میں پچھلے ہفتے ایک فائنج کیٹ کا تجزیہ کر رہا تھا جب میں نے HTML میں کچھ محسوس کیا کہ وہاں نہیں ہونا چاہئے تھا: ایک چھپا ہوا فارم فیلڈ جس میں کوئی قابل دیکھنے کا مقابلہ نہیں ہے. کوڈ کے دیگر حصوں نے ماؤس کی حرکتوں، ٹیبلٹ پرنٹز، اور انسانی رویے کی تصدیق کرنے کے لئے کلکس کی نگرانی کی. لیکن نیچے دفن ایک چھپا ہوا انٹرویو فیلڈ فارم میں پروگرام طور پر شامل کیا گیا تھا، صارفین کے لئے غیر قابل دیکھ بھال، فیلڈ کا نام " ویب سائٹ": // Hidden honeypot field for bots
const honeypot = document.createElement('input');
honeypot.type = 'text';
honeypot.name = 'website';
honeypot.style.display = 'none';
form.appendChild(honeypot);

// Check if honeypot was filled (by bots)
form.addEventListener('submit', function() {
    if (honeypot.value !== '') {
        emailError.textContent = 'Security check failed.';
        emailError.style.display = 'block';
        return false;
    }
}
 یہ UI کا حصہ نہیں تھا. قربانی اسے کبھی نہیں دیکھ سکے. لہذا یہ وہاں کیوں تھا؟ کیونکہ یہ قربانیوں کو پکڑنے کے لئے ڈیزائن نہیں کیا گیا تھا. It was designed to catch us. نامعلوم Tripwire ایک سائبر دھمکی شکار کے طور پر، میں ہر ماہ دکاندار سائٹس کی دہائیوں کا تجزیہ کرتا ہوں. سب سے زیادہ یا تو گہری کاٹ اور پٹ ملازمتیں یا سائن اپ فائنج کیشن کیٹ ہیں. ہدایت کے صفحے کو کافی ناپسندیدہ نظر آتا تھا: ایک صاف، کارپوریٹ سٹائل کی درخواست کرتا ہے کہ صارف کو آگے بڑھنے سے پہلے "آپ کی ای میل ایڈریس کی جانچ پڑتال کریں": لیکن یہ کمپنیاں تھوڑا مختلف تھیں جیسا کہ انتظار کیا گیا تھا، اس فیلڈ کے مواد کو Adversary-in-the-Middle کیٹ پر بھیجا گیا تھا، اس لئے کہ ای میل فیلڈ کو کریڈٹ کی درخواست پر پیش فائل کرنے کے لئے. لیکن جب میں DOM کی جانچ پڑا، میں نے یہ پایا کہ کیا rendered کیا گیا تھا اور کوڈ میں کیا موجود تھا. ٹھیک ہے، یہ ہیڈپٹ فیلڈ تکنیک اصل میں نیا نہیں ہے، اور حقیقت میں، اس میں ایک قانونی نسل ہے. ویب ڈویلپرز 2000s کے آغاز سے ہیڈپٹ فیلڈز کا استعمال کرتے ہیں رابطہ فارمز اور رجسٹریشن صفحات کی حفاظت کرنے کے لئے. منطق عمدہ ہے: انسان چھپے میدان کو نہیں دیکھ سکتے ہیں، لہذا وہ اسے خالی چھوڑ دیتے ہیں. سپیم بوٹز HTML کو پینس کرتے ہیں، ایک انٹرویو کو دیکھتے ہیں جو " ویب سائٹ" کہا جاتا ہے، اور اس کے ساتھ ایک URL کو مکمل کرتے ہیں. یہ ایک شاندار، منسلک دفاع ہے. کوئی CAPTCHA ٹھنڈا یا صارف کی پریشانی نہیں، صرف خود کار طریقے سے بدعنوانی کو پکڑنے کے لئے ایک سکون پھوٹ ہے. اور ہم یہاں دیکھتے ہیں کہ کس طرح فائنج آپریٹرز نے ہمیں پکڑنے کے لئے، لائن کے لئے اس کاپی کیا ہے. یہاں ان کے کنکشن میں یہ کیسے کام کرتا ہے: rudimentary security scanners parse raw HTML.When they encounter an input field, their programming compels them to fill it to test for vulnerabilities or trigger a submit action: جب وہ ایک input field کا سامنا کرتے ہیں تو، ان کی پروگرامنگ ان کو اس کو ٹیسٹ کرنے کے لئے مجبور کرتا ہے یا ایک submit action کو چالو کرنے کے لئے: 
 
