Adakah Mudah Hendak Hack Sesuatu Website

---

MMS
Hacking ini adalah satu kesalahan di sisi undang-undang, tapi nak nak ulas dari segi praktikalnya, adakah senang untuk seseorang itu hack server atau website?

Nak hack website pun kena ada cara tengok apa motif hacker tersebut. Kalau contoh serangan siber dari negara luar biasa mereka akan pakai DDOS (Distributed Denial of Service) yang mana mereka banjirkan request sampai server tadi tak mampu ambil request dan terus down. Ada juga guna cara SQL injection atau guna code injection yang mana boleh connect direct dengan SQL database.

Brute force pun terkenal juga, benda ini biasa di buat kalau hacker ada direct access ke internal network dan cuba brute force username and password. Benda-benda ini semua biasanya ada protection dari segi app atau infra sendiri, contoh Amazon WAF boleh mitigate DDOS attack, cloudwatch and inspector boleh monitor log dan buat security assesement.

Walaupun hacker dapat access ke database atau server, 99% of the time mereka tak boleh buat apa-apa, sebab itu biasanya mereka akan ugut leak private data jika tak di bayar dengan bitcoin (matawang yang tak boleh di kesan pihak berkuasa).

https://www.tomshardware.com/news/gigabyte-ransomware-hack

Atau yang famous kes Youtube LTT kena hack guna man in the middle session hijack, yang mana hacker dapat takeover satu browser lepas hantar satu email palsu pasal sponsership. Yang ini di panggil phising atau pun memancing; kira memang targeted hack dari awal lagi dan bukan mudah.

Cuma yang saya nak cerita, no hacking is free, semuanya guna duit, tenaga dan masa.

Lagi senang bayar mat pet pergi rumah seseorang, masuk dalam rumah dia ambil kunci kereta dan bawa lari kereta dari nak hack server. Kalau server itu mudah di hack, tak ada la orang bayar gaji security engineer beribu-ribu, firewall engineer, server engineer, devops engineer semua mahal.

Kalau pun hacker pancing (phishing) dapat username/email address dan password, belum tentu boleh hack server lagi. Server yang internet facing biasanya web server dan tak store data, yang store data dekat backend. Nak access ke server biasa kena vpn, dan kena ada root access. AWS sendiri dalam guide dia tak suggest untuk benarkan root login dari internet. Itu belum masuk bab 2 factor autententication dekat account lagi kalau nak ssh ke server.

Berbalik pada tujuan hacker, jarang hacker bila dapat masuk access akan delete user atau data, sebab kalau modus operandi hacker hendak dapatkan tebusan duit, data adalah leverage dia, mana ada hacker yang akan delete leverage dia sebelum dapat duit. Unless motif hacker tersebut bukan duit tapi suka-suka, agak sukar hendak di percayai.

Jadi adalah mustahil untuk seseorang di hack? Tidak, cumanya macam hendak kena jackpot dalam jackpot dalam jackpot. Malas nak tulis panjang-panjang, nanti geng CEH kata post saya ini merepek pula. Tapi kalau tak tulis, ramai pula yang akan di mislead.

 

---