تصور کن کله‌سحر بیدار شدی، چای شیرینت رو هم می‌زنی و با خیال راحت سایتت رو باز می‌کنی تا چک کنی دیشب چقدر فروش داشتی.

یهو می‌بینی جای محصولاتت، عکس یه اسکلت خندان گذاشتن و یه آهنگ عجیب‌غریب هم داره پخش می‌شه! اون لحظه سایتت دقیقاً شبیه پرایدی شده که تو یه کوچه خلوت و تاریک پارکش کرده بودی؛ ضبط و باند که هیچ، دزدا قالپاقاشم بردن!

خب، این دزدهای دیجیتال یا همون هکرها، چطوری اون پراید بی‌نوا (سایت شما) رو لخت می‌کنن؟ راستش روش‌هاشون تنوع زیادی داره، ولی سه تا از معروف‌ترین ترفندهاشون که باید بشناسی ایناست:

* ترفند اول:

ترافیک ساختگی (DDoS):
فرض کن هزار نفر آدم الاف رو اجیر کردن که همزمان بیان جلوی در مغازه‌ت و هیچی هم نخرن. نتیجه؟ مشتری واقعی اصلاً نمی‌تونه بیاد تو و کرکره مغازه از فشار جمعیت میاد پایین! هکرها هم با فرستادن ربات‌های بی‌شمار، سرور سایتت رو اونقدر خسته می‌کنن که سایت از دسترس خارج می‌شه.

* ترفند دوم: گول زدن نگهبان (SQL Injection):

اینجا هکره میاد جای اینکه تو بخش ورود سایت نام کاربری و رمز عبور وارد کنه، یه سری کُد و دستور عجیب می‌نویسه. اگه سایتت ساده‌لوح باشه، این کدها رو به عنوان دستور می‌خونه و یهو می‌بینی کل اطلاعات مشتری‌هات رو دوستی‌دستی تقدیم هکر کرده!

* ترفند سوم: تله‌گذاری برای مشتری (XSS):

تو این روش، هکر با خود سایتِ تو کاری نداره، بلکه یه کد مخرب رو یه جایی تو سایت (مثلاً تو بخش کامنت‌ها) قایم می‌کنه. مشتری بیچاره میاد کامنت بخونه، کد اجرا می‌شه و اطلاعات و حساب کاربریِ مشتری دزدیده می‌شه.

🛡️ حالا کی باید جلوی این فاجعه رو بگیره؟

تو دنیای برنامه‌نویسی، ما دو تا تیم داریم: «فرانت‌اند» (Frontend) که ویترین و ظاهر مغازه رو می‌سازه، و «بک‌اند» (Backend) که انبار، گاوصندوق و مغز متفکر کار رو دستش داره.

برای اینکه جلوی این دزدی‌ها گرفته بشه، هر کدوم یه وظیفه‌ای دارن:

* وظیفه فرانت‌اند: باید یه بازرسی بدنی اولیه جلوی در مغازه انجام بده! یعنی حواسش باشه کسی تو فرم ثبت‌نام جای اسمش، کد مخرب ننویسه. فرانت‌اند باید جلوی اشتباهات سهوی یا حملات ساده رو همون اول کار بگیره.

* وظیفه بک‌اند: کارش خیلی سنگین‌تره. بک‌اند همون نگهبان مسلحی هست که جلوی گاوصندوق ایستاده. قانون اول بک‌اند اینه: به هیچ‌کس اعتماد نکن، حتی به فرانت‌اند! بک‌اند باید تک‌تک اطلاعاتی که میاد رو دوباره با دقت چک کنه، رمزها رو به شکل غیرقابل‌خواندن دربیاره (رمزنگاری) و جلوی هر دسترسیِ مشکوکی رو سد کنه.

🚨 وقت بحران: کی باید آستین بالا بزنه؟

خدای نکرده اگه همین الان آژیر خطر به صدا دربیاد و یه حمله سایبری شکل بگیره، کی باید دست‌به‌کار بشه؟ فرانت یا بک‌اند؟

جواب قاطعانه بک‌اند است!

چرا؟ چون هکرهای حرفه‌ای معمولاً ظاهر سایت (فرانت) رو اصلاً دور می‌زنن و مستقیم به مغز سایت یعنی سرور حمله می‌کنن. اینجا برنامه‌نویس بک‌اند باید سریع وارد عمل بشه، آی‌پی‌های مهاجم رو مسدود کنه و سپر دفاعی سرور رو بکشه بالا. فرانت‌اند تو لحظه حمله کار خاصی از دستش برنمیاد، چون خط مقدم شکسته شده.

