专访”新世界黑客组织“成员Kapustkiy首席安全官频道

去年年底,首席安全官频道美国 DNS 域名服务提供商 Dyn 遭到了大规模的DDoS攻击。此次攻击,成功导致了美国东海岸地区的大量网站下线。随后,新世界黑客组织(New World Hackers)更是公开宣称,此次 Dyn 僵尸网络攻击事件由他们负责。甚至,还派出了小组的一位数据库专家,对外公开解释了部分的攻击细节,包括他们是如何发起攻击的,如何窃取数据以及攻击的目的。

newworldhackers.jpg

newworldhackers.jpg

他总是一个人坐在电脑前,周围出奇的安静没有一点嘈杂……他正目不转睛的盯着电脑屏幕,飞快的敲打着键盘。没错,这就是他日常的工作状态。不知是谁,又成为了他们的目标,企业或者是政府机构。

“我不喜欢听音乐,”他说。“因为,音乐会让我无法专注于我的工作。”他的房间很空荡,一张不大的办公桌和一台电脑,还有一张单人床。我简单的环顾了整个房间,一张带有微软认证标志的证书和两张 Anonymous 和 LulzSec 黑客组织的海报,在墙上显得格外醒目。“我渗透时,依然会使用到许多基础的方法,那些都很简单易学,”他说。“我受到 LulzSec 的启发,常常会使用像 SQL [injection] 这样的攻击方法。”

Kapustkiy 将自己描述为“渗透测试者”。 “我想赚钱[利用我的技术],所以我常常会去挖掘一些网站的漏洞,然后提交给一些平台机构,来换取奖金。或者是为一些有特定需求的客户,提供一些技术服务,来获取他们的赏金。“为了证明他自己所说属实,他还向我提供了他的客户截图。同时他还表示,攻击政府只是为了表达不满和抗议的一种形式。“目前,我正在委内瑞拉政府工作,我对尼古拉斯·马杜罗执政非常不满,”他说。

Kapustkiy 比较擅长于,数据库方面的漏洞利用。“如果我想入侵一个网站,我首先会使用手动的方式来查找漏洞。这时,我一般都会从那些最常用的方法开始尝试。例如:SQL,LFI,XSS 和 暴力破解。除此之外,我可能还会用到一些社会工程学方面的工具,这样能使我更好的完成我的任务,” Kapustkiy 解释道。如果这些方法没有找到我想要的,那么我将会尝试使用 web 漏洞扫描器,来帮助我查找漏洞。

在成功的攻击了几个知名大大使馆后,Kapustkiy 申请加入了臭名昭著的黑客组织新世界黑客组织。这是一群年轻而又疯狂的黑客,他们声称对去年发生的,美国 DNS 服务商 Dny 遭大规模 DDoS 攻击事件负责。虽然,NWH 是否真正参与了 Dyn 的攻击,很难被证实。但在其宣布一系列针对 BBC,Twitter 和 Spotify 的类似 DDoS 攻击事件由他们负责后,该组织的政治性动机也愈发明显,并在2016年大幅提升。

Kapustkiy 被 NWH 展现出的惊人天赋,和那一次又一次的辉煌战绩所吸引。其他的那些团队也很棒,他说,“但不如[新世界黑客]他们那样熟练,我想提升我的技能,他们是最好的选择。”加入该组织后,他将继续以一名安全测试员的身份工作并赚钱。同时,他还会帮助组织完成一些 0 day 的利用任务。“这些 0 day 都是我从暗网上购买的,但我从来不会在暗网上卖自己的东西,”他说。

在接受 TechRepublic 的采访中, Kapustkiy 解释了,他和他黑客同事的攻击动机,以及他是如何攻击和入侵系统,如何出售窃取数据等一系列疑问。他的报价在下文略有编辑。

你是谁?

嗨!我是 Kapustkiy。 我喜欢将自己描述为,一名渗透测试者或安全研究员。(抱歉,英语不是我的第一语言。)

你是什么时候开始学习黑客技术的,又是如何学习的?

我是怎么做的?当我还是[一个青少年]的时候,我就开始了我的黑客生涯。我之所以想成为一名黑客,完全是因为受到了一个名为 LulzSec 的黑客团体的影响。那时我非常的崇拜他们[现在亦是如此],我想成为像他们一样的人物。但那时的我很年轻,对黑客这个团体并不是特别了解,更不懂什么黑客技术。所以,我决定做一些有关这方面的研究,例如 LulzSec 是如何侵入一个网站的。我发现了一篇关于他们黑网站的技术文章,从那一刻起,我便开始迷恋上了这些东西,并不断深入研究它们。

你所做的是合法的吗?你担心自己被抓吗?

