设为首页收藏本站
切换到窄版

 找回密码
 立即注册
搜索
热搜: 活动 交友 discuz
Nmaps Club»论坛 › Pentests Wiki › Wiki › 护网 › [15737] 2020-08-16_基于网络欺骗与浏览器指纹的WEB攻击 ...
返回列表 发新帖
查看: 0|回复: 0

[15737] 2020-08-16_基于网络欺骗与浏览器指纹的WEB攻击溯源

[复制链接]
s7ckTeam

6万

主题

-6万

回帖

-58

积分

管理员

积分
-58
发表于 5 天前 | 显示全部楼层 |阅读模式
2020-08-16_基于网络欺骗与浏览器指纹的WEB攻击溯源 基 于 网 络 欺 骗 与 浏 览 器 指 纹 的 W E B 攻 击 溯 源 X H J 2 0 2 0   F r e e B u f   2 0 2 0 - 0 8 - 1 6 一 一   背 景 概 述 背 景 概 述 针 对 网 站 的 W e b 攻 击 是 互 联 网 安 全 面 临 的 主 要 威 胁 ， 为 隐 藏 身 份 、 逃 避 追 踪 ， 在 对 目 标 网 站 发 起 攻 击 时 ， 黑 客 往 往 会 采 用 多 种 手 段 隐 藏 自 己 的 身 份 ， 如 :   使 用 （ 动 态 ） 代 理 、 V P N 等 。 攻 击 者 的 这 些 手 段 很 好 的 隐 藏 了 自 身 信 息 ， 增 加 了 安 全 人 员 追 踪 溯 源 的 难 度 。 虽 然 针 对 W e b 攻 击 的 防 御 技 术 、 溯 源 技 术 也 在 不 断 发 展 之 中 ， 如 :   I D S 、 W A F 、 基 于 日 志 / 流 量 溯 源 等 ， 但 这 些 技 术 往 往 处 于 被 动 防 御 的 状 态 、 或 溯 源 信 息 不 足 ， 难 以 应 对 复 杂 多 变 的 攻 击 手 段 。 问 题 一 ： 攻 击 流 量 被 隐 藏 在 大 量 的 合 法 流 量 中 ， 不 易 被 发 现 和 识 别 。 尽 管 I D S 、 W A F 功 能 强 大 ， 但 依 然 存 在 漏 报 或 误 报 的 可 能 ， 而 且 也 存 在 因 其 自 身 漏 洞 或 规 则 不 完 善 而 被 绕 过 的 可 能 。 问 题 二 ： 即 使 识 别 攻 击 后 ， 可 基 于 I P 黑 名 单 机 制 阻 断 攻 击 源 ， 但 如 果 攻 击 者 切 换 了 出 口 I P ， 如 何 在 新 的 攻 击 发 起 之 前 有 效 识 别 攻 击 行 为 ， 也 是 目 前 I D S 、 W A F 等 安 全 产 品 所 不 具 备 的 功 能 。 问 题 三 ： 假 如 攻 击 者 在 攻 击 过 程 中 使 用 了 （ 动 态 ） 代 理 、 V P N 等 手 段 ， 则 传 统 的 基 于 W e b 日 志 、 基 于 网 络 流 量 的 追 踪 技 术 ， 并 不 能 有 效 的 定 位 攻 击 者 的 身 份 或 位 置 。 二 二   本 文 目 的 本 文 目 的 图 1   研 究 目 标 为 弥 补 传 统 安 全 防 御 技 术 的 不 足 ， 为 网 络 犯 罪 溯 源 取 证 提 供 依 据 ， 基 于 主 动 防 御 的 思 想 ， 本 文 提 出 了 一 种 基 于 网 络 欺 骗 和 浏 览 器 指 纹 的 溯 源 技 术 方 案 ， 旨 在 有 效 识 别 网 络 攻 击 行 为 、 定 位 攻 击 者 身 份 或 位 置 ， 并 可 通 过 不 同 网 站 之 间 的 协 作 或 信 息 共 享 机 制 感 知 潜 在 的 试 探 性 攻 击 行 为 。 三 三   相 关 技 术 相 关 技 术 1   浏 览 器 指 纹 技 术 浏 览 器 指 纹 技 术
图 2   浏 览 器 指 纹 技 术 概 述 在 浏 览 器 与 网 站 服 务 器 交 互 时 ， 浏 览 器 会 向 网 站 暴 露 许 多 的 不 同 消 息 ， 比 如 浏 览 器 型 号 、 浏 览 器 版 本 、 操 作 系 统 等 信 息 。 如 同 人 的 指 纹 可 以 用 来 识 别 不 同 的 人 一 样 ， 当 浏 览 器 暴 露 信 息 的 熵 足 够 高 时 ， 网 站 就 可 利 用 这 些 信 息 来 识 别 、 追 踪 和 定 位 用 户 。 图 3   浏 览 器 指 纹 技 术 能 力 将 该 技 术 应 用 于 攻 击 溯 源 ， 即 使 黑 客 使 用 了 （ 动 态 ） 代 理 、 V P N 等 ， 采 集 指 纹 信 息 的 “ 溯 源 脚 本 ” 也 可 反 向 到 达 客 户 端 的 浏 览 器 ， 进 而 被 触 发 执 行 ， 以 获 取 与 黑 客 关 联 性 更 强 的 信 息 。 