網(wǎng)絡安全7-欺騙攻擊

1、網(wǎng)絡平安 劉敏賢 副教授西南科技大學計算機科學與技術學院.第5章 緩沖區(qū)溢出攻擊回想緩沖區(qū)溢出攻擊的根本原理、方法緩沖區(qū)溢出程序的原理及要素攻擊UNIX攻擊WINDOWS.第7章 欺騙攻擊欺騙攻擊是網(wǎng)絡攻擊的一種重要手段。常見的欺騙攻擊方式有：DNS欺騙攻擊；Email欺騙攻擊；Web欺騙攻擊和IP欺騙攻擊等。本章引見這些主要欺騙攻擊的原理、實現(xiàn)技術。 .第7章 欺騙攻擊7.1 DNS欺騙攻擊 7.2 Email欺騙攻擊 7.3 Web欺騙攻擊 7.4 IP欺騙攻擊 .2022/8/225概述在Internet上計算機之間相互進展的交流建立在兩個前提之下：認證Authentication信任T

2、rust.2022/8/226概述認證:認證是網(wǎng)絡上的計算機用于相互間進展識別的一種鑒別過程，經(jīng)過認證的過程，獲準相互交流的計算機之間就會建立起互置信任的關系。 .2022/8/227概述信任:信任和認證具有逆反關系，即假設計算機之間存在高度的信任關系，那么交流時就不會要求嚴厲的認證。而反之，假設計算機之間沒有很好的信任關系，那么會進展嚴厲的認證。.2022/8/228概述欺騙本質上就是一種冒充身份經(jīng)過認證騙取信任的攻擊方式。攻擊者針對認證機制的缺陷，將本人偽裝成可信任方，從而與受害者進展交流，最終攫取信息或是展開進一步攻擊。 .2022/8/229概述目前比較流行的欺騙攻擊主要有5種：IP欺

3、騙：運用其他計算機的IP來騙取銜接，獲得信息或者得到特權；電子郵件欺騙：電子郵件發(fā)送方地址的欺騙；DNS欺騙：域名與IP地址轉換過程中實現(xiàn)的欺騙；Web欺騙：發(fā)明某個萬維網(wǎng)網(wǎng)站的復制影像，從而到達欺騙網(wǎng)站用戶目的的攻擊。.DNS欺騙攻擊DNS欺騙原理假設當提交給某個域名效力器的域名解析懇求的數(shù)據(jù)包被截獲，然后按截獲者的意圖將一個虛偽的IP地址作為應對信息前往給懇求者，這時，原始懇求者就會把這個虛偽的IP地址作為它所要懇求的域名而進展銜接，顯然它被欺騙到了別處而根本銜接不上本人想要銜接的那個域名 對那個客戶想要銜接的域名而言，它就算是被黑掉了，由于客戶由于無法得到它的正確的IP地址而無法銜接上它

4、第7章 第1節(jié).2022/8/2211DNS任務原理DNS的全稱是Domain Name Server即域名效力器，當一臺主機發(fā)送一個懇求要求解析某個域名時，它會首先把解析懇求發(fā)到本人的DNS效力器上。DNS的功能是提供主機名字和IP地址之間的轉換信息。DNS效力器里有一個“DNS緩存表，里面存儲了此DNS效力器所管轄域內主機的域名和IP地址的對應關系。.2022/8/2212DNS任務原理例如，客戶主機需求訪問dhs時，首先要知道dhs的IP地址?？蛻糁鳈C獲得dhs IP地址的獨一方法就是向所在網(wǎng)絡設置的DNS效力器進展查詢。查詢過程分四步進展。.DNS解析出IP的過程1舉個例子, 假設今天

5、我們查的 Domain Name (作為一個 dns 懇求) 為 sina. 時, DNS Server 如何處置:(1) 他所用的電腦送出一個問題給這臺電腦所設定的 DNS Server(Local DNS). 問: sina 的 IP 是什么? (2) 這臺 DNS 會先看看是不是在他的 cache 中, 假設是, 就給出答案.假設不是, 就從最上頭(根域)查起。在 DNS Server 上面一定有設定的 . ，這個時候它就往 . 層的任何一臺 DNS (目前 . 有 13 臺) 問問題，問 sina 的IP誰知道? (3) . 層的 DNS 會回答 ：我這沒有sina 的記錄，我曾經(jīng)把的

6、域名解析權交給了，我通知他的IP，他去向問吧,于是將結果(一個IP 地址)返還給他的Local DNS。(這個時候前往的是一個 name server 的IP). .DNS解析出IP的過程2(4) 接下來他所用的 Local DNS 就會向 這層的 DNS 問：sina 的IP是什么? name server經(jīng)查找本身說：我這沒有 sina 的記錄，我曾經(jīng)把sina的域名解析權交給sina，我通知他sina 的IP 地址，他問sina 好了! 也將結果一個IP地址返還給Local DNS。(5) 于是Local DNS再向sina 這層的 DNS問：他知道 sina 的IP嗎? 由于sina

