|
網(wǎng)絡(luò)技術(shù)是從1990年代中期發(fā)展起來的新技術(shù)，它把互聯(lián)網(wǎng)上分散的資源融為有機整體，實現(xiàn)資源的全面共享和有機協(xié)作，使人們能夠透明地使用資源的整體能力并按需獲取信息。資源包括高性能計算機、存儲資源、數(shù)據(jù)資源、信息資源、知識資源、專家資源、大型數(shù)據(jù)庫、網(wǎng)絡(luò)、傳感器等。 當(dāng)前的互聯(lián)網(wǎng)只限于信息共享，網(wǎng)絡(luò)則被認為是互聯(lián)網(wǎng)發(fā)展的第三階段。 前言本文描述Internet上的一種安全攻擊，它可能侵害到WWW用戶的隱私和數(shù)據(jù)完整性。這種攻擊可以在現(xiàn)有的系統(tǒng)上實現(xiàn)，危害最普通的Web瀏覽器用戶，包括Netscape Navigator和Microsoft Internet Explorer用戶。 允許攻擊者創(chuàng)造整個WWW世界的影像拷貝。影像Web的入口進入到攻擊者的Web服務(wù)器，經(jīng)過攻擊者機器的過濾作用，允許攻擊者監(jiān)控受攻擊者的任何活動,包括帳戶和口令。攻擊者也能以受攻擊者的名義將錯誤或者易于誤解的數(shù)據(jù)發(fā)送到真正的Web服務(wù)器，以及以任何Web服務(wù)器的名義發(fā)送數(shù)據(jù)給受攻擊者。簡而言之，攻擊者觀察和控制著受攻擊者在Web上做的每一件事。 欺騙攻擊 在一次欺騙攻擊中，攻擊者創(chuàng)造一個易于誤解的上下文環(huán)境，以誘使受攻擊者進入并且做出缺乏安全考慮的決策。欺騙攻擊就像是一場虛擬游戲：攻擊者在受攻擊者的周圍建立起一個錯誤但是令人信服的世界。如果該虛擬世界是真實的話，那么受攻擊者所做的一切都是無可厚非的。但遺憾的是，在錯誤的世界中似乎是合理的活動可能會在現(xiàn)實的世界中導(dǎo)致災(zāi)難性的后果。 欺騙攻擊在現(xiàn)實的電子交易中也是常見的現(xiàn)象。例如，我們曾經(jīng)聽說過這樣的事情：一些西方罪犯分子在公共場合建立起虛假的ATM取款機，該種機器可以接受ATM卡，并且會詢問用戶的PIN密碼。一旦該種機器獲得受攻擊者的PIN密碼，它會要么“吃卡”，要么反饋“故障”，并返回ATM卡。不論哪一種情況，罪犯都會獲得足夠的信息，以復(fù)制出一個完全一樣的ATM卡。后面的事情大家可想而知了。在這些攻擊中，人們往往被所看到的事物所愚弄：ATM取款機所處的位置，它們的外形和裝飾，以及電子顯示屏的內(nèi)容等等。 人們利用計算機系統(tǒng)完成具有安全要求的決策時往往也是基于其所見。例如，在訪問網(wǎng)上銀行時，你可能根據(jù)你所見的銀行Web頁面，從該行的帳戶中提取或存入一定數(shù)量的存款。因為你相信你所訪問的Web頁面就是你所需要的銀行的Web頁面。無論是頁面的外觀、URL地址，還是其他一些相關(guān)內(nèi)容，都讓你感到非常熟悉，沒有理由不相信。但是，你很可能是在被愚弄。 Web欺騙的兩個組成部分 為了分析可能出現(xiàn)欺騙攻擊的范圍和嚴(yán)重性，我們需要深入研究關(guān)于Web欺騙的兩個部分：安全決策和暗示。 安全決策 安全決策，這里指的是會導(dǎo)致安全問題的一類決策。這類決策往往都含有較為敏感的數(shù)據(jù)，也就是意味著一個人在做出決策時，可能會因為關(guān)鍵數(shù)據(jù)的泄露，導(dǎo)致不受歡迎的結(jié)果。很可能發(fā)生這樣的事情：第三方利用各類決策數(shù)據(jù)攻破某種秘密，進行破壞活動，或者導(dǎo)致不安全的后果。例如，在某種場合輸入帳戶和密碼，就是我們在此談到的安全決策問題。因為帳戶和密碼的泄露會產(chǎn)生我們不希望發(fā)生的問題。此外，從Internet上下載文件也是一類安全決策問題。不能否認，在下載的文件當(dāng)中可能會包含有惡意破壞的成分，盡管這樣的事情不會經(jīng)常發(fā)生。 安全決策問題無處不在，甚至在我們通過閱讀顯示信息做出決策時，也存在一個關(guān)于信息準(zhǔn)確性的安全決策問題。