搜索

[16229] 2020-12-20_浅析Punycode钓鱼攻击

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-12-20_浅析Punycode钓鱼攻击 浅 析 P u n y c o d e 钓 鱼 攻 击 安 全 狗   F r e e B u f   2 0 2 0 - 1 2 - 2 0 0 x 0 1   P u n y c o d e 钓 鱼 攻 击 钓 鱼 攻 击 1 . 1 什 么 是 网 络 钓 鱼 ？ 什 么 是 网 络 钓 鱼 ？ 网 络 钓 鱼 （ P h i s h i n g ， 与 钓 鱼 的 英 语 f i s h i n g 发 音 相 近 ， 又 名 钓 鱼 法 或 钓 鱼 式 攻 击 ） 是 通 过 大 量 发 送 声 称 来 自 于 银 行 或 其 他 知 名 机 构 的 欺 骗 性 垃 圾 邮 件 ， 意 图 引 诱 收 信 人 给 出 敏 感 信 息 （ 如 用 户 名 、 口 令 、 帐 号 I D   、   A T M   P I N   码 或 信 用 c a r d 详 细 信 息 ） 的 一 种 攻 击 方 式 。 攻 击 者 利 用 欺 骗 性 的 电 子 邮 件 和 伪 造 的   W e b   站 点 来 进 行 网 络 诈 骗 活 动 ， 受 骗 者 往 往 会 泄 露 自 己 的 私 人 资 料 ， 如 信 用 c a r d 号 、 银 行 c a r d 账 户 、 身 份 I D 号 等 内 容 。 诈 骗 者 通 常 会 将 自 己 伪 装 成 网 络 银 行 、 在 线 零 售 商 和 信 用 c a r d 公 司 等 可 信 的 品 牌 ， 骗 取 用 户 的 私 人 信 息 。 P S ： ： 来 自 百 度 百 科 的 回 答 例 如 常 见 的 电 子 邮 件 欺 骗 ， 又 称 钓 鱼 邮 件 攻 击 ， 是 电 子 邮 件 使 用 过 程 中 面 临 的 主 要 威 胁 。 如 何 一 眼 看 穿 电 子 邮 件 诈 骗 呢 ？ 其 实 ， 只 要 细 心 就 能 发 现 。 紧 迫 感   —   电 子 邮 件 声 称 如 果 不 回 复 密 码 或 不 点 击 链 接 ， 会 有 什 么 严 重 后 果 。 拼 写 错 误   —   邮 件 中 有 明 显 或 故 意 拼 写 错 误 ， 这 是 为 了 避 开 垃 圾 邮 件 过 滤 器 的 安 全 检 查 。 发 送 和 回 复 地 址 不 同   —   电 子 邮 件 声 称 来 自 “ A . c o m ” ， 但 回 复 地 址 却 是 “ B . c o m ” 。 产 品 或 服 务 不 一 致   —   牛 头 不 对 马 嘴 ， 腾 讯 Q Q 公 司 发 邮 件 说 你 的 陌 陌 账 号 存 在 风 险 。 字 符 相 似 性 混 淆   —   b o s s @ a . c o m   和   b 0 s s @ a . c o m   ， 你 发 现 了 有 什 么 不 同 吗 ？ 1 . 2 钓 鱼 可 能 产 生 的 危 害 有 哪 些 ？ 钓 鱼 可 能 产 生 的 危 害 有 哪 些 ？ 例 如 ： 文 件 通 过 P N G 隐 写 技 术 将 真 正 的 模 块 隐 藏 在 自 身 携 带 的 图 片 资 源 中 ， 在 运 行 时 从 图 片 中 动 态 提 取 出 恶 意 模 块 ， 然 后 直 接 在 内 存 （ P E ） 中 加 载 执 行 。