7、是 sina 的授權DNS,上面有www主機的A記錄，于是將這個IP通知給他的Local DNS,于是Local DNS拿到了sina 的IP地址。.2022/8/2215DNS任務原理 上圖中有三臺主機：客戶主機、nipc域DNS效力器和dhs域DNS效力器。其中nipc域DNS效力器直接為客戶主機提供DNS效力。下面對這四個過程進展解釋。 .2022/8/2216DNS域名解析過程1客戶主機軟件(例如Web閱讀器)需求對dhs進展解析，它向本地DNS效力器(nipc域)發(fā)送域名解析懇求，要求回復dhs的IP地址；2) 由于本地DNS效力器的數(shù)據(jù)庫中沒有dhs的記錄，同時緩存中也沒有記錄，所

8、以，它會根據(jù)DNS協(xié)議機器配置向網(wǎng)絡中的其他DNS效力器提交懇求。這個查詢懇求逐級遞交，直到dhs域的真正權威DNS效力器收到懇求(這里省略了尋覓dhs域DNS效力器的迭代過程，假定本地DNS效力器最終找到了所需求的信息)；.2022/8/2217DNS域名解析過程23) dhs域DNS效力器將向nipc域DNS效力器前往IP查詢結果(假定為)；4) nipc域的本地DNS效力器最終將查詢結果前往給客戶主機閱讀器，并將這一結果存儲到其DNS緩存當中，以便以后運用。在一段時間里，客戶主機再次訪問dhs時，就可以不需求再次轉發(fā)查詢懇求，而直接從緩存中提取記錄向客戶端前往IP地址了。 經(jīng)過上面幾步，

9、客戶主機獲得了它所等待的dhs網(wǎng)站的IP地址，這樣整個域名解析過程就終了了。.2022/8/2218DNS欺騙的原理及實現(xiàn)步驟當客戶主機向本地DNS效力器查詢域名的時候，假設效力器的緩存中曾經(jīng)有相應記錄，DNS效力器就不會再向其他效力器進展查詢，而是直接將這條記錄前往給用戶。而入侵者欲實現(xiàn)DNS欺騙，關鍵的一個條件就是在DNS效力器的本地Cache中緩存一條偽造的解析記錄。.2022/8/2219DNS欺騙的原理及實現(xiàn)步驟在上面例子中，假設dhs域DNS效力器前往的是經(jīng)過攻擊者篡改的信息，比如將dhs指向另一個IP地址，nipc域DNS效力器將會接受這個結果，并將錯誤的信息存儲在本地Cache

10、中。.以后在這條緩存記錄的生存期內，再向nipc域DNS效力器發(fā)送的對dhs的域名解析懇求，所得到的IP地址都將是被篡矯正的。2022/8/2220DNS欺騙的原理及實現(xiàn)步驟.2022/8/2221DNS欺騙的原理及實現(xiàn)步驟有了對DNS效力器進展欺騙的能夠，攻擊者怎樣偽造DNS應對信息就成了問題的焦點。目前有兩種能夠情況下的實現(xiàn)方法:攻擊者可以控制本地的域名效力器攻擊者無法控制任何DNS效力器.2022/8/2222第一種能夠情況一種能夠是，攻擊者可以控制本地的域名效力器(假定是nipc域的權威)，在其數(shù)據(jù)庫中添加一個附加記錄，將攻擊目的的域名(例如dhs)指向攻擊者的欺騙IP。緊接著，攻擊者

11、向dhs域DNS效力器發(fā)送對some.nipc域名的解析懇求。dhs域的DNS效力器自然轉而向nipc域的DNS效力器發(fā)送懇求。.2022/8/2223第一種能夠情況(2)這時候，本地的域名效力器除了前往正常的some.nipc的IP地址外，還會在前往包中附加dhs的映射記錄。假設dhs域的DNS效力器允許緩存一切收到的信息的話，發(fā)過來到dhs的偽造映射記錄便“注射到其Cache中了。.2022/8/2224第二種能夠情況另一種更現(xiàn)實的情況，就是攻擊者無法控制任何DNS效力器，但他可以控制該效力所在網(wǎng)絡的某臺主機，并可以監(jiān)聽該網(wǎng)絡中的通訊情況。這時候，黑客要對遠程的某個DNS效力器進展欺騙攻擊

12、，所采用的手段很像IP欺騙攻擊：首先，黑客要冒充某個域名效力器的IP地址；其次，黑客要能預測目的域名效力器所發(fā)送DNS數(shù)據(jù)包的ID號。確定目的DNS效力器的ID號即為DNS欺騙攻擊的關鍵所在.2022/8/2225第二種能夠情況(2)DNS數(shù)據(jù)是經(jīng)過UDP協(xié)議傳送的，在DNS效力器之間進展域名解析通訊時，懇求方和應對方都運用UDP 53端口，而這樣的通訊過程往往是并行的，也就是說，DNS域名效力器之間同時能夠會進展多個解析過程，既然不同的過程運用一樣的端口號，那靠什么來彼此區(qū)別呢?答案就在DNS報文里面。DNS報文格式頭部的ID域，是用于區(qū)別不同會話過程的，這有點類似于TCP中的序列號，域名解

