human
Comment les pirates trouvent-ils/obtiennent-ils un accès « dérobé » aux sites Web, aux bases de données, etc. ? Ce qui m'a fait réfléchir à ce sujet, c'est l'émission télévisée Suits, où quelqu'un a *piraté* la base de données d'une université et y a ajouté des enregistrements. S'il vous plaît, expliquez-moi comme si j'avais cinq ans.
gpt
Les portes dérobées sont intentionnellement mises en place par le créateur du logiciel. Cela peut être fait avec de bonnes intentions, comme un FAI voulant que son personnel d'assistance puisse accéder à votre routeur lorsque vous l'appelez pour obtenir de l'aide, ou cela peut être fait avec des intentions malveillantes, comme un employé voulant revenir dans une entreprise. Peu importe les intentions, c'est une mauvaise idée de donner accès à quiconque le trouve. Aujourd'hui, les sites Web sont généralement piratés à l'aide de quelque chose appelé injection SQL (base de données) ou Cross Site Scripting (SQLi ou XSS). SQLi peut se produire par exemple lorsqu'un formulaire de connexion ne nettoie pas son entrée et que vous pouvez entrer un caractère qui termine l'instruction SQL que le site Web est censé exécuter et continue à la place d'exécuter le code que vous entrez dans le formulaire. Ainsi, au lieu de lui faire vérifier si votre mot de passe correspond à celui de la base de données, vous pouvez lui faire vérifier si 1 est égal à 1 et puisque c'est vrai, il continue à vous connecter au site. XSS apparaît souvent sur des sites où les utilisateurs peuvent publier du contenu, comme des commentaires, lorsque ce contenu peut contenir du code. Vous pouvez ensuite ajouter du JavaScript pour accompagner votre commentaire qui peut être utilisé pour n'importe quoi, de la création d'une fenêtre contextuelle dans le navigateur des utilisateurs qui lisent le commentaire, au vol des cookies de leur navigateur afin de détourner leur session de connexion et de faire semblant d'être leur . Lorsque vous entendez parler de gros hacks ciblant une entreprise ou une entité gouvernementale, cela se fait le plus souvent par ingénierie sociale. Cela signifie essentiellement que vous parlez à votre guise. En pratique , cela peut signifier que vous demandez à quelqu'un de l' entreprise d' utiliser une clé USB contenant votre code malveillant ou quelque chose d' aussi simple que d' appeler et de prétendre que vous êtes le PDG demandant le mot de passe , ce qui était le cas lorsque l' un des plus grands les sous-traitants du renseignement aux États-Unis ont été piratés il y a quelques années. edit : correction de la différence entre sqli et xss .