例如，如果你決定根據(jù)網(wǎng)上證券站點所提供的證券價格購買某類證券時，那么你必須確保所接收信息的準(zhǔn)確性。如果有人故意提供不正確的證券價格，那么不可避免地會有人浪費自己的財富。 暗示 WWW站點提供給用戶的是豐富多彩的各類信息，人們通過瀏覽器任意翻閱網(wǎng)頁，根據(jù)得到的上下文環(huán)境來做出相應(yīng)的決定。Web頁面上的文字、圖畫與聲音可以給人以深刻的印象，也正是在這種背景下，人們往往能夠判斷出該網(wǎng)頁的地址。例如，一個特殊標(biāo)識的存在一般意味著處于某個公司的Web站點。 我們都知道目標(biāo)的出現(xiàn)往往傳遞著某種暗示。在計算機世界中，我們往往都習(xí)慣于各類圖標(biāo)、圖形，它們分別代表著各類不同的含義。富有經(jīng)驗的瀏覽器用戶對某些信息的反應(yīng)就如同富有經(jīng)驗的駕駛員對交通信號和標(biāo)志做出的反應(yīng)一樣。 目標(biāo)的名字能傳達更為充分的信息。人們經(jīng)常根據(jù)一個文件的名稱來推斷它是關(guān)于什么的。manual.doc是用戶手冊的正文嗎？它完全可以是另外一個文件種類，而不是用戶手冊一類的文檔。一個microsoft.com的鏈接難道就一定指向我們大家都知道的微軟公司的URL地址嗎？顯然可以偷梁換柱，改向其他地址。 人們往往還會在時間的先后順序中得到某種暗示。如果兩個事件同時發(fā)生，你自然地會認為它們是有關(guān)聯(lián)的。如果在點擊銀行的網(wǎng)頁時，username對話框同時出現(xiàn)了，你自然地會認為你應(yīng)該輸入你在該銀行的帳戶與口令。如果你在點擊了一個文檔鏈接后，立即就開始了下載，那么你很自然地會認為該文件正從該站點下載。然而，以上的想法不一定都是正確的。 如果你僅僅看到一個彈出窗口，那么你會和一個可視的事件聯(lián)系起來，而不會認識到一個隱藏在窗口背后的不可視的事件。 現(xiàn)代的用戶接口程序設(shè)計者花費很大的精力來設(shè)計簡單易懂的界面，人們感受到了方便，但潛在的問題是人們可能習(xí)慣于此，不可避免地被該種暗示所欺騙。 Web欺騙的欺騙手段 TCP和DNS欺騙 除了我們將要討論的欺騙手段外，還有一些其他手段，在這里我們將不做討論。這種攻擊的例子包括TCP欺騙（在TCP包中使用偽造的IP地址）以及DNS欺騙（攻擊者偽造關(guān)于機器名稱和網(wǎng)絡(luò)信息）。讀者有興趣可以閱讀有關(guān)資料。 Web欺騙 Web欺騙是一種電子信息欺騙，攻擊者在其中創(chuàng)造了整個Web世界的一個令人信服但是完全錯誤的拷貝。錯誤的Web看起來十分逼真，它擁有相同的網(wǎng)頁和鏈接。然而，攻擊者控制著錯誤的Web站點，這樣受攻擊者瀏覽器和Web之間的所有網(wǎng)絡(luò)信息完全被攻擊者所截獲，其工作原理就好像是一個過濾器。 后果 由于攻擊者可以觀察或者修改任何從受攻擊者到Web服務(wù)器的信息；同樣地，也控制著從Web服務(wù)器至受攻擊者的返回數(shù)據(jù)，這樣攻擊者就有許多發(fā)起攻擊的可能性，包括監(jiān)視和破壞。 攻擊者能夠監(jiān)視受攻擊者的網(wǎng)絡(luò)信息，記錄他們訪問的網(wǎng)頁和內(nèi)容。當(dāng)受攻擊者填寫完一個表單并發(fā)送后，這些數(shù)據(jù)將被傳送到Web服務(wù)器，Web服務(wù)器將返回必要的信息，但不幸的是，攻擊者完全可以截獲并加以使用。大家都知道絕大部分在線公司都是使用表單來完成業(yè)務(wù)的，這意味著攻擊者可以獲得用戶的帳戶和密碼。下面我們將看到，即使受攻擊者有一個“安全”連接（通常是通過Secure Sockets Layer來實現(xiàn)的，用戶的瀏覽器會顯示一把鎖或鑰匙來表示處于安全連接），也無法逃脫被監(jiān)視的命運。 在得到必要的數(shù)據(jù)后，攻擊者可以通過修改受攻擊者和Web服務(wù)器之間任何一個方向上的數(shù)據(jù)，來進行某些破壞活動。攻擊者修改受攻擊者的確認數(shù)據(jù)，例如，如果受攻擊者在線訂購某個產(chǎn)品時，攻擊者可以修改產(chǎn)品代碼，數(shù)量或者郵購地址等等。