13、析的懇求方和應對方只需運用一樣的ID號才干證明是同一個會話(由懇求方?jīng)Q議所運用的ID)。不同的解析會話，采用不同的ID號。.2022/8/2226第二種能夠情況(3)在一段時期內，DNS效力器普通都采用一種有章可循的ID生成機制，例如，對于每次發(fā)送的域名解析懇求，依次將數(shù)據(jù)包中的ID加1。如此一來，攻擊者假設可以在某個DNS效力器的網(wǎng)絡中進展嗅探，他只需向遠程的DNS效力器發(fā)送一個對本地某域名的解析懇求，經(jīng)過嗅探得到的來自目的DNS效力器的懇求數(shù)據(jù)包由于遠程DNS效力器一定會轉而懇求本地的DNS效力器，攻擊者就可以得到想要的ID號了。.2022/8/2227第二種能夠情況(4)例子：nipc域

14、的DNS效力器向dhs域的DNS效力器懇求解析，假設攻擊者所偽造的DNS應對包中含有正確的ID號，并且搶在dhs域的DNS效力器之前向nipc域的DNS效力器前往偽造信息，欺騙攻擊就將獲得勝利的。.2022/8/2228第二種能夠情況(5)其實，即使攻擊者無法監(jiān)聽某個擁有DNS效力器的網(wǎng)絡，也有方法得到目的DNS效力器的ID號。首先，他向目的DNS效力器懇求對某個不存在域名地址但該域是存在的進展解析。然后，攻擊者冒充所懇求域的DNS效力器，向目的DNS效力器延續(xù)發(fā)送應對包，這些包中的ID號依次遞增。過一段時間，攻擊者再次向目的DNS效力器發(fā)送針對該域名的解析懇求，假設得到前往結果，就闡明目的D

15、NS效力器接受了剛剛黑客的偽造應對，繼而闡明黑客猜測的ID號在正確的區(qū)段上，否那么，攻者可以再次嘗試。 .2022/8/2229第二種能夠情況(6)實踐攻擊中，第二種攻擊方法實現(xiàn)比較復雜。知道了ID號，并且知道了ID號的增長規(guī)律，以下的過程類似于IP欺騙攻擊。.2022/8/2230一次DNS欺騙攻擊的完好過程.2022/8/2231DNS欺騙的局限性及防御DNS欺騙主要存在兩點局限性：攻擊者不能交換緩存中曾經(jīng)存在的記錄例如，假設在這個DNS上曾經(jīng)有了一條dhs/22的對應記錄，那么入侵者試圖交換這條記錄是不能夠的，也就是說，攻擊者不能夠修正曾經(jīng)存在的記錄。但是在DNS效力器中一些記錄可以累加

16、。假設在DNS的緩存中曾經(jīng)存在一條dhs/22的對應記錄，攻擊者可以向緩存中再放入另一條偽造的記錄dhs/1。這樣在DNS效力器中就有兩條dhs的解析記錄，客戶主機查詢時，效力器會隨機前往其中一個，這樣就只需50幾率實現(xiàn)DNS欺騙。 DNS效力器存在緩存刷新時間問題在DNS應對報文里有一個字段生存時間TTL用來設定客戶程序保管該資源記錄的秒數(shù)。假設緩存中記錄的TTL為7200，那么DNS效力器會把dhs的域名解析信息緩存7200秒，即兩個小時。假設攻擊者放入一條TTL為259200的記錄，那么這條記錄將會在緩存中保管三天時間。也就是說，DNS欺騙的有效時間是與緩存中記錄的TTL相關的，一旦超越

17、緩存有效時間，除非重新構造緩存記錄，否那么DNS欺騙會自動失效。.2022/8/2232DNS欺騙的局限性及防御在配置DNS效力器的時候留意：運用最新版本DNS效力器軟件并及時安裝補?。环怄iDNS效力器的遞歸功能：DNS效力器利用緩存中的記錄信息回答查詢懇求或是DNS效力器經(jīng)過查詢其它效力器獲得查詢信息并將它發(fā)送給客戶機，這兩種查詢方式稱為遞歸查詢，這種查詢方式容易導致DNS欺騙。限制區(qū)域傳輸范圍：限制域名效力器做出呼應的地址、限制域名效力器做出呼應的遞歸懇求地址、限制發(fā)出懇求的地址；限制動態(tài)更新；采用分層的DNS體系構造。. Email欺騙攻擊Email欺騙方法攻擊者佯稱本人為系統(tǒng)管理員郵件