其 中 ， 可 采 集 的 信 息 不 仅 包 括 客 户 端 的 系 统 字 体 、 系 统 语 言 、 浏 览 器 插 件 、 时 区 偏 移 量 、 C a n v a s 、 内 外 网 I P 等 设 备 信 息 ， 也 可 采 集 攻 击 者 的 键 盘 记 录 、 访 问 过 的 网 站 ， 甚 至 特 定 网 站 账 号 （ 存 在 J S O N P 漏 洞 ） 等 行 为 信 息 。 ( “ 溯 源 脚 本 ” 基 于 J a v a S c r i p t 代 码 实 现 ) 2   网 络 欺 骗 技 术 网 络 欺 骗 技 术
图 4   网 络 欺 骗 技 术 概 述 网 络 欺 骗 是 一 种 针 对 网 络 攻 击 的 防 御 手 段 （ 或 策 略 ） ， 目 的 是 让 攻 击 者 相 信 目 标 系 统 存 在 有 价 值 的 、 可 利 用 的 安 全 弱 点 （ 伪 造 或 不 重 要 的 ） ， 从 而 将 攻 击 者 引 向 这 些 错 误 的 资 源 ， 以 达 到 检 测 攻 击 、 阻 碍 攻 击 、 记 录 攻 击 行 为 的 目 的 。 其 中 ， 蜜 罐 是 我 们 常 见 的 一 种 网 络 欺 骗 技 术 ， 除 了 蜜 罐 技 术 ， 还 存 在 蜜 饵 、 蜜 网 、 虚 拟 网 络 拓 扑 等 多 种 欺 骗 技 术 实 现 方 式 。 图 5   网 络 欺 骗 技 术 手 段 通 常 情 况 下 ， 攻 击 者 在 试 图 攻 击 网 站 之 前 ， 都 会 有 一 些 固 有 手 法 ， 用 于 收 集 目 标 网 站 的 信 息 ， 如 ： 子 域 名 爆 破 ， 高 危 端 口 扫 描 、 敏 感 目 录 扫 描 、 W e b 漏 洞 扫 描 等 。 针 对 不 同 的 攻 击 手 段 ， 可 采 用 不 同 的 欺 骗 手 段 来 迷 惑 攻 击 者 ， 如 ： 针 对 子 域 名 爆 破 行 为 ， 可 部 署 虚 假 的 网 站 并 绑 定 子 域 名 ； 针 对 目 录 扫 描 行 为 ， 可 部 署 虚 假 的 后 台 登 录 页 面 等 。 四 四   应 用 场 景 应 用 场 景 1   应 用 场 景 应 用 场 景 - 专 用 欺 骗 环 境 专 用 欺 骗 环 境
图 6   专 用 欺 骗 环 境 架 构 部 署 专 用 的 网 络 欺 骗 环 境 ， 如 ： 注 册 子 域 名 并 故 意 绑 定 虚 假 的 W e b 业 务 系 统 ； 在 W e b 服 务 器 上 部 署 虚 假 的 网 站 登 录 、 注 册 页 面 （ 用 于 抓 取 攻 击 者 的 手 机 号 、 邮 箱 等 信 息 ） ； 部 署 存 在 漏 洞 的 W e b l o g i c 并 对 互 联 网 开 放 等 。 同 时 ， 所 有 的 “ 欺 骗 性 信 息 或 服 务 ” 均 不 对 外 发 布 ， 只 有 采 取 一 定 的 技 术 手 段 才 能 访 问 ， 而 正 常 用 户 通 常 不 会 进 行 该 操 作 。 2   应 用 场 景 应 用 场 景 - 常 规 网 站 防 护 常 规 网 站 防 护 图 7   网 站 后 台 防 护 架 构 在 真 实 的 业 务 系 统 的 管 理 员 登 录 页 面 部 署 “ 溯 源 脚 本 ” ， 不 仅 可 采 集 攻 击 者 的 指 纹 信 息 ， 而 且 当 某 攻 击 者 使 用 同 一 设 备 对 多 个 业 务 系 统 的 管 理 员 登 录 页 面 实 施 攻 击 时 ， 也 可 通 过 浏 览 器 指 纹 将 攻 击 事 件 进 行 关 联 。 （ 备 注 ： 管 理 员 设 备 的 指 纹 信 息 已 加 白 ）
图 8   网 站 整 体 防 护 架 构 此 外 ， 也 可 在 网 站 首 页 部 署 “ 溯 源 脚 本 ” ， 采 集 所 有 用 户 的 指 纹 信 息 ， 并 与 指 纹 库 中 ( 仅 存 储 归 属 于 攻 击 行 为 的 客 户 端 指 纹 ) 的 信 息 做 比 较 ， 以 感 知 潜 在 的 试 探 性 攻 击 行 为 。 该 应 用 场 景 的 优 点 在 于 ， 在 攻 击 者 对 网 站 进 行 分 析 、 查 找 漏 洞 的 过 程 中 ， 即 可 将 其 从 大 量 正 常 流 量 中 识 别 出 来 。 