แฮก Facebook และ Twitter ง่ายๆ ด้วย Firesheep

myice Fri Nov 18, 2011 5:54 pm

ความจริงบทความนี้ ผมกะจะเขียนตั้งนานแล้วล่ะ แต่ต้องผ่านการตรวจสอบจากพี่ๆผู้เชี่ยวชาญก่อนว่า เนื้อหาที่นำเสนอในบทความนี้ จะไม่ก่อให้เกิดความเดือดร้อน(หรือฉิบหาย)ให้กับผู้อื่น โดยเฉพาะพวกที่เข้ามาอ่านบทความของผม แล้วทะลึ่งเอาไปใช้ในทางที่ผิด เอาล่ะบทความนี้ผมจะนำเสนอถึงเครื่องมือที่ชื่อว่า Firesheep ซึ่งเป็นเครื่องมือที่สามารถเข้าใช้บัญชีของคนอื่นในเว็บไซต์ชื่อดัง อย่างเช่น Facebook.com, Twitter.com, และ Hotmail.com เป็นต้น

Firesheep เป็นปลั๊กอินสำหรับโปรแกรมท่องอินเตอร์เน็ตอย่าง Firefox เพราะสามารถแฮกบัญชีของผู้ใช้งานเว็บไซต์ต่างๆ ผ่านเครือข่ายไวไฟ(Wi-Fi หรือพวกเราชอบเรียกไวเลสนั่นแหละ) โดยเฉพาะเว็บไซต์ที่ไม่ได้มีการเข้ารหัสในการเข้าสู่ระบบ ซึ่งโดยส่วนใหญ่การจะแฮกบัญชีผู้ใช้งานคนอื่นล้วนต้องเป็นฝีมือของพวกแฮกเกอร์ระดับเทพ ทว่าสำหรับปลั๊กอิน Firesheep นี้มันสามารถทำให้การแฮกกลายเป็นเรื่องแสนง่ายแม้คนที่ไม่รู้เรื่องเกี่ยวกับการแฮกอะไรเลยก็สามารถทำได้

หลักการทำงานของเครื่องมือ Firesheep

ผมขอยกกรณีศึกษาของเว็บไซต์ facebook.com แล้วกัน เพราะเหยื่อเยอะ เห้ย เพราะคนใช้เยอะตั้งหาก ^_^

ตามปกติเมื่อผู้ใช้ต้องการเข้าสู่ระบบ จะต้องกรอกอีเมล์และรหัสผ่าน ซึ่งเมื่อเข้าสู่ระบบสำเร็จ

ทางเว็บไซต์ facebook.com จะส่ง คุกกี๊(Cookie) ที่เก็บข้อมูลล็อกอินดังกล่าวมาเก็บไว้ที่เครื่องเรา

โดยจะสังเกตเห็นง่ายๆว่า เมื่อเราเล่น facebook แล้วเราปิดหน้าต่างเว็บทิ้งไป

จากนั้นอีก 5 นาที เราลองกลับมาเปิด facebook อีกรอบ จะเห็นได้ว่าเราไม่จำเป็นต้องล็อกอินเข้าสู่ระบบใหม่อีกครั้ง

โดยช่องโหว่นี้แหละ ที่เปิดโอกาสให้เจ้า Firesheep สามารถดักจับคุกกี้ในเครือข่ายไวไฟ ที่เราเชื่อมต่อใช้งานอยู่นั้่นเอง

วิธีป้องกัน Firesheep

1. เปลี่ยนไปใช้โปรโตคอลเข้ารหัสอย่าง HTTPS แทน HTTP

2. แนะนำใช้โปรแกรม Firefox ในการเข้าใ้ช้งานเว็บไซต์ เพราะมันจะมีปลั๊กอินที่ชื่อว่า HTTPS Everywhere โดยมันสามารถป้องกันได้ 100%

3. ถ้าไม่จำเป็นจริงๆ อย่าล็อกอินผ่านเครือข่ายไวไฟสาธารณะเลย (อันนี้ถ้าจะยาก สำหรับเด็กมหาวิทยาลัยอย่างพวกเรา ฮ่าๆๆ)

4. ช่วยกันส่งคำร้องถึงผู้พัฒนาเว็บไซต์ต่างๆที่เครื่องมืออย่าง Firesheep สามารถเข้าไปขโมยข้อมูลได้

รายชื่อเว็บไซต์ที่สามารถใช้ Firesheep ในการแฮกข้อมูลบัญชีได้

Amazon.com
BaseCamp
bit.ly
Cisco
CNET
Dropbox
Enom
Evernote
Facebook
Flickr
Foursquare
GitHub
Google
Gowalla
Hacker News
Harvest
Windows Live
New York Times
Pivotal Tracker
Toorcon: San Diego
Slicehost SliceManager
tumblr.com
Twitter
Wordpress
Yahoo
Yelp

บทความนี้ก็ขอจบความเสียวสั้นๆไว้ ณ ที่นี้แหละครับ พูดอะไรมากกว่านี้ไม่ได้แล้ว เดี๋ยวจะโดนหิ้วเข้าคุก T^T