18、地址和系統(tǒng)管理員完全一樣，給用戶發(fā)送郵件要求用戶修正口令口令能夠為指定字符串或在貌似正常的附件中加載病毒或其他木馬程序 第7章 第2節(jié). Email欺騙攻擊Email欺騙實現(xiàn)步驟SMTP效力器允許匿名登錄填寫假的稱號和發(fā)信人地址運用web方式騙取密碼，或者運用附件植入木馬第7章 第2節(jié).2022/8/2235電子郵件欺騙及防御技術電子郵件欺騙的原理電子郵件欺騙的防御.2022/8/2236電子郵件欺騙的原理攻擊者運用電子郵件欺騙有三個目的：第一，隱藏本人的身份。第二，假設攻擊者想冒充他人，他能冒充那個人的電子郵件。第三，電子郵件欺騙能被看作是社會工程的一種表現(xiàn)方式。.電子郵件欺騙的原理一個郵件

19、系統(tǒng)的傳輸包含用戶代理User Agent、傳輸代理Transfer Agent及投遞代理Delivery Agent三大部分。用戶代理是一個用戶端發(fā)信和收信的程序，擔任將信件按照一定的規(guī)范包裝，然后送到郵件效力器，將信件發(fā)出或由郵件效力器收回。傳輸代理那么擔任信件的交換和傳輸，將信件傳送至適當?shù)泥]件效力器。再由投遞代理將信件分發(fā)至最終用戶的郵箱。在正常的情況下，郵件會盡量將發(fā)送者的名字和地址包括進郵件頭信息中，但是，有時候，發(fā)送者希望將郵件發(fā)送出去而不希望收件者知道是誰發(fā)的，這種發(fā)送郵件的方法稱為匿名郵件。實現(xiàn)匿名的一種最簡單的方法，是簡單地改動電子郵件軟件里的發(fā)送者的名字，但經(jīng)過郵件頭的其

20、它信息，仍可以跟蹤發(fā)送者。另一種比較徹底的匿名方式是讓其他人發(fā)送這個郵件，郵件中的發(fā)信地址就變成了轉發(fā)者的地址了。如今因特網(wǎng)上有大量的匿名轉發(fā)者或稱為匿名效力器。.2022/8/2238電子郵件欺騙的原理執(zhí)行電子郵件欺騙有三種根本方法，每一種有不同難度級別，執(zhí)行不同層次的隱蔽。它們分別是： 利用類似的電子郵件地址 直接運用偽造的地址遠程登錄到SMTP端口發(fā)送郵件.2022/8/2239利用類似的電子郵件地址這主要是利用人們的大意心思。攻擊者找到一個受害者熟習的名字。有了這個名字后，攻擊者注冊一個看上去像受害者熟習的名字的郵件地址。這樣收信人很能夠會回復這個郵箱發(fā)來信，這樣攻擊者就有得到想要信息

21、的能夠性。 .2022/8/2240直接運用偽造的Email地址SMTP協(xié)議即簡單郵件傳輸協(xié)議有著一個致命的缺陷：它所遵照過于信任的原那么，沒有設計身份驗證系統(tǒng)。 SMTP建立在假定人們的身份和他們所聲稱一致的根底之上，沒有對郵件發(fā)送者的身份進展驗證。這使得人們可以隨意構造發(fā)件人地址來發(fā)送郵件。下頁我們經(jīng)過修正郵件客戶端軟件的設置來例如這一點。.2022/8/2241直接運用偽造的Email地址對于那些沒有設置SMTP身份驗證功能的郵件效力器，例如右圖所示的Outlook郵件客戶軟件就不需求做相應的設置，當用戶運用郵件客戶軟件發(fā)出電子郵件時，發(fā)送郵件效力器不會對發(fā)件人地址進展驗證或者確認，因此

22、攻擊者可以隨意指定他想運用的一切地址，而這些地址當然會作為郵件源出如今收件人的信中。.2022/8/2242直接運用偽造的Email地址此外，在右圖所示的例子中，攻擊者還可以指定他想要的任何郵件前往地址。因此當用戶回信時，回答回到攻擊者所掌握的郵箱testtest，而不是回到被盜用了地址的人那里。.2022/8/2243遠程登錄到SMTP端口SMTP協(xié)議普通運用25號端口，郵件效力器經(jīng)過它在互聯(lián)網(wǎng)上發(fā)送郵件。 執(zhí)行電子郵件欺騙的一個比較復雜的方法是遠程登錄到郵件效力器的25號端口發(fā)送郵件。.2022/8/2244遠程登錄到25號端口(2)攻擊者首先找到郵件效力器的IP地址，或者經(jīng)過運轉端口掃描

23、程序來判別哪些機器是25號端口開放的郵件效力器。在攻擊者有了一臺25號端口開放的機器和一臺正在運轉的郵件效力器后，輸入下面的命令：telnet IP地址 25在銜接上以后，再輸入下面的內容：HELOMAIL FROM: 欺騙偽裝的mail地址RCPT TO: 收件的受害者mail地址DATA郵件的內容.2022/8/2245例如：遠程登錄25端口的Email欺騙實驗環(huán)境局域網(wǎng)mail效力器為50Mail效力器不需求身份驗證內有兩個用戶分別為：liuylan.nipcchensllan.nipc實驗方式偽裝成liuylan.nipc給chensllan.nipc發(fā)郵件.2022/8/2246Em