1 . 3 钓 鱼 四 步 走 钓 鱼 四 步 走 看 天 根 据 不 同 国 家 或 地 区 ， 看 看 当 前 国 情 和 时 事 ， 发 现 哪 些 目 标 和 人 群 适 合 钓 鱼 攻 击 ， 进 行 定 点 钓 鱼 。 选 竿 选 择 特 定 的 目 标 人 群 。 做 饵 制 作 具 有 诱 惑 性 的 文 件 、 图 片 （ 隐 写 术 ） 、 木 马 、 执 行 文 件 等 等 钓 鱼 工 具 （ 免 杀 ） 。 上 大 鱼 最 后 ， 就 是 等 待 傻 鱼 的 上 钩 咯 。 0 x 0 2   P u n y c o d e 钓 鱼 攻 击 介 绍 钓 鱼 攻 击 介 绍 钓 鱼 攻 击 ， “ 几 乎 无 法 检 测 ” ， 即 便 平 时 十 分 谨 慎 的 用 户 也 可 能 无 法 逃 过 欺 骗 。 在 某 些 钓 鱼 场 景 中 ， 黑 客 可 利 用 C h r o m e 、 F i r e f o x 和 O p e r a 浏 览 器 中 的 已 知 漏 洞 ， 将 虚 假 的 域 名 伪 装 成 苹 果 、 谷 歌 或 者 亚 马 逊 网 站 ， 以 窃 取 用 户 的 登 录 凭 证 、 金 融 凭 证 或 其 他 敏 感 信 息 。 2 . 1 同 形 异 义 字 攻 击 同 形 异 义 字 攻 击 同 形 异 义 字 攻 击 自 2 0 0 1 年 以 来 就 已 为 人 所 知 ， 但 是 浏 览 器 厂 商 修 复 该 问 题 的 过 程 却 很 艰 难 。 这 种 欺 骗 攻 击 就 是 网 址 看 起 来 是 合 法 的 ， 但 实 际 上 不 是 ， 因 为 其 中 的 一 个 字 符 或 者 多 个 字 符 已 经 被 U n i c o d e 字 符 代 替 了 。 许 多 U n i c o d e 字 符 ， 代 表 的 是 国 际 化 的 域 名 中 的 希 腊 、 斯 拉 夫 、 亚 美 尼 亚 字 母 ， 看 起 来 跟 拉 丁 字 母 一 样 ， 但 是 计 算 机 却 会 把 他 们 处 理 成 完 全 不 一 样 网 的 网 址 。 比 如 说 ， 斯 拉 夫 字 母 “ а ”   （ U + 0 4 3 0 ） 和 拉 丁 字 母 “ a ” （ U + 0 0 4 1 ） 会 被 浏 览 器 处 理 成 不 同 的 字 符 ， 但 是 在 地 址 栏 当 中 都 显 示 为 “ a ” 。 备 注 ： 早 期 的 D N S （ D o m a i n   N a m e   S y s t e m ） 是 只 支 持 英 文 域 名 解 析 。 域 名 的 编 码 字 符 集 是 A S C I I 码 。 在 I D N s （ 国 际 化 域 名 i n t e r n a t i o n a l   d o m a i n   n a m e s ） 推 出 后 ， 为 了 保 证 兼 容 以 前 的 D N S ， 所 以 ， 对 I D N s 进 行 p u n y c o d e 转
码 ， 转 码 后 的 p u n y c o d e 就 由 2 6 个 英 文 字 母 + 1 0 个 数 字 ， 还 有 ‘ - ’ 组 成 。 A S C I I 码 ： A S C I I 码 是 基 于 拉 丁 字 母 的 一 套 电 脑 编 程 系 统 ， 主 要 用 于 显 示 现 代 英 语 和 其 他 西 欧 语 言 。 它 被 设 计 为 用 1 个 字 节 来 表 示 一 个 字 符 ， 所 以 A S C I I 码 表 最 多 只 能 表 示 2 * * 8 = 2 5 6 个 字 符 。 实 际 上 A S C I I 码 表 中 只 有 1 2 8 个 字 符 ， 剩 余 的 1 2 8 个 字 符 是 预 留 扩 展 用 的 。 U n i c o d e ： 随 着 世 界 互 联 网 的 形 成 和 发 展 ， 各 国 的 人 们 开 始 有 了 互 相 交 流 的 需 要 。 