🧱 برای بالا بردن امنیت، کدومشون مهم‌تره؟

برای اینکه از همون اول امنیت بره بالا و خیالمون راحت باشه، بازم بار اصلی رو دوش بک‌اند عزیزه. درسته که فرانت‌اند با بستن راه‌های نفوذ ظاهری کمک می‌کنه که کار تمیزتر دربیاد، اما قلعه اصلی تو بک‌اند ساخته می‌شه. اگه گاوصندوق شما (بک‌اند) فولادی و ضدسرقت باشه، حتی اگه شیشه ویترین (فرانت) رو بشکنن، بازم دزد نمی‌تونه پول‌ها رو ببره.

💡 نتیجه‌گیری

امنیت تو دنیای وب، یه دکمه نیست که بزنیش و بری با خیال راحت بخوابی؛ یه فرآیند همیشگیه. همون‌طور که شب‌ها قبل خواب در خونه رو قفل می‌کنی و دزدگیر ماشینت رو چک می‌کنی، باید حواست به قفل‌های دیجیتال سایتت هم باشه. دفعه بعد که خواستی سایتی بالا بیاری، فقط محو قشنگی و رنگ‌ولعاب ویترینش نشو؛ حتماً مطمئن شو که گاوصندوقش از جنس حلب نباشه! 🔒💻

آقا قضیه از این قراره که کامبیز ما، توهم گرگ وال‌استریت برداشته بود.

یه شب که داشت تخمه می‌شکست و چاییش رو هورت می‌کشید، یه پیام تو تلگرام براش اومد: "ایلان ماسک داره بیت‌کوین مفتی پخش می‌کنه! رو این لینک کلیک کن!"
کامبیزِ طمع‌کار هم با سر رفت تو لینک، کیف پولش رو وصل کرد و برای اینکه ثابت کنه ربات نیست، اون ۱۲ کلمه امنیتی (Seed Phrase) کیف پولش رو دو دستی تقدیم سایت کرد! یهو رفرش کرد دید... ای دل غافل! موجودی از ۵۰۰۰ دلار رسید به صفر مطلق! جیب خالی، پز عالی!

حالا اینجا چند تا سوال پیش میاد که می‌خوایم با هم بررسیشون کنیم:

🕵️‍♂️ اصلا این کیف پول چطوری هک شد؟

ببینید رفقا، تو دنیای کریپتو کسی نمی‌تونه خود سیستم بلاک‌چین رو هک کنه. هکرها در واقع «شما» رو هک می‌کنن! یعنی چی؟ یعنی با گول زدن (مثل همین لینک فیک ایلان ماسک) کاری می‌کنن که خودت کلید گاوصندوقت رو بدی بهشون. یا یه بدافزار می‌فرستن رو گوشیت، یا به اسم پشتیبانی صرافی ازت اطلاعات می‌گیرن. به همین راحتی، به همین خوشمزگی!

🚓 خب حالا پولا رو بردن! زنگ بزنیم CIA یا FBI؟

کامبیز همون شب با زیرپوش و چشمای اشکی داد می‌زد: "الان زنگ می‌زنم سازمان سیا (CIA) پدرشون رو در بیاره!"

ولی اشتباه می‌زد! چرا؟ بیاید فرق این دو تا رو به زبون آدمیزاد بگیم:

سازمان سیا (CIA): اینا کارشون جاسوسیه! یعنی مامور مخفی می‌فرستن تو کشورهای دیگه ببینن کی داره چیکار می‌کنه. اصلا قدرت پلیسی برای دستگیری دزد و کلاهبردار ندارن. CIA اصلا براش مهم نیست که ۵۰ تا دوج‌کوین کامبیز رو کی دزدیده!

پلیس فدرال (FBI): اینا دقیقا همون اداره آگاهی خودمونن ولی تو سایز آمریکا! کارشون جرایم داخلی، کلاهبرداری‌های مالی، سایبری و اینجور چیزاست.
پس نتیجه چی شد؟ پیگیری دزدی‌های ارز دیجیتال دقیقا کار FBI هست (یه بخش مخصوص جرایم اینترنتی دارن به اسم IC3).

🔍 مامورای FBI از کجا می‌فهمن پول کامبیز تو کدوم سوراخ موشی رفته؟

کامبیز می‌گفت: "داداش پول دیجیتاله، دود شد رفت تو هوا، مگه اینا رمالن؟!"

نه کامبیز جان، رمال نیستن! تو دنیای ارز دیجیتال یه چیزی داریم به اسم «دفتر کل شفاف» یا همون بلاک‌چین. یعنی چی؟ یعنی وقتی هکر پول تو رو می‌زنه و می‌ریزه تو کیف پول خودش، همه دنیا می‌تونن این انتقال رو ببینن!