攻擊者也能修改被Web服務(wù)器所返回的數(shù)據(jù)，例如，插入易于誤解或者攻擊性的資料，破壞用戶和在線公司的關(guān)系等等。 欺騙整個Web世界 你可能認為攻擊者欺騙整個Web世界是不可能的，但是恰恰相反，攻擊者不必存儲整個Web世界的內(nèi)容，他只需要制造出一條通向整個Web世界的鏈路。當(dāng)他需要提供關(guān)于某個Web站點的錯誤Web頁面時，他只需要在自己的服務(wù)器上建立一個該站點的拷貝，由此等待受害者自投羅網(wǎng)。 Web欺騙的工作原理 欺騙能夠成功的關(guān)鍵是在受攻擊者和其他Web服務(wù)器之間設(shè)立起攻擊者的Web服務(wù)器，這種攻擊種類在安全問題中稱為“來自中間的攻擊”。為了建立起這樣的中間Web服務(wù)器，黑客往往進行以下工作。 改寫URL 首先，攻擊者改寫Web頁中的所有URL地址，這樣它們指向了攻擊者的Web服務(wù)器而不是真正的Web服務(wù)器。假設(shè)攻擊者所處的Web服務(wù)器是 www.org ，攻擊者通過在所有鏈接前增加 http://www.www.org 來改寫URL。例如， http://home.xxx1.com 將變?yōu)?http://www.www.org/http://home.xxx1.com. 當(dāng)用戶點擊改寫過的 http://home.xxx1.com （可能它仍然顯示的是 http://home.xxx1 ），將進入的是 http://www.www.org ，然后由 http://www.www.org 向 http://home.xxx1.com 發(fā)出請求并獲得真正的文檔，然后改寫文檔中的所有鏈接，最后經(jīng)過 http://www.www.org 返回給用戶的瀏覽器。工作流程如下所示： 1.用戶點擊經(jīng)過改寫后的 http://www.www.org/http://home.xxx1.com ； 2. http://www.www.org向http://home.xxx1.com 請求文檔； 3. http://home.xxx1.com向http://www.www.org 返回文檔； 4. http://www.www.org 改寫文檔中的所有URL； 5. http://www.www.org 向用戶返回改寫后的文檔。 很顯然，修改過的文檔中的所有URL都指向了 www.org ，當(dāng)用戶點擊任何一個鏈接都會直接進入 www.org ，而不會直接進入真正的URL。如果用戶由此依次進入其他網(wǎng)頁，那么他們是永遠不會擺脫掉受攻擊的可能。 關(guān)于表單 如果受攻擊者填寫了一個錯誤Web上的表單，那么結(jié)果看來似乎會很正常，因為只要遵循標(biāo)準(zhǔn)的Web協(xié)議，表單欺騙很自然地不會被察覺：表單的確定信息被編碼到URL中，內(nèi)容會以HTML形式來返回。既然前面的URL都已經(jīng)得到了改寫，那么表單欺騙將是很自然的事情。 當(dāng)受攻擊者提交表單后，所提交的數(shù)據(jù)進入了攻擊者的服務(wù)器。攻擊者的服務(wù)器能夠觀察，甚至是修改所提交的數(shù)據(jù)。同樣地，在得到真正的服務(wù)器返回信息后，攻擊者在將其向受攻擊者返回以前也可以為所欲為。 網(wǎng)絡(luò)的神奇作用吸引著越來越多的用戶加入其中，正因如此，網(wǎng)絡(luò)的承受能力也面臨著越來越嚴(yán)峻的考驗―從硬件上、軟件上、所用標(biāo)準(zhǔn)上......，各項技術(shù)都需要適時應(yīng)勢，對應(yīng)發(fā)展，這正是網(wǎng)絡(luò)迅速走向進步的催化劑。 |
溫馨提示：喜歡本站的話，請收藏一下本站！
本站發(fā)布的Win7純凈版系統(tǒng)、Win10純凈版和XP純凈版系統(tǒng)僅為個人學(xué)習(xí)測試使用，請在下載后24小時內(nèi)刪除，不得用于任何商業(yè)用途，否則后果自負，請支持購買微軟正版軟件！
本站所有資源全部來自于網(wǎng)絡(luò)資源,如侵犯到您的權(quán)益,請及時通知我們(),我們會及時處理.
Copyright © 2018-2020 蘿卜系統(tǒng) 手機站 關(guān)于本站