但 是 这 个 时 候 就 存 在 一 个 问 题 ， 每 个 国 家 所 使 用 的 字 符 编 码 表 都 是 不 同 的 。 这 个 时 候 ， 人 们 希 望 有 一 个 世 界 统 一 的 字 符 编 码 表 来 存 放 所 有 国 家 所 使 用 的 文 字 和 符 号 ， 这 就 是 U n i c o d e 。 U n i c o d e 又 被 称 为   统 一 码 、 万 国 码 、 单 一 码 ， 它 是 为 了 解 决 传 统 的 字 符 编 码 方 案 的 局 限 性 而 产 生 的 ， 它 为 每 种 语 言 中 的 每 个 字 符 设 定 了 统 一 并 且 为 之 一 的 二 进 制 编 码 。 U n i c o d e 规 定 所 有 的 字 符 和 符 号 最 少 由 2 个 字 节 （ 1 6 位 ） 来 表 示 ， 所 以 U n i c o d e 码 可 以 表 示 的 最 少 字 符 个 数 为 2 * * 1 6 = 6 5 5 3 6 。 I D N ： 国 际 化 域 名 （ 英 语 ： I n t e r n a t i o n a l i z e d   D o m a i n   N a m e ， 缩 写 ： I D N ） 又 称 特 殊 字 符 域 名 ， 是 指 部 分 或 完 全 使 用 特 殊 的 文 字 或 字 母 组 成 的 互 联 网 域 名 ， 包 括 法 语 、 中 文 、 斯 拉 夫 语 、 泰 米 尔 语 、 希 伯 来 语 或 拉 丁 字 母 等 非 英 文 字 母 ， 这 些 文 字 经 多 字 节 万 国 码 编 译 而 成 。 I D N 的 域 名 是 使 用 u n i c o d e 字 符 集 。 计 算 与 知 名 网 址 的 相 似 度 此 时 这 个 待 检 测 域 名 被 映 射 成 一 个 它 所 有 可 能 的 相 似 域 名 ， 这 时 候 将 t o p 2 w 的 知 名 网 址 域 名 与 这 个 相 似 域 名 做 一 个 交 集 ， 如 果 该 域 名 是 由 I D N 域 名 衍 生 而 来 的 ， 则 只 要 这 个 域 名 与 知 名 网 站 有 交 集 则 认 定 这 个 域 名 有 高 度 伪 造 嫌 疑 ， 因 为 常 常 使 用 I D N 域 名 的 情 况 通 常 是 有 伪 造 嫌 疑 的 。 如 果 该 域 名 不 是 由 I D N 域 名 衍 生 而 来 的 ， 则 判 断 与 知 名 网 站 域 名 交 集 个 数 是 否 为 1 （ 这 里 的 意 义 在 于 伪 造 的 域 名 具 有 极 强 的 针 对 性 ） 而 且 判 断 这 两 个 域 名 之 间 的 编 辑 距 离 是 否 为 1 。 因 为 部 分 知 名 网 站 中 的 域 名 本 身 就 十 分 相 似 ， 如 果 这 个 ‘ 恶 意 ’ 域 名 与 多 个 知 名 网 站 域 名 相 似 ， 则 反 映 出 针 对 性 不 强 ， 且 更 容 易 误 报 。 再 者 ， 根 据 统 计 ， 9 0 % 的 域 名 伪 造 行 为 编 辑 距 离 都 等 于 1 ， 也 就 是 说 ， 大 部 分 伪 造 域 名 只 会 替 换 其 中 的 一 个 字 符 （ 毕 竟 字 符 替 换 多 了 ， 人 就 更 容 易 察 觉 其 中 的 不 同 ） 。 2 . 2 C h r o m e 、 、 F i r e f o x 和 和 O p e r a 浏 览 器 的 漏 洞 又 是 来 自 哪 里 ？ 浏 览 器 的 漏 洞 又 是 来 自 哪 里 ？ 经 测 试 C h r o m e 、 F i r e f o x 和 O p e r a 能 够 直 接 在 地 址 栏 中 显 示 U n i c o d e 字 符 ， 我 们 即 可 注 册 U n i c o d e 域 名 对 应 的 P u n y c o d e 转 码 后 的 域 名 ， 在 浏 览 器 中 输 入 网 址 后 会 直 接 显 示 U n i c o d e 字 符 。