24、ail欺騙過程telnet到效力器經(jīng)過telnet，銜接到郵件效力器的25端口。在cmd.exe下運用的命令：telnet 50 25結果如下圖，闡明曾經(jīng)銜接到了25端口.2022/8/2247Email欺騙過程發(fā)送郵件內容220 nipcoa Magic Winmail Server 2.4(Build 0530) ESMTP readyhelo250 nipcoa Magic Winmail Server 2.4(Build 0530)mail from: liuylan.nipc250 okrcpt to: chensllan.nipc250 okdata354 go aheadsubj

25、ect: testto: chensllan.nipcfrom: liuylan.nipcthis is a test.250 ok message accepted for deliveryquit221 nipcoa Magic Winmail Server 2.4(Build 0530)紅色部分是根據(jù)SMTP協(xié)議自行輸入的內容；黑色部分是效力器的前往信息。闡明.2022/8/2248Email欺騙過程發(fā)送郵件內容截屏.2022/8/2249Email欺騙過程結果用戶chensllan.nipc將收到來自liuylan.nipc的郵件，如下圖。但是liuylan.nipc并不知道本人發(fā)送了

26、郵件。試想，假設郵件的內容里有病毒或者其它惡意代碼，且chensllan.nipc信任liuylan.nipc，那么將會是一件多么危險的事情啊。.2022/8/22505.4.2 電子郵件欺騙的防御做為互聯(lián)網(wǎng)用戶，必需時辰樹立風險認識，不要隨意翻開一個不可信任的郵件。此外，下面引見幾種防備方法分別從這幾個方面入手：郵件接納者郵件發(fā)送者郵件效力器郵件加密.2022/8/2251防備方法郵件接納者做為郵件接納者來說，用戶需求合理配置郵件客戶端，使每次總能顯示出完好的電子郵件地址，而不是僅僅顯示別名，完好的電子郵件地址能提供一些跡象闡明正在發(fā)生一些不平常的事情。用戶應該留意檢驗發(fā)件人字段，不要被類似

27、的發(fā)信地址所蒙蔽。.2022/8/2252防備方法郵件發(fā)送者做為郵件發(fā)送者來說，假設他運用foxmail或者outlook之類的郵件客戶端，他必需維護好這些郵件客戶端，防止他人對客戶端的設置進展修正。.2022/8/2253防備方法郵件效力器對于郵件效力器提供方來說，采用的SMTP身份驗證機制。原來運用SMTP協(xié)議發(fā)送郵件的時候并不需求任何驗證，身份欺騙極易實現(xiàn)。如今將POP協(xié)議收取郵件需求用戶名/密碼驗證的思想移至到SMTP協(xié)議，發(fā)送郵件也需求類似的驗證。絕大多數(shù)郵件效力提供商都是采用的這種做法，通常是運用與接納郵件一樣的用戶名和密碼來發(fā)送郵件。采用這種方法之后，雖然SMTP協(xié)議平安性的問題

28、依然無法從根本上得到處理，但是電子郵件欺騙曾經(jīng)變得不像過去那么容易了。.2022/8/2254防備方法PGP加密還有一種能夠的處理方法是運用公鑰加密，其中運用最廣泛的就是PGP郵件加密。PGP (Pretty Good Privacy) 是一個可以讓您的電子郵件擁有嚴密功能的程序。藉此他可以將他的郵件加密 ，一旦加密后，郵件看起來是一堆無意義的亂碼 。PGP 提供了極強的維護功能，即使是最先進的解碼分析技術也無法解讀加密后的文字。PGP 加密與解密不像其它傳統(tǒng)加密的方式，而是以公鑰密碼學為根底的。 .2022/8/2255防備方法PGP加密2舉例來說，當他要傳送一封嚴密信或檔案給某人時，必需先

29、獲得那人的公鑰Public Key，然后利用這個公鑰將信件加密。當某人收到您加密的信件后，他必需利用相應的私鑰(Secret Key) 來解密。因此，除非其它人擁有收信者的私鑰，否那么無法解開發(fā)信人所加密的信件。同時，收信人在運用私鑰解密時，還必需輸入通行碼，如此又對加密后的郵件多了一層維護。. Email欺騙攻擊Email欺騙的防護查看郵件原文，檢查真正的發(fā)件效力器地址經(jīng)過郵件鏈接網(wǎng)頁的時候，留意真正的網(wǎng)站地址在不同的運用中，盡能夠運用不一樣的、無關的密碼第7章 第2節(jié). Web欺騙攻擊Web欺騙攻擊原理攻擊者經(jīng)過偽造某個WWW站點的影像拷貝，使該Web的入口進入到攻擊者的Web影像效力器，

