروی کنند، یا حتی بهتر از آن، از یک تولیدکننده رمز عبور استفاده کنند، احتمال اینکه یک ربات رمز عبور درست را حدس بزند بسیار اندک است. حدس زدن یک رمز عبور به اندازه کافی پیچیده، قرن‌ها طول می‌کشد. اما تا زمانی که افراد از پسوردهایی مانند 123456 استفاده می‌کنند، این نوع حملات کاملا موثر خواهد بود.

شاید به کارتان بیاید: افزودن فیلد تکرار رمز عبور به فرم ثبت نام ووکامرس

در دهه 1970، یک هکر از نظر تئوری می‌توانست تنها هزاران رمز عبور مختلف را در هر ثانیه امتحان کند. اما امروزه، محاسبات مدرن اجازه می‌دهد تا صدها میلیارد تلاش برای ورود به سیستم در ثانیه انجام شود. برای این کار، هکرها از نرم‌افزاری با الگوریتم ساده استفاده می‌کنند که به سرعت و به طور متوالی تعداد زیادی ترکیب کاراکتر از جمله اعداد، فاصله‌ها و حروف را تا حداکثر طول تعریف شده، امتحان می‌کند.

هر چه رمز عبور کوتاه‌تر و ساده‌تر باشد، با روش بروت فورس سریع‌تر می‌توان آن را شکست. به همین دلیل است که به طور کلی بر رمزهای عبور با کاراکترهای مختلف تاکید شده و همچنین توصیه می‌شود از یک سیستم رمزگذاری برای کلیدها یا رمزهای بسیار بزرگ استفاده کنید.

از آنجایی که مقدار قدرت محاسباتی مورد نیاز برای انجام یک حمله Brute force بیشتر و بیشتر در دسترس قرار می‌گیرد، به این معنی است که تلاش برای حمله می‌تواند در مدت زمان کوتاه‌تری انجام شود.

با توجه به تعداد درخواست‌های ارسالی بالقوه، یک حمله بروت فورس در واقع می‌تواند مانند یک حمله DDoS وردپرس عمل کند و بسیاری از سایت‌ها را به دلیل استفاده زیاد از پردازنده و حافظه رم از کار بیندازد.

آیا حملات Brute force مخصوص وردپرس است؟

مسلما نه! هر جایی که برای استفاده از آن نیاز به وارد کردن نام کاربری و رمز عبور است، می‌تواند طعمه مناسبی برای این نوع حملات باشد. شاید به نمایش درآمدن صفحه ورود برای شما به معنی ورود به حساب کاربری‌تان باشد اما از دید هکرها این صفحه محلی برای نفوذ به حساب کاربری دیگران است.

باید بدانید این‌گونه حملات فقط مخصوص وردپرس نیست، بلکه هر سایت یا نرم‌افزار تحت وبی یک هدف بالقوه برای اینگونه حملات است، مانند شبکه‌های اجتماعی، ایمیل‌ها و …

اما نکته‌ای که باید به آن توجه کرد این است که هکرها معمولا به دنبال محبوب‌ترین پلتفرم‌ها می‌روند تا شانس موفقیت خود را افزایش دهند. از آنجاییکه وردپرس هم بسیار محبوب است، بنابراین یکی از اهداف مورد علاقه مهاجمین است.

هکرها از چه سیستمی برای حملات Brute force استفاده می کنند؟

هر کسی که علاقه و دانش کمی دارد می‌تواند ابزار رمزگشایی حمله جستجوی فراگیر را به دست آورد. چرا که این حملات در واقع توسط نوعی نرم‌افزار انجام می‌شود که به طور خودکار حمله را ترتیب می‌دهد.

البته ترتیب دادن یک حمله Brute Force  همه جانبه و در سطح کلان با کامپیوترهای معمولی امکان‌پذیر نیست. حتی اگر لپ‌تاپ یا کامپیوتر با سخت‌افزارهای قدرتمند رایج بازار را هم داشته باشید، باز هم امکانات لازم برای این کار را در اختیار ندارید.

هکرهای معمولی نمی‌توانند یک منبع قدرتمند کامپیوتری برای شکستن رمز عبور تهیه کنند. اما فراموش نکنید امروزه، بسیاری از مجرمان سایبری متعلق به گروه‌های دارای بودجه خوب و سازمان‌دهی شده با دسترسی به بهترین تکنیک‌های شکستن رمز عبور هستند.

انواع حمله Brute force

پنج نوع معمولی از حملات Brute force وجود دارد: حملات ساده، حملات فرهنگ لغت، حملات ترکیبی، حملات معکوس و بازیافت اعتبارنامه.

حمله Brute force ساده

حملات بورت فورس ساده به قدرت محاسباتی یا نبوغ کمی نیاز دارند. آنها به‌طور سیستماتیک از ترکیب کلمات، حروف و کاراکترها استفاده می‌کنند تا زمانی که وارد شوند. گذرواژه‌های طولانی و پیچیده فراتر از محدوده حملات ساده هستند، که معمولاً به تغییرات در رایج‌ترین یا محتمل‌ترین رمزهای عبور محدود می‌شوند.

