.:: ترفنــــــدهای خفن،آموزش و غیره ::.

در چند شب گذشته (28 شهریور) حمله ای بی سابقه علیه بزرگترین سرور جهان تشیع (سرور آل البیت به آدرس ns1.al-shia.com , ns3.al-shia.com) که میزبانی سایتهای بسیاری از مراجع تقلید (حضرات آیت الله مکارم شیرازی، آیت الله تبریزی، آیت الله سیستانی ، آیت الله سبحانی، آیت الله گرامی و ...) شخصیت ها (همچون استاد انصاریان، محمد باقر الموسوی المهری، السید علی الشهرستانی ، واعظ موسوی، و ....) مراکز مذهبی شیعی (مدرسه امام صادق (ع)، مرکز امام علی (ع) ، پیام کوثر، مؤسسه زائر، حرم حضرت معصومه (س)، دارالهلال، هیئت مهدویون قم ، بوستان کتاب ، قم سیتی و ...) را به عهده دارد توسط یک گروه عرب وهابی ظاهرا اماراتی (البته نه به صورت متقن بلکه بیشتر به دلیل وجود لینک سایت http://www.alamuae.com در لوگ مربوطه) تحت نام GroupXp انجام شده و طی هک شدن این سرور تمامی دامنه های تعریف شده بر روی این سرور (حدود 600 سایت ) از دسترس خارج شده اند.

این گروه وهابی که ادعای از بین بردن تمامی سایتهای شیعیان (روافض) را دارند بر روی تقریبا تمامی سایتها (Domain ها) که از سرور موسسه آل‌البیت استفاده می کنند با استفاده از اشعار و ادبیات و تصاویر موهن، به توهین و هتک حرمت مراجع پرداخته و با انتشار اشعاری به زبان عربی، به تشیع و شیعیان توهین کرده‌اند.

و همچنین در صفحه مذکور فایل ویدیویی از یوتیوب گذاشته شده که در آن مجری یک برنامه انگلیسی زبان در مورد یکی از فتوی های آیت الله سیستانی توضیحاتی همراه با شوخی ارائه میکند.

و اما بحث فنی این جریان اینچنین است که شخص هکر (بیشتر تاکید بر این نکته که بصورت فردی بوده نه گروهی و جهت بزرگنمایی از اسامی همچون groupxp استفاده شده ، چرا که تاکنون هیچ ردپایی از این گروه نبوده (جهت این موضوع به سایتهای منبعی همچون http://www.zone-h.org می توان مراجعه کرد) تنها با بدست آوردن پسورد ایمیل مسئول فنی سرور آل البیت (admin) و مشاهده اکانت مربوط به دامنه al-shia.net که در حقیقت دامنه اصلی سرور آل البیت (ns1.al-shia.neT) می باشد ، آن را تغییر داده (پسورد دامنه) و تنظیمات مربوط به DNS آن را از روی سرور آل البیت به روی سرور موردنظر خودش (NS1. alstrahost.COM) که باعث گردید تمامی دامنه ها تعریف شده بر روی سیستم های سرور آل البیت (که خود شامل سرور اختصاصی سایت http://www.al-shia.net که برای مؤسسه آل البیت نیز بود) بر روی سرور جدید ریدایرکت شود ، اما از آنجایی که این امر (تغییر dns مربوط به دامنه) معمولا بین یک تا چند روز (بستگی به نقطه مورد فراخوانی دامنه دارد) طول می کشد (البته نکته فنی آن به علت دیر آپدیت شدن Rotuer ها (مسیریابها) و Cash پرووایدرهای اینترنتی (ISPها ) یی است که در این شبکه بزرگ اینترنتی موجود هستند می باشد) در بسیاری از مناطق این دامنه ها (سایت ها) هنوز به صورت نرمال فعال بوده و حمله (هک) را متوجه نشده و در حقیقت این تغییر dns در منطقه آنها هنوز اعمال نشده بود.