30、并經(jīng)過攻擊者機器的過濾作用，從而到達攻擊者監(jiān)控受攻擊者的任何活動以獲取有用信息的目的第7章 第3節(jié). Web欺騙攻擊Web欺騙方法改寫URLWeb中的腳本第7章 第3節(jié).2022/8/2259Web欺騙的概念Web站點給用戶提供了豐富多彩的信息，Web頁面上的文字、圖畫與聲音可以給人深化的印象。在計算機世界中，我們往往都習慣各類圖標、圖形，代表各類不同的含義。人們往往還會在事件的時間先后順序中得到某種暗示。假設在單擊銀行的網(wǎng)頁時username對話框同時出現(xiàn)了，用戶自然會以為應該輸入在該銀行的賬戶與口令。假設他在單擊了一個文檔鏈接后，立刻開場了下載，那么他很自然地會以為該文件正從該站點下載。然

31、而，以上的想法不一定總是正確的。.Web欺騙的概念Web欺騙是一種電子信息欺騙，攻擊者發(fā)明了一個完好的令人服氣的Web世界，但實踐上它卻是一個虛偽的復制。虛偽的Web看起來非常逼真，它擁有一樣的網(wǎng)頁和鏈接。然而攻擊者控制著這個虛偽的Web站點，這樣受害者的閱讀器和Web之間的一切網(wǎng)絡通訊就完全被攻擊者截獲。.2022/8/2261Web欺騙的概念由于攻擊者可以察看或者修正任何從受害者到Web效力器的信息，同樣地，也控制著從Web效力器發(fā)至受害者的前往數(shù)據(jù)，這樣攻擊者就有發(fā)起攻擊的能夠性。攻擊者可以監(jiān)視被攻擊者的網(wǎng)絡信息，記錄他們訪問的網(wǎng)頁和內容。當被攻擊者填完一個表單并發(fā)送后，這些數(shù)據(jù)將被傳送

32、到Web效力器，Web效力器將前往必要的信息，但不幸的是，攻擊者完全可以截獲并運用這些信息。.2022/8/2262Web欺騙的概念在得到必要的數(shù)據(jù)后，攻擊者可以經(jīng)過修正受害者和Web效力器兩方任何一方數(shù)據(jù)，來進展破壞活動。攻擊者可以修正受害者確實認數(shù)據(jù)，攻擊者還可以修正Web效力器前往的數(shù)據(jù)。 .2022/8/2263Web欺騙的任務原理Web欺騙可以勝利的關鍵是在受害者和真實Web效力器之間插入攻擊者的Web效力器，這種攻擊常被稱為“中間人攻擊(man-in-the-middle)。 .2022/8/2264Web欺騙的任務原理為了建立這樣的Web效力器，攻擊者要完成以下任務：攻擊者改寫W

33、eb頁中的一切URL地址，使它們指向攻擊者的Web效力器不是真正的Web效力器。例如， microsoft將變?yōu)?。.2022/8/2265Web欺騙的任務原理當用戶單擊改寫過的httpwwwmicrosoft /銜接，將進入的是httpmicrosoft /，再由/向httpmicrosoft /發(fā)出懇求并獲得真正的文檔，這樣攻擊者就可以改寫文檔中的一切鏈接，最后經(jīng)過/前往給用戶的閱讀器。.2022/8/2266Web欺騙的任務原理任務流程如下所示：用戶訪問偽造過的/向httpmicrosoft /懇求文檔；microsoft /向/前往文檔；/改寫文檔中的一切URL；/向用戶前往改寫后的文

34、檔。 . Web欺騙攻擊改寫URL with html links seems like Microsoft /microsoft microsoft html page with links like : g.microsoft html page with links like : /g.microsoft第7章 第3節(jié). Web欺騙攻擊利用Web腳本進展欺騙原理攻擊者設計一個網(wǎng)頁，并誘使受害者閱讀該網(wǎng)頁該網(wǎng)頁中包含有一個圖片和一個腳本當閱讀時，該圖片被下載到受害者計算機的暫時目錄中，而腳本被運轉腳本的功能是將圖片中隱藏的木馬提取出來，并設置為自動執(zhí)行第7章 第3節(jié). Web欺騙攻擊利用W

35、eb腳本進展欺騙根本控件a1=document.applets0; a1.setCLSID(F935DC22-1CF0-11D0-ADB9-00C04FD58A0B); a1.createInstance(); reg = a1.GetObject(); a1.setCLSID(0D43FE01-F093-11CF-8940-00A0C9054228); a1.createInstance(); FSO = a1.GetObject(); 第7章 第3節(jié).Web欺騙攻擊Web腳本從BMP圖片中釋放程序set Lt=FSO.CreateTextFile(path & tmp.in) Lt.Wri

36、teLine(rbx) Lt.WriteLine(0) Lt.WriteLine(rcx) Lt.WriteLine(1000) Lt.WriteLine(w) Lt.WriteLine(q) Lt.Close 第7章 第3節(jié). Web欺騙攻擊Web腳本從BMP圖片中釋放程序WSH.Run command /c debug & path & tmp.dat & path & tmp.out,false,6 On Error Resume Next FSO.GetFile(path & tmp.dat).Copy(winsys & tmp.exe) FSO.GetFile(path & tmp.

