在互联网发展迅速的时代下，网络安全漏洞是越来越受到各界人士的关注， 在2011年乌云爆出CSDN等等的明文数据账户密码， 到今天即将爆发的基础认证钓鱼，为什么说是基础认证钓鱼？ 因为他伪造成弹窗显示来钓鱼得到用户的账号密码， 这是在乌云漏洞平台最新得到的钓鱼方式，而普通的伪造页面钓鱼已然失效， 我们来看一下基础认证钓鱼的方法吧！ 而很多不懂网络安全的用户会 认知为是打开网页需要认证此地址的账号密码， 等用户输入了之后，账号密码就悄然的到了黑客的接受地址。 但和钓鱼不同的是，由于引入外部内容可伪装成合法数据且为用户数据的高度不可控， 会导致web软件自身会拦不住（或者拦截成本过高）， 浏览器拦的话可以考虑（但目前也没见到类似拦截iframe的方法）， 再或者安全软件用智慧星方法把已知xss平台给拦（但这样的话对安全研究成为灾难）...... 所以个人更偏向需要向普通用户普及安全知识，或者用户自己直接用host把已知xss平台给屏蔽。 综上：厂商忽略有道理，靠自己真修不了，也无从修起。 |
原贴地址: http://bbs.kafan.cn/thread-1421026-1-1.html
浅谈所谓 基础认证钓鱼
背景介绍
http://www.wooyun.org/bugs/wooyun-2010-015248
请认真阅读以上背景资料??否则本文只会给你带来困惑
本文由xkongbai撰写??谢绝转载
用词很多不准确??我对网页这一块也是才开始打酱油??如果有疏漏 欢迎指出
以下是正文
示例和原理
示例网址：
http://finance.huagu.com/rdsm/1211/135648.html
查看上述示例网址的源代码??很容易发现?
??这个代码是诱发登录窗口页面的元凶
这个代码可以看出
1. 这个图片显示为1X1??即 实际上的不可见
一般只有用于统计的图片这样设置??而这个作为分割线的图片这样显示??显然是非常可疑的
2.获取这个图片需要登录??即弹出的那个登录框
类似于许多论坛游客是没有下载权限的
点击下载附件??会接到提示 要求你登录 原理是一样的
只要你试图访问
http://cms2.huagu.com/
这个服务器??都需要登录
然后??不管登录成功与否??特意构造的服务器都会记录你的登录ID和key??这样 钓鱼者就能成功获取到了所需
这就是那个所谓基础认证钓鱼的攻击原理
构造攻击方式：
设置一个服务器A??
设置整个服务器或者部分内容要求权限 登录???并设置记录所有登录ID和密码无论是否验证通过?
服务器提示加入诱导性内容。诸如（登录超时，请重新登录 等等）
在服务器B的网页添加属于服务器A的元素。
比如回帖时插入图片，个性签名时的图片，此类方法权限要求低，无需直接对服务器B发起攻击提权。
（服务器A和B可以是相同域名，只要你能把服务器B给黑了）
【常见的可以使用插入图片等，实际上，任何元素，不局限于图片，只要是对服务器A的权限内容发出请求，都会有验证弹窗】
坐等上钩，定期查看服务器A的日志即可获取受害者的ID和key
攻击防御办法：
这个所谓基础认证钓鱼,就技术上而言毫无亮点，唯一的思路亮点是思路猥琐。。。
将来应该可以从浏览器层面实现 对访问域名的跨站登录弹窗 过滤【我猜的】
即在访问服务器B时 服务器A的弹窗是默认不被弹出的[此防御方法在当服务器A\B是同一域名时，失效]
只要知道了正常访问是不会有这种界面丑陋的登录弹窗??不去输入ID和key
这种钓鱼就毫无价值了
而且??一般的??弹窗 上的服务器域名与访问的主域名??不一致 也应察觉到可疑
不过 对于中老年人和小白而言
嗯嗯 没啥好说的???听天由命吧。。。 ?
还真没意识到这问题 看下增长见识~~