一 般 来 讲 ， 我 们 在 打 开 某 一 个 陌 生 的 页 面 后 ， 会 查 看 浏 览 器 加 载 出 来 后 检 查 地 址 栏 ， 看 看 地 址 是 否 由 有 效 的 H T T P S 连 接 提 供 或 域 名 是 不 是 就 是 真 的 域 名 （ 例 如 ： w w w . b a i d u . c o m ） 。 对 吧 ？ 本 次 ， 我 们 主 要 要 讲 的 是 利 用 P u n y c o d e 转 码 后 的 域 名 ， 伪 造 欺 骗 。 页 面 是 由 发 现 这 一 攻 击 的 中 国 安 全 研 究 员 X u d o n g Z h e n g 创 建 的 ， 点 击 去 看 看 。 w w w . x n — 8 0 a k 6 a a 9 2 e . c o m 那 么 ， 我 们 来 分 析 哈 ， 我 们 本 来 是 想 要 访 问 浏 览 器 后 ， 能 直 接 被 浏 览 器 解 析 为 ： w w w . a p p l e . c o m   的 。 先 看 看 w w w . x n — 8 0 a k 6 a a 9 2 e . c o m 解 析 成 中 文 域 名 后 ， 是 什 么 样 的 ， 如 下 ： h t t p s : / / w w w . c h r o m e d o w n l o a d s . n e t / c h r o m e 6 4 w i n - c a n a r y / l i s t _ 5 _ 2 . h t m l 如 果 有 安 装 谷 歌 ， 请 先 卸 载 掉 当 前 版 本 （ 我 这 里 是 最 新 版 本 ） ， 再 安 装 5 6 . 0 . 2 9 0 6 . 0 _ c h r o m e 6 4 _ c a n a r y _ w i n d o w s _ i n s t a l l e r . e x e   （ 离 线 安 装 版 ） ， 此 时 ， 我 们 在 谷 歌 浏 览 器 旧 版 本 （ 5 6 ） 里 访 问 w w w . x n — 8 0 a k 6 a a 9 2 e . c o m 之 后 ， 谷 歌 浏 览 器 旧 版 本 （ 5 6 ） 会 自 动 还 原 成 w w w . a p p l e . c o m ， 在 该 版 本 浏 览 器 中 ， 我 们 的 浏 览 器 是 容 易 遭 受 “ 同 形 异 义 字 攻 击 ” 的 。 因 为 5 6 . 0 . 2 9 0 6 . 0 _ c h r o m e 6 4 _ c a n a r y _ w i n d o w s _ i n s t a l l e r . e x e 的 浏 览 器 只 将 单 一 语 言 采 用 的 U n i c o d e 编 码 转 换 为 P o n y c o d e U R L   （ 比 如 汉 语 或 者 日 语 ） ， 但 是 如 果 一 个 域 名 当 中 包 含 来 自 多 个 语 言 的 字 符 ， 浏 览 器 就 无 法 分 辨 了 。