37、dat).Delete FSO.GetFile(path & tmp.in).Delete FSO.GetFile(path & tmp.out).Delete 第7章 第3節(jié). Web欺騙攻擊其它Web攻擊網(wǎng)頁病毒、木馬及時晉級補丁、運用平安級別高的閱讀器HTTP劫持網(wǎng)絡整體防護網(wǎng)絡釣魚第7章 第3節(jié).2022/8/2273Web欺騙案例網(wǎng)絡釣魚很多人是聞其名而色變，由于它經(jīng)常扮演成一只幕后黑手伸向人們的口袋確切地講，網(wǎng)絡釣魚就是那些黑客們借用電子郵件或是模擬網(wǎng)上銀行、網(wǎng)上購物等一切網(wǎng)上買賣的頁面而制造出假的網(wǎng)頁頁面，以假亂真，讓用戶在毫不知情的情況下泄顯露本人的相關賬戶信息賬號、密碼，一旦

38、這些黑客們得到了用戶的賬號信息，后果可想而知。經(jīng)典案例：工商銀行網(wǎng)上銀行被黑客多次偽造.2022/8/22網(wǎng)絡入侵與防備講義74 2005年1月，一個冒充中國工商銀行網(wǎng)站出如今互聯(lián)網(wǎng)上，誘騙銀行卡持有人的帳戶和密碼，并導致多人的銀行存款被盜，直接經(jīng)濟損失達80萬元人民幣。中國工商銀行icbc冒充工商銀行1cbc網(wǎng)絡釣魚喬裝銀行，眾網(wǎng)友自動上鉤.2022/8/22網(wǎng)絡入侵與防備講義75工商銀行網(wǎng)站被仿造又一例URL顯露了馬腳.針對于站點的欺騙攻擊技術cookies欺騙攻擊session欺騙攻擊.cookies欺騙原理什么是cookies? 因特網(wǎng)閱讀器的記錄標志cookies的作用? Cooki

39、es是一種可以讓網(wǎng)站效力器把少量數(shù)據(jù)儲存到客戶端的硬盤或內存，或是從客戶端的硬盤讀取數(shù)據(jù)的一種技術。Cookies是當他閱讀某網(wǎng)站時，由Web效力器置于他硬盤上的一個非常小的文本文件，它可以記錄他的用戶ID、密碼、閱讀過的網(wǎng)頁、停留的時間等信息。當他再次來到該網(wǎng)站時，網(wǎng)站經(jīng)過讀取Cookies，得知他的相關信息，就可以做出相應的動作，如在頁面顯示歡迎他的標語，或者讓他不用輸入ID、密碼就直接登錄等等。.cookies欺騙原理cont.Cookies在哪里?Cookies文件的存放位置為C:Documents and Settings用戶CookiesCookies的格式?他的用戶名產(chǎn)生的COO

40、KIE的網(wǎng)頁文件所在的WEB目錄COOKIE改動的次數(shù).txt什么是Cookies欺騙?Cookies欺騙，就是在只對用戶做Cookies驗證的系統(tǒng)中，經(jīng)過修正Cookies的內容來得到相應的用戶權限登錄。.cookies欺騙攻擊實現(xiàn)方法普通思緒如下: 尋覓具有Cookies欺騙破綻的站點 注冊用戶并登陸保管本人的Cookies 偷取其他用戶的Cookies 修正本人的Cookies等于或大致等于其 他用戶的Cookies 刷新頁面,改換身份 驗證身份.session欺騙原理什么是session? Session是指一個終端用戶與交互系統(tǒng)進展通訊的時間間隔，通常指從注冊進入系統(tǒng)到注銷退出系統(tǒng)之

41、間所經(jīng)過的時間。詳細到Web中的Session指的就是用戶在閱讀某個網(wǎng)站時，從進入網(wǎng)站到閱讀器封鎖所經(jīng)過的這段時間，也就是用戶閱讀這個網(wǎng)站所破費的時間。從上述的定義中我們可以看到，Session實踐上是一個特定的時間概念. 說白了也就是當一個訪問者來到他的網(wǎng)站的時候一個Session就開場了，當他分開的時候Session就終了了。.session欺騙原理cont.session任務原理: web效力器能經(jīng)過Session對象區(qū)分不同的閱讀器，由于Session對象是用來記錄閱讀器端的變量，存儲一些如用戶名等比較敏感或有用的信息。這點似乎和Cookie有點像。但我們知道Cookie的值都是保管在