在我第一次成功入侵进印度大使馆,并被新闻媒体在头条报道后,我确实有点害怕被抓。因为我在一些报道中看到,他们正试图通过一些技术手段,来追踪我的 IP。事件发生后,我开始帮助他们修复漏洞,并告诉他们,管理这些重要的数据时,做好安全防护是如何的重要。我没有将所有的泄露数据公布,只是将其中的一小部分给公开出来。我这么做,只是希望他们能意识到事态的严重性。这是合法的吗?在我看来,它是合法的。因为你只是泄露了一小部分数据,来让他们意识到自身的问题。还总是向他们报告漏洞,让他们知道你正试图在帮助他们。

你的动机是什么?

触使我这么做动机有很多。很多的管理员都会非常感激我,因为我帮助他们提升了网站的安全性。我还因此得到过,印度大使馆和意大利政府的“谢谢”。他们已经修复好了漏洞,我为自己感到自豪。

为什么你认为自己是渗透测试者,而不是黑客?

很多人都问过我同样的问题,我之所以将自己描述为渗透测试者而不是黑客,是因为我喜欢帮助那些网站提高它们的安全性,而不是黑它们。我一直把我的重点放在 Web /网络安全,而不是其他的东西。 在我看来,黑客必须是一个知识面非常广的人。

能详细描述下你的黑客历史,并解释你的个人目标吗?

在我还是青少年时期,我就开始了我的黑客生涯。我做的第一件事,就是了解 SQL 注入攻击和我能用它来做什么。因此,我入侵了英国大学的官网,并脱了他们的数据库,这导致了他们的官网三天无法被正常访问。之后,我意识到了我那样做是错的,因此我决定不再这么做了。我设法突破了印度大使馆,意大利政府,威斯康星大学,匈牙利人权基金会等。我入侵他们的网站,是想让他们意识到数据泄露问题的严重性。同时,我也会尽我所能的帮助那些管理员来修复漏洞,这些都是我的目标。让他们看到危险,并提高他们的安全性。

你和其他一些黑客团体保持友好关系吗?

我是一个名为“强大的希腊军队”黑客组织的前成员之一。我也知道[其他黑客团体]的一些成员。我有时会与他们取得联络。

你是如何赚钱的?

我会尝试在我国家范围内的网站中寻找漏洞(大多数都是XSS),并帮助管理员们修复它们,或者向他们报告相关漏洞,让他们自己去尝试修复。PS:我只会将我的时间花在寻找一些大站的漏洞,像银行或大学的网站。

能谈谈你的渗透策略吗?

这很简单,我做的事其实并不难。我的第一件事,就是将可能存在安全隐患的网站列出来,然后我会使用一些工具(像 PentestBox)来寻找漏洞。 最后,但并非不重要。 我会尝试访问数据库,并将我找到的漏洞报告给管理员们。

当你进入一个系统,你希望找到什么?

我希望能找到一些包含个人信息的数据,像真实姓名,地址,电话号码等。在我看来,这比寻找用户名和密码更为重要,因为你无法重置你的个人信息。

你有什么不可逾越的红线或者说什么是你坚决不会做的?

我绝不会泄露人们的个人信息,例如他们的地址或银行信息。

企业和个人该如何保护自己免受黑客攻击?

我认为沟通是最重要的事情之一。大多数公司对发来的邮件都不是特别在意,甚至连看都不看一眼。有很多人通过邮件向他们报告漏洞,但却很难得到他们的回应。 另外,你还需要定期的对你的网站做渗透测试,这样能让你及时的发现并修复一些问题,提升网站的安全性。没有绝对安全的系统,但我们总是可以通过安全加固,来增加黑客入侵的难度。

为了保护 Kapustkiy 的匿名及安全,本次采访 TechRepublic 使用了加密的应用程序,与 Kapustkiy 沟通。再次重申,TechRepublic 不支持任何违法犯罪和不道德的行为。 

*参考来源 techrepublic,FB小编 secist 编译,转载请注明来自FreeBuf(FreeBuf.COM)

2017-01-22 10:15 阅读:187