那 么 ， 我 们 用 最 新 版 的 谷 歌 浏 览 器 （ 本 博 主 最 新 版 谷 歌 浏 览 器 为 ： 8 3 . 0 . 4 1 0 3 . 6 1 （ 正 式 版 本 ） ） 再 次 访 问 w w w . x n — 8 0 a k 6 a a 9 2 e . c o m 试 试 呢 ？ 看 看 结 果 如 何 从 上 图 ， 我 们 可 以 看 出 浏 览 器 并 没 有 将 U R L 域 名 转 发 为 w w w . a p p l e . c o m   ， 可 见 在 新 版 本 中 已 修 复 该 漏 洞 。 G o o g l e 已 经 在 C h r o m e   C a n a r y   5 9 中 修 复 了 这 一 漏 洞 ， 而 且 发 布 C h r o m e   S t a b l e   5 8 时 ， 会 给 出 永 久 的 修 复 方 案 。 与 此 同 时 ， 建 议 可 能 受 此 钓 鱼 攻 击 影 响 的 用 户 暂 时 关 闭 浏 览 器 中 的 P u n y c o d e 支 持 ， 来 分 辨 钓 鱼 域 名 ， 缓 解 此 攻 击 。 P u n y c o d e 的 攻 击 方 式 存 在 两 个 明 显 的 优 势 ， 导 致 常 被 攻 击 者 选 取 用 来 攻 击 ： M a s q u a r a d i n g ： 从 肉 眼 上 很 难 区 分 正 常 域 名 和 p u n y c o d e 伪 装 的 域 名 ， 进 行 网 络 钓 鱼 的 成 功 率 很 高 。 E v a s i o n ： 从 安 全 防 护 的 角 度 而 言 ， 通 常 会 因 为 避 免 大 范 围 误 报 而 把 含 关 键 词 的 域 名 列 为 白 名 单 ， 所 以 可 以 有 效 的 绕 过 安 全 防 护 产 品 的 威 胁 情 报 检 测 等 功 能 。 2 . 3 如 何 防 御 如 何 防 御 P u n y c o d e 钓 鱼 攻 击 呢 ？ 钓 鱼 攻 击 呢 ？ 用 户 在 点 击 任 何 通 过 短 信 或 I M 应 用 程 序 共 享 的 链 接 之 前 应 保 持 警 惕 ， 即 使 它 们 来 自 于 一 位 可 信 的 联 系 人 。 I D N 格 式 显 示 由 浏 览 器 设 计 控 制 ， 最 终 用 户 在 控 制 如 何 显 示 U R L 有 局 限 性 。 主 要 和 最 有 效 的 方 法 是 利 用 密 码 管 理 器 在 输 入 密 码 之 前 检 查 U R L ， 这 可 有 效 降 低 用 户 向 同 形 异 义 网 址 钓 鱼 网 站 输 入 凭 证 的 机 会 。 辅 助 检 查 将 有 效 检 测 U R L 以 查 看 是 否 有 任 何 明 显 的 字 符 切 换 。 低 版 本 的 用 户 禁 用 浏 览 器 的 p u n y c o d e 支 持 其 它 浏 览 器 貌 似 旧 版 本 也 有 ， 感 兴 趣 的 可 自 行 搜 索 。 参 考 链 接 参 考 链 接 h t t p s : / / m p . w e i x i n . q q . c o m / s / y a N 1 W k A P R a Y l L u e k v o 8 z H g h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 8 9 0 6 6 # h 2 - 1 h t t p s : / / w w w . a n q u a n k e . c o m / p o s t / i d / 1 4 7 1 0 4 h t t p s : / / p r s d i g g . c o m / a r t i c l e s / 8 e d 6 2 5 2 3 c 1 6 7 e 2 f 3 d f 7 7 9 2 4 2 e 4 8 6 d 5 8 0 8 9 e 8 7 e 3 8 1 c 3 d 4 0 d 0 9 f 1 4 e 4 d f 0 c d c 1 3 8 5
精 彩 推 荐 精 彩 推 荐 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理