42、客戶端的，而Session的值卻是保管在效力器端。當每個訪問者第一次閱讀器訪問效力器的一個ASP網(wǎng)頁的時候，效力器會為他創(chuàng)建一個新的并且獨立的Session對象，分配給該會話一個會話標識號，并把包含會話標識符的特殊加密版本的一個Cookie會話標識號發(fā)送給客戶,當閱讀器封鎖時，這個會話標識號也就消逝了。什么是Session欺騙 所謂Session欺騙,就是在只對用戶做Session驗證的系統(tǒng)中，經(jīng)過偽造Session的內容來得到相應的用戶權限登錄操作。.session欺騙原理cont.session和cookies的區(qū)別:1.保管位置不同：Cookie是保管在客戶端。Session保管在效力器

43、端。2.保管時間不同：Cookie可以保管在用戶電腦上一年，或者更長的時間 Session往往只能保管幾非常鐘3.失效方式不同：Cookie設定時間后，會不斷保管用戶的電腦上哪怕用 戶關機。Session保管效力器的內存中，只需效力器重啟，或者網(wǎng)站封鎖，都會喪失。兩者之間的關系，兩個都是用來保管用戶的信息。但是Session是基于Cookie根底上的。假設用戶的閱讀器制止Cookie后，Session也是不能運用的.session欺騙原理cont.Session驗證的普通步驟: 登錄頁面輸入賬號密碼后，假設有他輸入賬號密碼就以為他是管理員, 然后給他一個表示他身份的session值或者其他方法

44、的驗證，接著跟上面一樣給他個表示他身份的sesion值, 隨后他進入任何一個管理頁面它都要首先驗證他的session值.Session欺騙，必需有三個前提: 1進展欺騙的網(wǎng)頁和被欺騙的網(wǎng)頁必需位于同一個網(wǎng)站內2必需知道管理頁面。3必需知道Session變量以及它的限制條件。 .session欺騙原理cont.session欺騙攻擊思緒: 已有某網(wǎng)站abc，下有登錄頁：Login.asp，勝利登錄后轉向可以看到敏感信息的ok.asp設有訪問限制，驗證經(jīng)過那么顯示，否那么轉向Fail.asp。黑客先構造一個hack.asp的網(wǎng)頁，經(jīng)過閱讀該網(wǎng)頁，建立Session會話，并設置一下Session驗證

45、時所需求的值，然后直接訪問登錄以后的網(wǎng)頁ok.asp，由于ok.asp是經(jīng)過Session來驗證的，勝利繞過用戶名和密碼驗證. 假設ok.asp和hack.asp不在同一臺效力器上，這種攻擊能否可行?Session欺騙，必需有三個前提: 1進展欺騙的網(wǎng)頁和被欺騙的網(wǎng)頁必需位于同一個網(wǎng)站內2必需知道后臺管理登陸頁面3必需知道Session變量以及它的限制條件 .2022/8/2287Web欺騙的防御防備Web欺騙的方法：配置網(wǎng)絡閱讀器使它總能顯示目的URL，并且習慣查看它。檢查源代碼，假設發(fā)生了URL重定向，就一定會發(fā)現(xiàn)。不過，檢查用戶銜接的每一個頁面的源代碼對普通用戶來說是不真實踐的想法。運用

46、反網(wǎng)絡釣魚軟件。禁用JavaScript、ActiveX或者任何其他在本地執(zhí)行的腳本言語。確保運用有效和能適當?shù)馗櫽脩?。無論是運用cookie還是會話ID，都應該確保要盡能夠的長和隨機。培育用戶留意閱讀器地址線上顯示的URL的好習慣。培育用戶的平安認識和對開發(fā)人員的平安教育。. Web欺騙攻擊Web欺騙的防護很隱蔽，不容易被發(fā)現(xiàn)預防手段制止閱讀器中的JavaScript功能確保閱讀器的銜接形狀是可見的時辰留意所點擊的URL鏈接會在位置形狀行中得到正確的顯示第7章 第3節(jié).Ip欺騙.2022/8/2290在Internet上計算機之間相互進展的交流建立在兩個前提之下：認證Authenticat

47、ion信任Trust.2022/8/2291認證:認證是網(wǎng)絡上的計算機用于相互間進展識別的一種鑒別過程，經(jīng)過認證的過程，獲準相互交流的計算機之間就會建立起互置信任的關系。 .2022/8/2292信任:信任和認證具有逆反關系，即假設計算機之間存在高度的信任關系，那么交流時就不會要求嚴厲的認證。而反之，假設計算機之間沒有很好的信任關系，那么會進展嚴厲的認證。.2022/8/2293欺騙本質上就是一種冒充身份經(jīng)過認證騙取信任的攻擊方式。攻擊者針對認證機制的缺陷，將本人偽裝成可信任方，從而與受害者進展交流，最終攫取信息或是展開進一步攻擊。 . IP欺騙攻擊IP欺騙的根底經(jīng)過偽造IP地址可以獲得更過的