搜索

[581] 2017-11-17_伪造HTTPS证书

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2017-11-17_伪造HTTPS证书 伪 造 H T T P S 证 书 A r k T e a m   2 0 1 7 - 1 1 - 1 7 作 者 ： { F r 4 n k ,   C r a f t s m a n } @ A r k T e a m 1 1 月 9 日 ， 维 基 解 密 曝 光 了 名 为 V a u l t   8 的 新 一 系 列 C I A 网 络 武 器 ， 其 中 公 布 的 蜂 巢 H i v e 工 具 是 一 个 植 入 框 架 ， 目 的 是 让 C I A 特 工 能 够 非 常 隐 蔽 地 控 制 其 部 署 在 受 感 染 机 器 上 的 恶 意 软 件 ， 协 助 C I A 从 目 标 机 器 中 以 H T T P S 协 议 和 数 据 加 密 方 式 执 行 命 令 和 窃 取 数 据 。 H i v e 整 个 框 架 分 为 四 个 层 次 。 被 感 染 机 器 上 运 行 有 h i v e 框 架 生 成 的 恶 意 植 入 软 件 。 这 些 植 入 软 件 有 着 不 同 的 后 门 功 能 ， 但 他 们 至 少 都 会 与 其 中 一 个 域 名 服 务 器 通 信 。 服 务 器 表 面 上 像 是 C I A 后 端 基 础 设 施 的 公 共 端 ， 用 来 作 为 H T T P S 请 求 通 信 的 中 转 站 ， 但 实 际 目 的 是 通 过 V P N 去 链 接 一 个 C I A 隐 藏 服 务 （ B l o t ） 的 功 能 。 B l o t   S e r v e r 根 据 请 求 来 源 把 请 求 分 配 到 不 同 的 服 务 器 。 普 通 用 户 通 过 浏 览 器 直 接 访 问 B l o t   S e r v e r 时 ， 由 于 没 有 带 有 合 法 的 S S L 验 证 ， B l o t 会 将 流 量 分 配 给 c o v e r   s e r v e r ， 服 务 器 会 返 回 一 个 正 常 的 网 页 内 容 给 用 户 。 若 B l o t   接 受 到 客 户 端 发 送 的 带 有 有 效 证 书 的 流 量 （ 只 有 恶 意 软 件 会 发 送 带 有 有 效 证 书 的 流 量 ） ， 那 么 b l o t 就 将 此 流 量 转 发 给 H o n e y c o m b 。 H o n e y c o m b 服 务 器 接 收 来 自 恶 意 软 件 客 户 端 的 信 息 ， C I A 可 以 使 用 恶 意 软 件 在 目 标 机 器 上 执 行 任 务 ， 因 此 H o n e y c o m b 充 当 了 恶 意 软 件 真 正 的 C C 服 务 器 的 作 用 。 图 1   蜂 巢 H I V E 框 架 有 意 思 的 是 在 披 露 的 源 码 目 录 下 存 在 伪 装 成 卡 巴 斯 基 公 司 的 客 户 端 认 证 证 书 c l i e n t . c r t ， 该 证 书 的 签 发 机 构 为 T h a w t e   P r e m i u m   S e r v e r   C A 数 字 证 书 公 司 。 这 样 即 使 流 量 被 分 析 ， 也 不 会 把 矛 头 指 向 C I A 。 在 分 析 过 程 中 ， 我 们 提 炼 出 伪 造 卡 巴 斯 基 证 书 部 分 并 实 现 到 域 名 劫 持 应 用 场 景 。
图 2   蜂 巢 H i v e 中 证 书 伪 造 部 分 结 构 搭 建 A p a c h e 服 务 器 + S S L 模 块 为 网 站 配 置 H T T P S ， 能 够 实 现 正 常 访 问 后 ， 内 网 中 搭 建 D N S 服 务 器 并 完 成 正 反 向 域 名 解 析 配 置 。 通 过 o p e n s s l 完 成 伪 造 证 书 的 过 程 ， 并 生 成 相 关 私 钥 K E Y 、 证 书 请 求 文 件 C S R 、 C A 证 书 和 经 C A 颁 发 的 证 书 C R T 。 图 3   相 关 证 书 文 件 将 证 书 文 件 添 加 到 A p a c h e 服 务 器 配 置 文 件 中 。 图 4   A p a c h e 服 务 器 全 局 配 置 文 件 重 启 A p a c h e 服 务 器 、 D N S 服 务 器 ， 通 过 内 网 用 户 电 脑 查 看 相 关 域 名 I P 映 射 验 证 D N S 服 务 器 是 否 搭 建 完 成 。 图 5   用 户 查 看 域 名 I P 映 射 用 户 访 问 域 名 w w w . k a s p e r s k y . c o m ， 实 现 安 全 访 问 网 站 ， 伪 造 证 书 成 功 。
图 6   伪 造 证 书 并 实 现 安 全 访 问 图 7   伪 造 证 书 与 浏 览 器 信 任 证 书 对 比 通 过 复 现 证 书 伪 造 过 程 并 应 用 到 实 际 场 景 中 ， 可 以 看 到 伪 造 H T T P S 网 站 证 书 并 结 合 其 他 利 用 手 段 威 力 强 大 ， 同 时 这 次 泄 密 事 件 的 发 生 也 再 次 为 我 们 敲 响 了 没 有 绝 对 安 全 的 警 钟 。 当 然 在 实 验 的 场 景 应 用 中 最 终 实 现 H T T P S 域 名 劫 持 效 果 是 结 合 D N S 劫 持 、 伪 造 证 书 及 权 威 C A 的 组 合 效 果 。 对 此 ， 我 们 给 出 的 建 议 是 企 业 保 护 其 用 户 免 受 恶 意 证 书 的 危 害 的 最 好 办 法 是 确 保 浏 览 器 保 持 更 新 了 最 新 的 证 书 信 任 列 表 。 打 开 浏 览 器 中 的 证 书 吊 销 检 查 并 不 能 够 很 有 效 地 确 定 证 书 仍 然 有 效 ， 更 好 的 选 择
是 使 用 防 火 墙 来 深 层 扫 描 S S L 加 密 流 量 ， 以 嗅 出 假 证 书 或 恶 意 代 码 。 安 全 团 队 还 应 该 监 控 安 全 新 闻 f e e d s ， 并 且 在 还 没 有 可 用 更 新 而 对 网 络 的 风 险 被 认 为 不 可 接 受 时 ， 应 该 从 根 存 储 手 动 删 除 不 受 信 任 证 书 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理