| |
向聯(lián)系人發(fā)送消息
添加/刪除聯(lián)系人
在一個基于 Web 的網(wǎng)絡(luò)銀行或金融系統(tǒng)中，攻擊者能夠：
劃拔資金
申請信用卡
更改地址
在電子商務(wù)系統(tǒng)上，攻擊者能夠：
購買商品
每當(dāng)分析XSS對站點(diǎn)的影響時，想一想如果他控制了受害者的鼠標(biāo)和鍵盤能干什么就行了�？紤]一下受害者的內(nèi)部網(wǎng)中的受害者的計算機(jī)能做哪些壞事。要想假冒成用戶，攻擊者需要弄清Web應(yīng)用程序是如何工作的。有時候，可以通過閱讀頁面源代碼來達(dá)此目的，但是最好的方法是使用一個Web代理，例如Burp Suite、WebScarab或者Paros Proxy等。
這些web 代理會攔截往返于Web 瀏覽器和Web服務(wù)器之間的所有通信數(shù)據(jù)，甚至包括通過HTTPS傳輸?shù)牧髁�。您可以記錄這些會話以弄明白Web應(yīng)用程序是向服務(wù)器發(fā)送回數(shù)據(jù)的。 這對于弄清楚如何假冒成該應(yīng)用程序非常有幫助，此外，web 代理對于發(fā)現(xiàn)XSS及其他Web應(yīng)用程序漏洞也有極大的幫助。
五、XSS蠕蟲
一直在線的Web應(yīng)用程序，諸如webmail、社交網(wǎng)絡(luò)、聊天室、在線多人游戲、在線賭場或者一切需要用戶交互以及需要在用戶間相互發(fā)送某種形式信息的Web應(yīng)用程序，都容易受到XSS蠕蟲的攻擊。XSS蠕蟲充分地利用了Web應(yīng)用程序的特性來自我傳播。例如，Webmail應(yīng)用中的XSS蠕蟲利用了攻擊者能夠捕獲受害者的聯(lián)系人名單與發(fā)送電子郵件的事實(shí)。
當(dāng)受害者點(diǎn)擊了指向HTML注入的鏈接時，XSS就會被激活，由此觸發(fā)腳本的執(zhí)行。 腳本將搜索受害者的聯(lián)系人名單，然后發(fā)送電子郵件到受害者的聯(lián)系人名單中的每個聯(lián)系人。每個聯(lián)系人將收到一封來自有信譽(yù)的發(fā)件人（受害者）的電子郵件，該郵件會邀請聯(lián)系人單擊一些鏈接。一旦他單擊了該鏈接，這個聯(lián)系人就會變成了另一個受害者，然后他的聯(lián)系人也會收到他的來信。
XSS蠕蟲以極快的速度繁衍，能夠在短期內(nèi)感染許多用戶，并引起大量的網(wǎng)絡(luò)流量。對于傳播其它攻擊諸如釣魚攻擊等，非常有效。更為有趣的是，攻擊者有時候會向Web應(yīng)用程序添加隱藏的HTML 內(nèi)容以便對瀏覽器發(fā)動多種攻擊。如果用戶運(yùn)行的Web 瀏覽器不是最新的，攻擊者就能夠完全控制用戶的機(jī)器。本例中，XSS用來傳遞某些其他弱點(diǎn)。
上面部分介紹了跨站腳本的危害，下面介紹攻擊者是如何誘騙受害者的。
六、誘捕受害者
現(xiàn)在，我們已經(jīng)知道如何尋找HTML注入點(diǎn)，以及如果攻擊者能夠使用戶單擊指向注入的HTML的鏈接的話，他能夠做哪些事情。有時候，注入的HTML會在正常的用戶交互過程中被激活。也就是說，有許多有效的方法。然而，通常情況下攻擊者必須使用戶單擊了指向注入的HTML代碼的鏈接才能激活攻擊過程。本節(jié)簡要討論如何促使受害者去單擊一個鏈接。
現(xiàn)在假設(shè)您就是攻擊者。如果您發(fā)現(xiàn)可以在http://search.engine.com/search?p= 注入HTML，并且在http://evil.org/e.js處設(shè)計了一個惡意的腳本。 現(xiàn)在，你只要設(shè)法讓人們點(diǎn)擊下列鏈接就行了：
http://search.engine.com/search?p=
但是，究竟會有多少人會點(diǎn)擊上述的鏈接呢？對電腦知識稍有了解的用戶一眼就能看出點(diǎn)擊上述鏈接肯定不會有好事。因此，攻擊者需要給這個鏈接化化妝，然后引誘用戶單擊一些更誘人的東西。
七、隱蔽指向注入的HTML的鏈接
可以用不同的方法來隱蔽鏈接，例如通過anchor標(biāo)簽、使用URL縮短技術(shù)站點(diǎn)、博客以及為攻擊者所控制的網(wǎng)站等。
第一個建議十分簡單，大多數(shù)Web應(yīng)用程序會自動在URL周圍封裝上錨標(biāo)簽以便于用戶跟隨鏈接。如果攻擊者可以寫入他自己的超鏈接，諸如在一個webmail應(yīng)用程序中，那么攻擊者就能夠構(gòu)造一個如下所示的鏈接：
http://goodsite.com/cuteKittens.jpg
這個鏈接會作為http://goodsite.com/cuteKittens.jpg出現(xiàn)，然而，當(dāng)受害者點(diǎn)擊這個鏈接時，將被帶至注入的HTML（即實(shí)際上點(diǎn)擊的是攻擊者注入的HTML）。
用于縮短URL的Web應(yīng)用程序，諸如TinyURL、YATUC、ipulink.com、get-shorty.com（以及所有實(shí)現(xiàn)get-shorty功能的網(wǎng)站）等等，都能把冗長的URL轉(zhuǎn)換成簡短的URL。這些站點(diǎn)都是通過將URL映射到一個較短的URL，而較短的URL又重定向到一個長URL來實(shí)現(xiàn)的。 本新聞共 4頁,當(dāng)前在第 2頁 1 2 3 4 |
|
|
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
