Hack Facebook และ Twitter ด้วย Firesheep

คำเตือน
หากคุณจะนำวิธีการในบทความนี้ไปใช้สำหรับการแฮกหรือทำลายระบบคอมพิวเตอร์อย่างมีเจตนาร้ายและผิดกฏหมาย คุณต้องเป็นผู้รับผิดชอบสิ่งที่จะเกิดขึ้น ในฐานะผู้เขียนและบุคคลที่เกี่ยวข้องกับบทความนี้ จะไม่มีส่วนร่วมรับผิดชอบในการกระทำหรืออาชญากรรมที่คุณได้ก่อขึ้นโดยใช้วิธีและเครื่องมือที่ได้เขียนไว้ในบทความ เพราะบทความนี้มีเจตนาเพียงประการเดียวสำหรับผู้ที่สนใจในด้านความปลอดภัยของระบบ ที่ประสงค์จะป้องกันระบบเพื่อไม่ให้ตกเป็นเหยื่อของผู้ไม่หวังดีซึ่งทุกวันนี้มีจำนวนเพิ่มมากขึ้น เท่านั้น
หากจะจับขโมยให้ได้ ต้องคิดให้เหมือนขโมย แต่อย่าทำในสิ่งที่ขโมยจะทำ เพราะนั้น คือ ความผิด?

Firesheep เป็นปลั๊กอินสำหรับโปรแกรมท่องอินเตอร์เน็ตอย่าง Firefox เพราะสามารถแฮกบัญชีของผู้ใช้งานเว็บไซต์ต่างๆ ผ่านเครือข่ายไวไฟ(Wi-Fi หรือพวกเราชอบเรียกไวเลสนั่นแหละ) โดยเฉพาะเว็บไซต์ที่ไม่ได้มีการเข้ารหัสในการเข้าสู่ระบบ ซึ่งโดยส่วนใหญ่การจะแฮกบัญชีผู้ใช้งานคนอื่นล้วนต้องเป็นฝีมือของพวกแฮกเกอร์ระดับเทพ ทว่าสำหรับปลั๊กอิน Firesheep นี้มันสามารถทำให้การแฮกกลายเป็นเรื่องแสนง่ายแม้คนที่ไม่รู้เรื่องเกี่ยวกับการแฮกอะไรเลยก็สามารถทำได้

บทความนี้ผมเลยถูกตัดเนื้อหาบางส่วนออกไป โดยเฉพาะเนื้อหาที่สอนถึงวิธีการใช้เครื่องมือนี้

หลักการทำงานของเครื่องมือ Firesheep
ตามปกติเมื่อผู้ใช้ต้องการเข้าสู่ระบบ จะต้องกรอกอีเมล์และรหัสผ่าน ซึ่งเมื่อเข้าสู่ระบบสำเร็จ

ทางเว็บไซต์ facebook.com จะส่ง คุกกี๊(Cookie) ที่เก็บข้อมูลล็อกอินดังกล่าวมาเก็บไว้ที่เครื่องเรา

โดยจะสังเกตเห็นง่ายๆว่า เมื่อเราเล่น facebook แล้วเราปิดหน้าต่างเว็บทิ้งไป

จากนั้นอีก 5 นาที เราลองกลับมาเปิด facebook อีกรอบ จะเห็นได้ว่าเราไม่จำเป็นต้องล็อกอินเข้าสู่ระบบใหม่อีกครั้ง

โดยช่องโหว่นี้แหละ ที่เปิดโอกาสให้เจ้า Firesheep สามารถดักจับคุกกี้ในเครือข่ายไวไฟ ที่เราเชื่อมต่อใช้งานอยู่นั้่นเอง

[youtube]http://www.youtube.com/watch?v=q2KIrwVnMo0[/youtube]

วิธีป้องกัน Firesheep

1. เปลี่ยนไปใช้โปรโตคอลเข้ารหัสอย่าง HTTPS แทน HTTP

2. แนะนำใช้โปรแกรม Firefox ในการเข้าใ้ช้งานเว็บไซต์ เพราะมันจะมีปลั๊กอินที่ชื่อว่า HTTPS Everywhere โดยมันสามารถป้องกันได้ 100%

3. ถ้าไม่จำเป็นจริงๆ อย่าล็อกอินผ่านเครือข่ายไวไฟสาธารณะเลย (อันนี้ถ้าจะยาก สำหรับเด็กมหาวิทยาลัยอย่างพวกเรา ฮ่าๆๆ)

4. ช่วยกันส่งคำร้องถึงผู้พัฒนาเว็บไซต์ต่างๆที่เครื่องมืออย่าง Firesheep สามารถเข้าไปขโมยข้อมูลได้
รายชื่อเว็บไซต์ที่สามารถใช้ Firesheep ในการแฮกข้อมูลบัญชีได้

Amazon.com
BaseCamp
bit.ly
Cisco
CNET
Dropbox
Enom
Evernote
Facebook
Flickr
Foursquare
GitHub
Google
Gowalla
Hacker News
Harvest
Windows Live
New York Times
Pivotal Tracker
Toorcon: San Diego
Slicehost SliceManager
tumblr.com
Twitter
Wordpress
Yahoo
Yelp

ขณะนี้คุณสามารถ ป้องกันตัวเองจาก Firesheep โดยติดตั้ง Firefox Add-on ที่ชื่อว่า BlackSheep  เพื่อป้องกันคุณจาก FireSheep

[youtube]http://www.youtube.com/watch?v=8BmR3VLQKQc[/youtube]