مامورای FBI میان آدرس کیف پول هکر رو تو سایت‌ها (مثل اکسپلوررها) سرچ می‌کنن و مثل یه نخ، رد پول رو می‌گیرن. هکر پول رو از کیف پول A میده به B، از B میده به C. مامورا هم قدم به قدم باهاش میان.
نقطه ضعف هکر کجاست؟ هکر بالاخره یه روزی می‌خواد این ارزها رو تبدیل کنه به دلار که بره باهاش لامبورگینی (یا پراید!) بخره دیگه؟ برای این کار مجبوره پول رو بفرسته تو یه صرافی (مثل بایننس).
اینجاست که مامورای FBI مچش رو می‌گیرن! به صرافی نامه می‌زنن میگن: "آقا این کیف پولی که الان پول اومد توش، مال کیه؟" صرافی هم که قبلا از کاربرهاش احراز هویت (کارت ملی و عکس) گرفته، میگه: "بفرمایید، اینم اسم و آدرسش!" و تمام! دستبند به دست هکر زده میشه.

🛑 درس عبرت (حکایت کامبیز و گاوصندوق بی‌در و پیکر)

کامبیز ما اون شب تا صبح زل زد به سقف و یه چیز خیلی مهم رو فهمید: تو دنیای کریپتو، هر آدمی بانکِ خودشه!

وقتی تو رئیس بانک خودت هستی، دیگه نمی‌تونی کلید گاوصندوق (همون ۱۲ کلمه امنیتی) رو بدی دست یه غریبه تو تلگرام و انتظار داشته باشی FBI با هلی‌کوپتر بیاد پولت رو پس بگیره! ردیابی کردن هکرها ماه‌ها زمان می‌بره و خیلی وقت‌ها هم هکر اونقدر حرفه‌ایه که پول رو تو صرافی‌های بی‌نام‌ونشون آب می‌کنه و دست هیچکس بهش نمی‌رسه.

درس عبرتی که کامبیز با ۵۰۰۰ دلار ضرر یاد گرفت اینه: تو دنیای دیجیتال، هیچ پنیری مجانی نیست مگه تو تله موش! امنیت کیف پولت فقط و فقط دست خودته. ۱۲ کلمه امنیتی‌ت رو روی یه تیکه کاغذ بنویس، جای امن قایم کن و به هیچ بشری (حتی اگه خود ایلان ماسک اومد در خونه‌ت) نده!

وگرنه شما هم مثل کامبیز باید بشینید تو افق محو بشید و با حسرت به چارت بیت‌کوین نگاه کنید! 📉🚶‍♂️

node -v

npm -v

قسمت اول

npm init -y

"type":"commonjs"

"type":"module"

قسمت دوم

npm i telegraf nodemon

قسمت سوم

"scripts": {
"test": "echo \"Error: no test specified\" && exit 1"
}

"start": "nodemon index.js"

"scripts": {
"test": "echo \"Error: no test specified\" && exit 1",
"start": "nodemon index.js"
}

import { Telegraf } from "telegraf";
const token=<botToken>
const bot = new Telegraf(token);

bot.launch().

const token="8893587436:AAG12dkencG4zh7uLBLCsd07fayEOBVD5Njs"

قسمت چهارم

const token="8893587436:AAG12dkencG4zh7uLBLCsd07fayEOBVD5Njs"
const bot = new Telegraf(token);

bot.start(async (ctx)=>{
 await ctx.reply("سلام کاربر عزیز خوش امادید به ربات تستی")
})

npm start

قسمت اخر

فرض کنید برای انتقال تمام پس‌اندازتان به یک بانک، یک ماشین زره‌پوشِ ضدگلوله با ده‌ها نگهبان مسلح کرایه می‌کنید. ماشین از خطرناک‌ترین جاده‌ها و از میان راهزن‌ها به سلامت عبور می‌کند و به بانک می‌رسد. شما با خیال راحت پول‌ها را تحویل می‌دهید و برمی‌گردید.