3   应 用 场 景 应 用 场 景 - 注 入 注 入 W e b S h e l l 图 9   溯 源 W e b s h e l l 当 发 现 网 站 被 攻 击 者 入 侵 且 留 下 W e b S h e l l 后 门 时 ， 除 做 好 网 络 和 机 器 隔 离 外 ， 可 暂 时 不 清 除 木 马 文 件 ， 而 是 向 其 中 插 入 “ 溯 源 脚 本 “ ，   等 待 攻 击 者 再 次 访 问 ， 从 而 获 取 与 攻 击 者 关 联 性 较 强 的 指 纹 信 息 ， 为 溯 源 取 证 提 供 依 据 。 五 五     优 点 与 不 足 优 点 与 不 足 该 方 案 的 优 点 ： 该 方 案 的 优 点 ： 1 .   不 存 在 误 报 不 存 在 误 报 构 建 的 欺 骗 环 境 不 对 互 联 网 发 布 ， 正 常 用 户 是 不 可 见 的 ， 只 有 采 用 一 定 手 段 才 可 能 发 现 。 凡 是 访 问 这 些 虚 假 资 源 的 行 为 ， 均 被 认 为 是 潜 在 的 攻 击 行 为 ， 故 不 存 在 误 报 情 况 。 因 此 ， 相 对 于 I D S 、 W A F 等 常 规 安 全 防 护 产 品 ， 基 于 网 络 欺 骗 技 术 ， 可 将 攻 击 流 量 从 大 量 的 合 法 流 量 中 识 别 出 来 ， 不 存 在 误 报 情 况 的 发 生 。 2 .   改 善 漏 报 率 改 善 漏 报 率
即 使 黑 客 在 攻 击 过 程 中 ， 使 用 了 大 量 的 代 理 服 务 器 ， 不 断 的 变 化 着 出 口 I P 地 址 。 基 于 浏 览 器 指 纹 技 术 ， 可 及 时 发 现 采 用 同 一 设 备 发 起 的 试 探 性 攻 击 行 为 ， 进 而 阻 断 该 攻 击 。 （ 备 注 ： 实 际 使 用 时 需 考 虑 浏 览 器 指 纹 的 碰 撞 率 问 题 ） 因 此 ， 相 对 基 于 I P 黑 名 单 的 防 御 机 制 ， 基 于 设 备 指 纹 的 黑 名 单 机 制 ， 可 更 快 的 感 知 、 追 踪 和 阻 止 攻 击 （ 即 使 攻 击 者 使 用 了 大 量 代 理 服 务 器 ） ， 从 而 降 低 漏 报 情 况 的 发 生 。 3   增 强 溯 源 能 力 增 强 溯 源 能 力 相 对 仅 依 靠 服 务 端 获 取 信 息 的 溯 源 能 力 ， 基 于 浏 览 器 指 纹 技 术 ， 可 以 采 集 与 攻 击 者 关 联 性 更 强 的 客 户 端 信 息 ， 甚 至 其 社 交 平 台 的 账 号 （ 需 要 一 定 的 前 提 条 件 ） ， 从 而 增 强 溯 源 取 证 的 能 力 。 该 方 案 的 不 足 ： 该 方 案 的 不 足 ： 1   指 纹 碰 撞 、 指 纹 关 联 问 题 指 纹 碰 撞 、 指 纹 关 联 问 题 首 先 ， 采 集 的 不 同 客 户 端 之 间 的 指 纹 信 息 ， 存 在 指 纹 碰 撞 的 情 况 ， 即 :   不 同 设 备 的 指 纹 被 认 为 是 同 一 设 备 。 同 时 ， 也 存 在 同 一 设 备 因 切 换 网 络 环 境 、 更 新 浏 览 器 、 或 切 换 浏 览 器 导 致 指 纹 信 息 不 一 致 的 情 况 。 因 此 ， 如 何 采 集 区 别 性 更 好 的 客 户 端 特 征 属 性 以 降 低 碰 撞 率 、 如 果 实 现 跨 浏 览 器 、 跨 设 备 的 指 纹 追 踪 ， 是 实 际 应 用 中 需 要 考 虑 的 问 题 。 （ 相 关 内 容 可 参 考 文 末 链 接 ） 六 六   参 考 内 容 参 考 内 容 1     网 络 欺 骗 ， 教 你 如 何 把 来 犯 的 黑 客 玩 弄 于 股 掌 之 间 2   企 业 安 全 建 设 指 南 ： 金 融 行 业 安 全 架 构 与 技 术 实 践 3   浅 谈 W e b 客 户 端 追 踪 4   2 . 5 代 指 纹 追 踪 技 术 — 跨 浏 览 器 指 纹 识 别 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

返回列表 发新帖
高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver|手机版|小黑屋|Nmaps Club

GMT+8, 2025-1-23 12:59 , Processed in 0.569781 second(s), 32 queries .

Powered by Discuz! X3.5

© 2001-2025 Discuz! Team.

快速回复 返回顶部 返回列表