 
 Hidden field empty? Probably human, proceed to AitM proxy kit Hidden field has data? Probably bot, display an error message The Engine Under the Hood: ٹریفک کی پوشاک Honeypot صرف داخلہ سطح کے فلٹرز میں سے ایک ہے. اس کے پیچھے ٹریفک Cloaking کہا جاتا ہے کہ ایک بڑے پیمانے پر بیک اپ انڈسٹری بیٹھا ہے. ابتدائی طور پر دونوں روکنے کے لئے تیار کیا گیا تھا اور اشتہارات کی دھوکہ دہی، اب فائنج کے لئے ہتھیار دیا گیا ہے. پیچیدہ خدمات $ 1000 فی مہینہ اور ہر زائرین کی انگوٹھا ٹکٹ ملیس سیکنڈ میں ہے. یہ سکرپٹ کیجی پیسے نہیں ہے؛ یہ سرمایہ کاری ہے. وہ چیک کر رہے ہیں: ماؤس کی سرگرمی، ریتم کو ٹائپ کرتے ہوئے۔ انسانوں کو چمکتا ہے؛ بوٹ لائن اور فوری ہیں. Behavioral biometrics: کرتا ہے کیا WebGL renderer حقیقی ہارڈ ویئر کے بجائے "Google SwiftShader" کے طور پر شناخت کرتا ہے؟ Device fingerprinting: navigator.webdriver گھر کے ISP یا ایک سیکورٹی سپلائر کے ڈیٹا سینٹر؟ IP reputation: اچھی طرح سے زہریلا یہاں یہ ہے جہاں یہ منفی ہو جاتا ہے. جب فائنج کیٹ بوٹس، اسکرینرز، اور محققین کو پتہ چلتا ہے، وہ صرف آپ کو بلاک نہیں کرتے ہیں. ہتھیاروں کی جانچ پڑتال کرنے کے لئے. جب ایک سیکیورٹی فراہم کرنے والے کا کریکر اس بلاگ پر پہنچتا ہے، تو یہ ڈومین کو مثال کے طور پر "ریچنگ" یا "تقریبی / منصفانہ" کے طور پر درجہ بندی کرتا ہے. یہ درجہ بندی فائلز، URL فلٹرز، اور بلاک لسٹز میں پھیلا جاتا ہے، لہذا ڈومین سفید فہرست بن جاتا ہے. جب تک ایک حقیقی قربانی لنک پر کلک کرتا ہے اور اصل فائنج صفحہ دیکھتا ہے، سیکورٹی ٹولز نے پہلے ہی اسے محفوظ کر دیا ہے. میں نے ڈومینز کو اس تکنیک کا استعمال کرتے ہوئے ہفتوں یا مہینوں تک فعال رہنے کے لئے دیکھا ہے. The Mirror World: دفاع جرم بن جاتا ہے یہ ہمیشہ مجھے مسکراہٹ دیتا ہے جب میں دیکھتا ہوں کہ حملہ آور اکثر نئے تکنیکوں کو تخلیق نہیں کرتے ہیں، لیکن وہ صرف ہماری کاپی کر رہے ہیں. قانونی سائٹس اپنے ڈیٹا بیسز سے سپیم کو دور کرنے کے لئے میڈ پٹس کا استعمال کرتے ہیں، جبکہ فائنج سائٹس اسٹارٹرز کو ان کے انٹریٹریٹ سے باہر رکھنے کے لئے میڈ پٹس کا استعمال کرتے ہیں. یہ طریقہ ہر جگہ تکرار کرتا ہے: CAPTCHA، اصل میں ویب سائٹس کی دفاع کرنے کے لئے ڈیزائن کیا گیا تھا، اب کم از کم 90٪ فاشنگ سائٹس میں میں تجزیہ کرتا ہوں. خود کار طریقے سے کریکروں کو فیچنگ مواد تک پہنچنے سے روکتا ہے. Technical: جب قربانی ایک Cloudflare Turnstile یا Google reCAPTCHA دیکھتے ہیں، تو وہ سوچتے ہیں، "یہ سائٹ کو سیکورٹی چیک ہے. Psychological: دیوار کے پیچھے کیا ہے کیوں چھپانے کے لئے اتنا مشکل کام کرنے کے لئے؟ کیونکہ جو محفوظ کیا گیا ہے، قیمتی ہے: حقیقی وقت کے مخالفین-in-the-Middle حملے جو سیشن کوکیز، پاس ورڈ نہیں چوری کرتے ہیں. کیٹ ایک لائیو پروکسی کے طور پر کام کرتا ہے، حقیقی سروس کے لئے تصدیق اور 2FA کوڈز منتقل کرتا ہے. جب حقیقی سائٹ ایک سیشن کوکی فراہم کرتا ہے، حملہ آور اسے پکڑتا ہے. کوئی پاس ورڈ کی ضرورت نہیں ہے، کوئی 2FA بیچ کی ضرورت نہیں ہے. صرف کوکی سے token کو پکڑیں، اور آپ داخل ہیں. تجارتی مواد کے لئے ان باکس کو تلاش کریں، مثال کے طور پر ایک اکاؤنٹ کو ریپرائز کرنے کے لئے، اور پھر اس کو فلنگ ای میل کے اگلے اونچائی کو بھیجنے کی طرف سے مارا. واپس کیسے لڑیں سکرین ایک قربانی کے طور پر، ایک سرور نہیں ہمارے شکار پروگرام میں، ہم رہائشی اور موبائل پروکسز کے ذریعہ ٹریفک کا تجزیہ کرتے ہیں اور حقیقی ہارڈ ویئر / سافٹ ویئر کے انگوٹھے پرچم کی پیروی کرتے ہیں، لہذا ہم دیکھتے ہیں کہ ہدف کیا دیکھتے ہیں. 2۔ منفی فضا کے لئے شکار میں نے پایا honeypot آنکھوں کے لئے ناممکن تھا لیکن جب میں کوڈ کو دیکھتا ہوں تو واضح تھا (اگرچہ، انصاف کے لئے، یہ اس وجہ سے ہے کہ اس ہدایت کے صفحے نے کسی بھی اندراج کا استعمال نہیں کیا). صارفین کو سکھانے سے روکیں کہ CAPTCHAs سیکورٹی کا مطلب ہے ہم نے سالوں سے صارفین کو تربیت دی ہے کہ ایک پڈلوک آئکن اور ایک CAPTCHA اچھے علامات ہیں، اور حملہ آوروں کو یہ معلوم ہے. آپ کی سیکورٹی کی شناخت کے پروگرام کو اپ ڈیٹ کریں: ایک غیر متوقع لنک پر ایک CAPTCHA ایک سیکورٹی خصوصیات نہیں ہے. بہترین میں، یہ خود کار طریقے سے دفاع کو باہر رکھنے کے لئے ڈیزائن کیا گیا ہے، اور بدترین میں یہ ایک ClickFix سٹائل حملے ہے. اگر آپ کو صرف ایک "شامل اندرونی دستاویز" کو دیکھنے کے لئے ایک پازل کو حل کرنے کی ضرورت ہے تو، آپ ایک پھوٹ میں جا رہے ہیں. ہتھیاروں کی ریس جاری ہے فیچنگ سائٹس پر Front-end honeypots صرف ایک وسیع تبدیلی کا ایک پہلو ہے جو میں نے گزشتہ چند سالوں میں دیکھ لیا ہے: حملہ آور اپنے کمپنیاں کا علاج کرتے ہیں. : اپ ٹائم کو بہتر بنانے، بوٹ ٹریفک کا انتظام، A / B ٹیسٹ لینڈنگ صفحات. قانونی SaaS مصنوعات کے طور پر ہم مصنوعات کی روڈ نقشے اور کسٹمر سپورٹ چینلز کے ساتھ انجینئرنگ ٹیموں کے خلاف ہیں. حل "link over the link" کے بارے میں ایک اور پوسٹر نہیں ہے یا غلط لکھنے کے بارے میں ایک طویل PowerPoint ہے. یہ ایک ذہن کی تبدیلی ہے جس میں ہم ایک کنارے کی تلاش کے طور پر فائنجنگ کا علاج کرنے سے روکتے ہیں. حملہ آوروں نے پہلے ہی ہمارے میڈ پٹس، ہمارے CAPTCHA، اور ہمارے کھیلوں کے کتابوں کو چوری کیا ہے. اب صرف ایک حقیقی سوال یہ ہے کہ ہم ان سے کچھ چوری کرنے کے لئے تیار ہیں: ان کی تعلیمیات. اگر ہم اپنے دفاعی ٹیموں کو تجزیہ اور تجزیہ کے فن کو فعال طور پر استعمال کرنے کے لئے سکھا سکتے ہیں، تو اگلی بار خفیہ کوڈ ایک فائنجنگ کیٹ میں ظاہر