(به طور نمونه سایت ولی عصر 1331 بازدیدکننده دیروز داشته (که 164 بازدید آن به قبل از تغییر dns (که شامل قبل ساعت 4 بامداد) می باشد) و بقیه بازدیدها به دلیل نکته فوق الذکر قادر به مشاهده سایت بودند) (نکته: جهت مشاهده اصل وضعیت بروز یک سایت می توانید از پروکسی استفاده نمایید)

و در حقیقت می توان این حمله را یک تغییر آدرس سرور به علت اهمال مسئول فنی مربوطه دانست نه بزرگنمایی که بسیاری از خبرگزارهای و سایتها متاسفانه به آن شاخ و برگ دادند. که من جمله به خبر سایت تابناک

http://www.tabnak.ir/pages/?cid=18660

می توان اشاره کرد که در آن ساعت حمله را به اشتباه 2:30 اعلام کردند که در حقیقت ساعت 4 بامداد بوده و یا بزرگنمایی بیش از حد در مورد تعداد نفرات (حدود 200 تا 250 نفر ) که به نظر بنده به سختی می توان قبول کرد که بیش از یک نفر بوده و یا هزینه 300 میلیون دلار که آن هم فکر کنم گزافه گویی بیش از حد بوده چرا که برای بدست آوردن پسورد یک ایمیل نیازی به هزینه ای نیست و سوء استفاده از سهل انگاری دیگری بوده است و ...

اثرات منفی اینگونه اطلاع رسانی های اشتباه را می توانید در لینک های ذیل مشاهده نمایید:

https://balatarin.com/topic/2008/9/18/1001880

http://balatarin.com/permlink/2008/9/18/1400701

http://balatarin.com/permlink/2008/9/18/1400394

http://balatarin.com/permlink/2008/9/18/1400459

و..

و البته لازم به ذکر است که در این حمله به هیچ عنوان به اصل خود سرور نفوذی صورت نگرفته و کلیه اطلاعات بر روی سرور موجود و بدون هیچ تغییری است و حتی دامنه های آن نیز مشکلی نداشته و تنها دامنه اصلی سرور تغییر یافته بود.

لینک خبر هک سایت آیت الله سیستانی در زئون:

http://www.zone-h.org/component/option,com_mirrorwrp/Itemid,160/id,7947763/

جهت مشاهده لیست دامنه های موجود بر روی سرورهای آل البیت می توان از لینک ذیل استفاده نمایید:

http://domainbyip.com/66.230.192.134/

وهمچنین سرور اختصاصی خود الشیعه :

http://domainbyip.com/66.230.195.118/


توضیحات مربوط به سرور alstrahost را که سایت های سرور آل البیت بر روی آن ریدایرکت شده بود را می توانید در لینک ذیل مشاهده نمایید:

http://whois.domaintools.com/alstrahost.com

لینک برخی از سایتهای موجود بر روی این سرور:

http://domainbyip.com/69.73.131.183/

و جهت رفع مشکل فوق نیز مسئولین فنی آل البیت از آنجایی که جهت خرید دامنه های خود از سایت mydomain.com (که در حقیقت قبلا dotregistrar.com بوده که چندیست زیرمجموعه mydoamin.com می باشد) اقدام کرده بودند، طبق روال اکثریت شرکتهای خدمات هاستینگ که خدمات ثبت دامنه نیز دارند امکان بدست گرفتن مجدد پسورد دامنه از سایت ارائه کننده خدمات را از طریق اثبات اثبات مالکیت معنوی دامنه داشتند.