یک حمله بورت فورس ساده به قدری ساده و آسان است که می‌توان آن را به صورت دستی نیز انجام داد، اگرچه این امر بدیهی است که زمان بیشتری نیاز دارد. اما یک ربات به راحتی می‌تواند رمز عبور قابل پیش‌بینی را به دفعات اعمال کند.

حملات Brute force ساده هنوز هم موثر هستند زیرا بسیاری از کاربران کمتر آشنا به اینترنت متوجه خطر استفاده از رمزهای عبور ساده نیستند. افراد دیگر ممکن است ترجیح دهند امنیت خود را با گذرواژه‌های ساده به خطر بیندازند تا اینکه مجبور به به خاطر سپردن گذرواژه‌های طولانی‌تر و پیچیده‌تر شوند. اگر در ردیابی رمزهای عبور خود مشکل دارید، باید از یک نرم‌افزار مدیریت رمز عبور خوب استفاده کنید.

حملات دیکشنری یا فرهنگ لغت

حملات دیکشنری با استفاده از یک فرهنگ لغت دیجیتال یا فهرست کلمات به عنوان کمک، رمزهای عبور مبهم‌تری را هدف قرار می‌دهند. انتخاب کلمه مبهم‌تر برای رمز عبور می‌تواند شما را از حملات هکری ساده در امان نگه دارد، زیرا بسیاری از هکرها اگر خیلی طول بکشد، تسلیم می‌شوند. اما استفاده از کلمات مبهم یا پیچیده‌تر، شما را از حملات فرهنگ لغت در امان نگه نمی‌دارد.

حملات دیکشنری سعی می‌کنند رمز عبور شما را با چرخش هر کلمه، ترکیبات رایج آن کلمه با کلمات دیگر، تغییرات املایی و کلمات در زبان‌های مختلف حدس بزنند. اگر از یک کلمه برای رمز عبور خود استفاده می‌کنید، حمله بروت فروس فرهنگ لغت در چند ثانیه موفق خواهد شد.

هکرها برای بهبود این روش و سریع‌تر پیدا شدن پسورد مورد نظر از روشDictionary Attack  استفاده می‌کنند. در این روش به جای بررسی تمام حالت‌های ممکن تنها عبارت و کلماتی که به طور معمول برای پسوردها استفاده می‌گردد، (نظیر اسامی اشخاص و یا مکان‌ها و…) و یا پسوردهای ساده‌ای که توسط کاربران مبتدی استفاده می‌گردد مانند کلمه password، 123456، abc123،qwerty  و … بررسی می‌شود. این روش بسیار کارآمدتر خواهد بود و شانس یافتن پسورد را زیاد کرده و در عین حال زمان کمتری صرف می‌شود. به همین دلیل است که برخی از بدترین رمزهای عبور عبارتند از اعداد متوالی مثل 123456، نام، شماره موبایل یا تاریخ تولد یک شخص، یا کلمه password که هنوز هم به طرز شگفت‌انگیزی محبوب است.

حملات هیبرید یا ترکیبی بروت فورس

حملات Brute force هیبریدی یا ترکیبی، حملات بروت فورس ساده و حملات فرهنگ لغت را ترکیب می‌کنند. رمزهای عبور رایج با کلمات فرهنگ لغت همراه با کاراکترهای تصادفی ترکیب می‌شوند تا پایگاه داده بزرگتری از ترکیب رمزهای عبور ایجاد شود. رمز عبوری مانندp@$$w0rd  ممکن است یک حمله فرهنگ لغت را فریب دهد، اما دفاع کمی در برابر یک حمله ترکیبی ارائه می‌دهد.

هکرهایی که از حملات ترکیبی استفاده می‌کنند، استراتژی حمله خود را سفارشی می‌کنند، نه اینکه به سادگی هر کلمه را یک به یک امتحان کنند. نفوذگر می‌داند که چه ترکیب‌هایی بر اساس فهرست‌های کلمات، اطلاعات جمعیت‌شناختی هدف و دانش عمومی از رفتار انسانی به احتمال زیاد، بیشتر است. سپس حملات خود را اولویت‌بندی می‌کنند تا ابتدا این ترکیب‌ها را هدف قرار دهند.

حملات بروت فورس معکوس

حملات Brute force معکوس، ترتیب عملیات‌ها را معکوس می‌کنند. یعنی آنها با یک رمز عبور رایج یا شناخته شده شروع می‌شوند و در عوض سعی می‌کنند نام کاربری را به صورت بروت فورس اعمال کنند. گذرواژه‌های ناشی از نقض داده‌ها گاهی اوقات به صورت آنلاین درز پیدا می‌کنند، و زمانی که رخ می‌دهند، اغلب برای انجام حملات معکوس استفاده می‌شوند.