This story contains new, firsthand information uncovered by the writer.

This story contains AI-generated text. The author has used AI either for research, to generate outlines, or write the text itself. 

Read My Stories

یہ آڈیو کہانی کی اصل زبان میں تیار کی گئی ہے!

میں نے ایک فائنج سائٹ دیکھی ہے جو سیکورٹی بوٹس پر قبضہ کرتی ہے

About Author

تبصرے

ہینگ ٹیگز

یہ مضمون اس میں پیش کیا گیا تھا۔

Related Stories

"Growing Businesses Gives Me a Sense of Purpose." says Flow Ninja Founder/CEO

Urbain Grandier by Alexandre Dumas - Table of Links

AI Search Traffic Marketshare for Calling HackerNoon Blogs: 52% OpenAI, 30% Amazon & 18% Perplexity

On Sunday, the 26th of November, 1631

"Growing Businesses Gives Me a Sense of Purpose." says Flow Ninja Founder/CEO

Urbain Grandier by Alexandre Dumas - Table of Links

AI Search Traffic Marketshare for Calling HackerNoon Blogs: 52% OpenAI, 30% Amazon & 18% Perplexity

On Sunday, the 26th of November, 1631

Light-Mode

Classic

Newspaper

Minty

Dark-Mode

Neon Noir

Minty

HN StartUps