(که این امر از طریق مشاهده لیست history مربوط به تنظیمات دامنه قابل اثبات هست) که این امر در بعدازظهر روز پنجشنبه 28 شهریور محقق گردید، (دلیل تاخیر مذکور (از ساعت 4 بامداد تا بعدازظهر حدود ساعت 4 نیز به علت انتظار جهت آمدن مسئولین سایت مذکور در تگزاس آمریکا (با توجه به اختلاف ساعت با کشور ما ) می باشد)

نکته خاصی که در مورد این تاخیر می توان اشاره کرد آن است که متاسفانه در ایران تاکنون هیچ شرکت و سایتی قابلیت ارائه مستقیم ثبت دامنه از سازمان جهانی ثبت مالکیتهای معنوی (accan ) را نداشته و تمامی سایتهای و شرکتهای ارائه خدمات هاستینگ در ایران از طریق واسطه هایی همچون : آنلاین نیک، دایرکت آی، گوددی، دات ریجستر، نیم چیپ و ... چرا که برای بدست آوردن چنین قابلیتی حداقل نیازمند ثبت ده هزار دامنه توسط پرووایدر (شرکت واسطه) هست که تاکنون چنین سابقه ای برای هیچ شرکتی در ایران فراهم نگردیده (که در این بین پارس دیتا با چیزی حدود 6 تا 7 هزار از بقیه دارا سابقه بیشتری در زمینه ثبت دامنه بوده)

والبته دامنه هایIR نیز مشکلات خاص خود را با توجه به بحث فشار تحریم ها که هر ازچند گاهی به صاحبان سرور وارد می شود را دارند.

و نهایت امر اینکه به هر حال نمی توان منکر این قضیه شد که همین تغییر dns ساده باعث ریداریکت شدن تمامی سایتهای موردنظر (مراجع، بزرگان و ...) در سرور آل البیت شد که حداقل تا حد زیادی باعث آبرو ریزی و سوء استفاده دشمنان از قضیه فوق گردید

حداقل این نکته باعث شد که مسئولین ما دقت عمل بیشتری داشته باشند تا زین پس با چنین اشتباهات کودکانه ای باعث ایجاد خساراتهای اینچنین نگردند.

و نکته آخر اینکه یک روز پس از واقعه حملاتی نیز توسط برخی از هکرهای ایرانی در تلافی این عمل انجام شده که حملات گروه آشیانه من جمله می باشند.

تقسيم بندی آدرس‌های ip

آدرس‌های ip به ۵ کلاس تقسيم‌بندی می‌شوند که A تا E نام‌ دارند ولی از اين بين سه کلاس اول (يعنی C,B,A) کاربرد عملی دارند که آنها را شرح می‌دهيم:

۱- کلاس A: اگر ip را به‌صورت xxx.yyy.yyy.yyy در نظر بگيريد، اين کلاس تمام ipهايی را شامل می‌شود که xxx بين ۱ تا ۱۲۶ است. اين کلاس ويژه backbone های بزرگ اينترنتی است و در هنگام ثبت domain برای گرفتن ip از آنها استفاده می‌شود. بنابراين اکثر سايت‌ها چنين ipهايی دارند. اين کلاس را 8/ هم می‌گويند.

۲- کلاس B: اين کلاس تمام ipهايی را شامل می‌شود که xxx بين ۱۲۸ و ۱۹۱ است. اين کلاس هم از جمله کلاس‌های پرکاربرد است. اين کلاس را 16/ هم می‌گويند.

۳- کلاس C: اين اين کلاس تمام ipهای را شامل می‌شود که xxx بين ۱۹۲ و ۲۲۳ است. اين کلاس معمولا به ISP هايی که خدمات dial-up ارائه می‌دهند، تعلق می‌گيرد (اين جمله چندان مستند نيست.). بنابراين اگر به‌صورت dial-up به اينترنت متصل شويد، چنين ip می‌گيريد. اين کلاس را 24/ هم می‌گويند.

سوالی که پيش می‌آيد اين است که xxx چرا نه در کلاس A و نه در B، عدد ۱۲۷ را شامل نمی‌شود؟ جواب اين‌ است که ۱۲۷ برای کامپيوتر خودمان رزرو شده است. مثلا 127.0.0.1 معمولا يعنی localhost يعنی خودمان.