اما فردا صبح می‌فهمید پول‌هایتان سرقت شده! چرا؟ چون ماشین زره‌پوش کارش را درست انجام داد، اما درِ گاوصندوق بانک خراب بود، نگهبان خوابیده بود و دزدها به راحتی از پنجره‌ی پشتی وارد بانک شدند!
در دنیای اینترنت، آن ماشین زره‌پوش همان HTTPS (یا همان علامت قفل کنار آدرس سایت) است و آن بانک بی‌در و پیکر، خودِ سایت (وب‌اپلیکیشن) است.
🛡️ توهم امنیت: چرا قفلِ کنار سایت گول‌زنک است؟
خیلی از ما فکر می‌کنیم وقتی کنار آدرس یک سایت علامت «قفل» می‌بینیم، یعنی آن سایت مثل یک دژ نفوذناپذیر است. اما بیایید با کلمات ساده و منطقی، این توهم را بشکنیم:

وظیفه HTTPS فقط و فقط محافظت از مسیر است؛ یعنی تونلی امن بین گوشی شما و سرور سایت می‌سازد تا کسی نتواند بین راه (مثلاً وقتی به وای‌فای کافه وصل هستید) پیام‌های شما، رمز عبور یا اطلاعات بانکی‌تان را بو بکشد یا بدزدد.

اما وقتی اطلاعات شما از این تونل امن رد شد و به مقصد (یعنی کدهای خود سایت) رسید، وظیفه HTTPS تمام می‌شود. حالا امنیتِ اطلاعات شما، دستِ برنامه‌نویسِ آن سایت است. اگر برنامه‌نویس کدهای سایت را پر از سوراخ نوشته باشد، هکر نیازی ندارد تونل شما را منفجر کند؛ او مستقیماً به خود سایت حمله می‌کند.

👾 هکرها چطور یک سایتِ دارای HTTPS را دور می‌زنند؟

وقتی مسیر امن است، هکرها باهوش‌تر عمل می‌کنند و از ضعف‌های خود اپلیکیشن استفاده می‌کنند. چند نمونه از این حقه‌های زیرکانه:

زبان‌بازی با نگهبان (SQL Injection): سایت‌ها یک اتاق بایگانی دارند به اسم «دیتابیس». هکر به جای وارد کردن نام کاربری در فرم ورود، یک سری دستورات عجیب می‌نویسد. کدهای سایتِ ضعیف، گیج می‌شوند و فکر می‌کنند این دستورات از طرف مدیر صادر شده؛ پس درِ دیتابیس را باز می‌کنند و تمام اطلاعات کاربران را دوستی تقدیم هکر می‌کنند!

دزدیدن کارت دعوت (XSS): هکر یک لینک آلوده به شما می‌دهد یا کدی را در بخش کامنت‌های سایت جا می‌گذارد. وقتی شما کامنت را می‌خوانید، آن کدِ مخفی، «کارت شناسایی» شما در آن سایت (کوکی‌ها) را می‌دزدد. حالا هکر بدون نیاز به رمز عبور شما، با کارت شناسایی شما وارد سایت می‌شود.

کلیدهای زیر پادری (باگ‌های ساده): استفاده از افزونه‌های قدیمی در وردپرس، رمزهای عبور ساده مثل 123456 برای پنل مدیریت، یا باز گذاشتن دسترسی به فایل‌های حساس. این‌ها نیازی به هک کردن ندارند؛ خودمان کلید را زیر پادری گذاشته‌ایم!

🚧 چطور این سوراخ‌ها را ببندیم؟

برای اینکه هم ماشین زره‌پوش داشته باشیم و هم گاوصندوقمان امن باشد، صاحبان سایت‌ها باید این چند قدم منطقی را بردارند:

به هیچ‌کس اعتماد نکن (Input Validation): سایت نباید هر چیزی که کاربر تایپ می‌کند را دربست قبول کند. هر کلمه‌ای که وارد فرم‌ها می‌شود باید قبل از رسیدن به هسته سایت، چک و فیلتر شود.

استخدام یک بادیگاردِ نامرئی (WAF): استفاده از «فایروال وب‌اپلیکیشن». این سیستم مثل یک بانسِر (نگهبان درِ کلوب) عمل می‌کند؛ رفتارها و کدهای مشکوک را قبل از اینکه وارد سایت شوند، شناسایی و بیرون می‌اندازد.

تعویض مداوم قفل‌ها (Update): زبان‌های برنامه‌نویسی، افزونه‌ها و سیستم‌های مدیریت محتوا باید همیشه به آخرین نسخه آپدیت شوند تا سوراخ‌های امنیتیِ کشف‌شده، وصله شوند.

تست نفوذ (Pen-Test): قبل از اینکه هکر واقعی به سایت حمله کند، باید به یک هکر کلاه‌سفید (اخلاقی) پول بدهید تا به سایتتان حمله کند و به شما بگوید از کجاها ضربه‌پذیر هستید.

حرف آخر: HTTPS برای امنیت «ارتباط» ضروری است، اما برای امنیت «سایت» کافی نیست. حتی سایت‌های کلاهبرداری (فیشینگ) هم این روزها می‌توانند در کمتر از ۵ دقیقه برای سایتشان قفل سبزِ HTTPS بگیرند!

unrar x "filename.rar"