بسیاری از مردم هرگز امنیت را برای نام کاربری خود در نظر نمی‌گیرند، که باعث می‌شود هک کردن نام‌های کاربری، بیشتر از آنچه به نظر می‌رسد سودآورتر باشد.

بازیافت اعتبارنامه

آخرین نوع حمله بروت فورس استفاده از اطلاعات کاربر در سایت‌های دیگر است. این نوع حمله زمانی اتفاق می‌افتد که یک هکر با موفقیت نام کاربری و رمز عبور شما را از سایت دیگر به دست می‌آورد و سپس سعی می‌کند با اطلاعات مشابه وارد حساب شما در سایت‌های دیگر یا سایت وردپرسی خودتان شود. به همین دلیل است که هرگز نباید رمزهای عبور یکسانی برای حساب‌هایتان استفاده کنید یا آنها را در مرورگر خود ذخیره کنید.

اگر از رمز عبور یا نام کاربری مشابهی در چندین سایت استفاده می‌کنید، همانطور که بسیاری از ما انجام می‌دهیم، اگر فقط یکی از آنها به خطر بیفتد، هیچ یک از حساب‌های شما ایمن نخواهد بود.

چگونه از سایت وردپرسی خود در برابر حمله Brute Force محافظت کنیم؟

آیا می‌خواهید از سایت وردپرس خود در برابر حملات Brute Force محافظت کنید؟ شاید برای‌تان جالب باشد که حملات بروت فورس تا حد زیادی به شانس و اقبال هکر هم بستگی دارد. هکر هر چقدر خوش‌شانس باشد، احتمال موفقیتش در حمله بروت فورس بیشتر می‌شود!

اما نگران نباشید؛ با انجام یک‌سری اقدامات پیشگیرانه، می‌شود حتی هکرهای خیلی خوش‌شانس را هم در ورود به سایت‌های وردپرسی ناکام گذاشت. گرچه بارها تاکید کرده‌ام امنیت هرگز 100درصدی نیست اما می‌توان احتمال نفوذ را تا حد زیادی کاهش داد.

روش‌های جلوگیری از حملات Brute Force در سایت‌های وردپرسی

من پیش‌تر در مقاله امنیت وردپرس نکات مهمی را در باب بکارگیری روش‌هایی برای امن کردن این سیستم مدیریت محتوا گفته‌ام. اما بدانید که انتخاب رمز عبور مطمئن، اولین خط دفاعی در برابر حملات Brute Force است. رمزها باید شامل حروف بزرگ و کوچک و اعداد و کاراکترهای خاص باشند و از کلمات معنی‌دار و قابل حدس در رمزهای عبور استفاده نکنید.

همچنین انتخاب رمزهای عبور منحصر به فرد برای حساب کاربری سایت وردپرسی به طوری از آن در حساب‌های دیگرتان استفاده نکرده باشید و ذخیره ایمن آنها هم می‌تواند بسیار در این زمینه کمک کند.

استفاده از CAPTCHA و دیگر سیستم‌های مشابه برای چک کردن انسان بودن کاربران، احراز هویت چند مرحله‌ای با استفاده از نرم‌افزارها و پلاگین‌های امنیتی، استفاده از سیستم‌های توزیع محتوا با قابلیت مسدود کردن IPهای مشکوک، تغییر صفحه ورود پیش‌فرض ادمین سایت، عدم استفاده از نام کاربری admin و ایجاد محدودیت برای تعداد دفعات ورود نام کاربری و رمز عبور می‌تواند به کاهش این حملات کمک کند.

با توجه به اینکه در وردپرس چیزی برای مقابله با حملات Brute Force تعبیه نشده نیاز است که از افزونه‌های امنیتی استفاده کنید. امروزه با نصب یک افزونه خوب امنیتی وردپرس می‌توانید تمام تنظیمات لازم را اعمال کنید تا نگرانی از بابت حملات بروت فورس نداشته باشید. افزونه iThemes Security با بیش از 30 ماژول امنیتی عملکرد فوق‌العاده‌ای در برابر حملات Brute Force دارد.

در پایان

حملات Brute Force می‌تواند سرعت وب‌سایت شما را بسیار کند، کند، آن را غیرقابل دسترس کرده، کنترل آن را به هکر داده و حتی در سایت‌تان بدافزار نصب کند. پس باید همواره سایت وردپرسی خود را ایمن نگه دارید. چرا که پس از هک شدن شاید برای جبران دیر شده باشد.

از آنجایی که سایت‌های وردپرسی به علت محبوبیت بالایی که دارند، هدف حمله هکرها هستند پس شما نیاز به یک استراتژی امنیتی دارید که افزونه iThemes Security Pro بهترین و قابل اعتمادترین انتخاب برای جلوگیری از هک وردپرس و مقابله با حملات بروت فورساست.