به‌دست آوردن ip خودتان بعد از اتصال به اينترنت

برای اين‌کار راههای متفاوتی وجود دارد:

۱- راحت‌ترين راه استفاده از دستور ipconfig است. من با تايپ کردن آن به نتايج زير رسيدم:
Windows 2000 IP Configuration

PPP adapter neda:

Connection-specific DNS Suffix . :
IP Address. . . . . . . . . . . . : 217.66.198.116
Subnet Mask . . . . . . . . . . . : 255.255.255.255
Default Gateway . . . . . . . . . : 217.66.198.116
که آدرس ip تان را می‌توانيد در سطر Ip Address ببينيد. (مسئله پروکسی را فعلا ناديده بگيريد)

۲- بعد از اتصال به اينترنت حداقل يک صفحه باز کنيد و بعد دستور netstat -n را در command prompt تايپ کنيد. من با تايپ اين دستور به نتايج زير رسيدم:
Active Connections

Proto Local Address Foreign Address State
TCP 217.66.198.116:2469 64.58.76.177:80 ESTABLISHED
TCP 217.66.198.116:2471 66.163.175.130:80 ESTABLISHED
TCP 217.66.198.116:2473 212.73.194.143:80 ESTABLISHED
TCP 217.66.198.116:2474 212.73.194.143:80 ESTABLISHED
TCP 217.66.198.116:2476 212.73.194.136:80 SYN_SENT
ستونی که زير عبارت Local Address قرار دارد، ip من در آن اتصال است. بنابراين ip من در آن اتصال 217.66.198.116 بوده است.

ادامه مبحث Footprinting برای سرورها

قبلا بحث را با روش پيدا کردن ip سرورها (سايت‌ها) شروع کرديم. حالا کمی در مورد whois می‌آموزيم. لازم به ذکر است که هنوز درمورد FootPrinting کلاينت‌ها صحبتی نکرده و نمی‌کنم.

Whois چيست؟

تعريف کلی برای whois نمی‌توان ارائه داد ولی فعلا منظور ما از Whois همان کسب اطلاعات در مورد يک سايت است.
(کاری که امروز می‌خواهم انجام دهم کسب اطلاعات در مورد يک شماره ip و يا يک domain (مثلا irib.com ) خاص است. برای کسب اين اطلاعات بايد به اينترنت وصل شده و به‌طريقی به يک سری سايت‌های خاص که وظيفه ثبت domain , ... را دارند متصل شده و اطلاعات را از آنها درخواست کنم. اين سايت‌های خاص database (بانک‌های اطلاعاتی) ويژه اين وظايف را دارند. برای کسب اين اطلاعات از سايت‌ها روش‌های زير را می‌توان به‌کار برد:

۱- اگر از طريق سيستم عامل يونيکس يا لينوکس به اينترنت وصل شده‌ايد، دستوری به اسم whois در آنها وجود دارد. و يا می‌توانيد از نرم‌افزارهای خاصی که برای اين سيستم‌عامل‌ها وجود دارد (مثل Xwhois ) استفاده کنيد. ولی فعلا بحث روی ويندوز است و اين دستور در ويندوز وجود ندارد.

۲- برای whois کردن در ويندوز نرم‌افزارهای زيادی وجود دارد (که به زودی نوشتن يک whois متوسط را در زبان C ياد خواهم داد.) از مشهورترين اين نرم‌افزارها Netscan tools و SamSpade است. ولی از اينها هم فعلا صرف نظر می‌کنم تا شما بيشتر با جزئيات اين‌ کار آشنا شويد.

۳- روشی که ما در اين جلسه به کار می‌بريم، استفاده از سايت‌هايی است که اين جستجو را برای ما انجام می‌دهند. بحث را شروع می‌کنم:

datebase های whois در چه سايت‌هايی وجود دارد؟

تعداد زيادی از سايت‌ها اين داده‌ها را دارند که مشهورترين‌ها عبارتند از:
whois.internic.net (The InterNIC)
whois.onlinenic.com (The OnLineNIC)
whois.arin.net (American Registry for Internet Numbers)
whois.ripe.net (European IP Address Allocations)
whois.apnic.net (European IP Address Allocations)
whois.nic.mil (US Military)
whois.nic.gov (US Government)
اولين سايت مشهورترين سايت ثبت domain برای org , net , com است.
توجه کنيد که امروزه سايت‌های مختلفی عمل ثبت domain را انجام می‌دهند و برای اينکه در مورد يک سايت خاص (که در واقع يک domain خاص دارد) اطلاعاتی کسب کنيم بايد اطلاعات مربوطه را از آن سايتی بگيريم که ثبت domain را انجام داده است و چون اين کار مشکلی است به جای استفاده از خود سايت‌های بالايی، از سايت‌هايی ديگر استفاده می‌کنيم که اين کار را برای ما ساده‌تر می‌کنند (خود آن سايت‌ها در نهايت اطلاعاتشان را از سايت‌های اصلی می‌گيرند و فقط يک نقش واسط دارند... لازم به‌ذکر است که ايجاد چنين صفحات وبی زياد هم مشکل نيست.). سايت مورد علاقه من برای کسب اطلاعات سايت زير است:
http://www.samspade.org/t/whois?a=xxxxxxxxx
که بجای xxxxxxxxx آدرس سايت و يا ip آنرا می‌نويسيم و آدرس حاصله را در مرورگر خود می‌بينيم. مثلا اگر بخواهم در مورد سايت sazin.com اطلاعاتی به‌دست بياورم، می‌نويسم:
http://www.samspade.org/t/whois?a=sazin.com
و اطلاعات زير به دست می‌آيد:
sazin.com is registered with BULKREGISTER.COM, INC. - redirecting
to whois.bulkregister.com

whois -h whois.bulkregister.com sazin.com
The data in Bulkregister.com\'s WHOIS .........................(deleted)

SazinNetWork
2nd.Floor,Bldg#116,Mollasadra Ave.
Tehran, TEH 14358
IR

Domain Name: SAZIN.COM

Administrative Contact:
Mohammad Hajati mjhajati@hotmail.com
Sazin Rasaneh Co.
4th.Floor,Bldg.339,Mirdamad Ave.
Tehran, TEH 19696
IR
Phone: +98 21 8787064
Fax: +98 21 8789841
Technical Contact:
Mohammad Hajati mjhajati@hotmail.com
Sazin Rasaneh Co.
4th.Floor,Bldg.339,Mirdamad Ave.
Tehran, TEH 19696
IR
Phone: +98 21 8787064
Fax: +98 21 8789841

Record updated on 2002-03-02 05:47:36
Record created on 1999-05-10
Record expires on 2007-05-10
Database last updated on 2002-09-15 08:58:02 EST

Domain servers in listed order:

DNS.SAZIN.COM 80.78.134.221
S1.SAZIN.COM 63.148.227.63
S2.SAZIN.COM 63.148.227.64

ملاحظه می‌کنيد که اطلاعات زيادی در مورد اين سايت را به اين طريق می‌توان به‌دست آورد. اطلاعاتی درمورد آدرس ISP ، شخصی که به‌عنوان Admin کار ثبت را انجام داده است و ... البته باز هم نمی‌توان در مورد صحت و سقم آن اظهارنظر قطعی داشت.
تعدادی از مهمترين اطلاعات را در قسمت DNS Servers يا Domain servers (که در اين مثال در آخر قرار دارد) مي‌بينيد. بعدا در مورد اين آدرس‌ها توضيح خواهم داد ولی فعلا می‌گم که به کمک همين چند آدرسی که در آخر به‌دست آورديم به کمک دستوری به نام nslookup می‌توان اطلاعات با ارزش‌تری به‌دست آورد که به‌زودی ياد می‌گيريد.