搜索

[5620] 2019-01-10_波兰研究员发布新工具，能自动绕过2FA进行钓鱼攻击

文档创建者：s7ckTeam
浏览次数：16
最后更新：2025-01-17
2019-01-10_波兰研究员发布新工具，能自动绕过2FA进行钓鱼攻击 波 兰 研 究 员 发 布 新 工 具 ， 能 自 动 绕 过 2 F A 进 行 钓 鱼 攻 击 原 创   E 安 全   E 安 全   2 0 1 9 - 0 1 - 1 0 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m 小 编 来 报 ： 小 编 来 报 ： 国 际 特 赦 组 织 （ A m n e s t y   I n t e r n a t i o n a l ） 的 报 告 和 M o d l i s h k a 工 具 发 布 一 个 月 后 ， 人 们 对 2 F A （ 双 因 子 验 证 ） 的 信 任 感 逐 渐 降 低 。 据 外 媒 报 道 ， 2 0 1 9 年 年 初 ， 一 名 波 兰 安 全 研 究 人 员 发 布 了 一 个 新 的 渗 透 测 试 工 具 ， 名 为 M o d l i s h k a 。 该 工 具 可 以 该 工 具 可 以 非 常 轻 非 常 轻 松 地 进 行 自 动 化 钓 鱼 攻 击 ， 甚 至 可 以 破 解 松 地 进 行 自 动 化 钓 鱼 攻 击 ， 甚 至 可 以 破 解 登 录 登 录 受 受 2 F A （ 双 因 子 验 证 ） （ 双 因 子 验 证 ） 保 护 的 保 护 的 账 户 账 户 。 。 M o d l i s h k a 是 I T 专 业 人 士 所 称 的 反 向 代 理 服 务 器 ， 但 经 修 改 后 可 用 于 登 录 页 面 和 钓 鱼 操 作 。 M o d l i s h k a 位 于 用 户 和 目 标 网 站 （ 如 位 于 用 户 和 目 标 网 站 （ 如 G m a i l 、 、 Y a h o o 或 或 P r o t o n M a i l ） 之 间 。 当 受 害 者 连 接 到 ） 之 间 。 当 受 害 者 连 接 到 M o d l i s h k a 服 务 器 （ 托 管 服 务 器 （ 托 管 钓 鱼 域 名 ） ， 它 后 面 的 反 向 代 理 组 件 便 向 模 拟 的 站 点 发 出 请 求 。 钓 鱼 域 名 ） ， 它 后 面 的 反 向 代 理 组 件 便 向 模 拟 的 站 点 发 出 请 求 。 受 害 者 虽 然 从 合 法 站 点 接 收 到 真 实 的 内 容 ， 但 是 受 害 者 与 合 法 站 点 所 有 的 通 信 量 和 交 互 信 息 都 经 过 并 记 录 在 M o d l i s h k a 服 务 器 上 。 用 户 输 入 的 密 码 都 将 自 动 记 录 到 用 户 输 入 的 密 码 都 将 自 动 记 录 到 M o d l i s h k a 后 端 面 板 。 后 端 面 板 。 当 用 户 申 请 账 户 2 F A 令 牌 时 ， 反 向 代 理 还 会 提 示 用 户 输 入 2 F A 令 牌 。 如 果 攻 击 者 能 够 实 时 收 集 这 些 2 F A 令 牌 ， 他 们 可 以 登 录 受 害 者 的 帐 户 并 建 立 新 的 合 法 会 话 。 M o d l i s h k a 设 计 简 单 ， 不 需 使 用 任 何 设 计 简 单 ， 不 需 使 用 任 何 “ 模 板 模 板 ” 。 。 所 有 内 容 能 从 合 法 站 点 实 时 获 取 ， 因 此 攻 击 者 不 需 要 花 费 很 多 时 间 更 新 和 调 整 模 板 。 攻 击 者 只 需 要 一 个 钓 鱼 域 名 （ 用 于 M o d l i s h k a 服 务 器 上 ） 和 一 个 有 效 的 T L S 证 书 ， 以 避 免 用 户 收 到 缺 少 H T T P S 连 接 的 警 告 。 最 后 一 步 是 配 置 一 个 简 单 的 配 置 文 件 ， 在 受 害 者 发 现 自 己 进 入 钓 鱼 网 站 之 前 ， 让 受 害 者 进 入 真 正 的 站 点 。 最 后 一 步 是 配 置 一 个 简 单 的 配 置 文 件 ， 在 受 害 者 发 现 自 己 进 入 钓 鱼 网 站 之 前 ， 让 受 害 者 进 入 真 正 的 站 点 。 M o d l i s h k a 的 研 究 人 员 表 示 ， 与 以 往 的 钓 鱼 工 具 不 同 ， M o d l i s h k a 是 一 个 点 击 式 的 自 动 化 系 统 ， 维 护 成 本 很 低 。 是 一 个 点 击 式 的 自 动 化 系 统 ， 维 护 成 本 很 低 。 该 研 究 人 员 称 ， 他 在 2 0 1 8 年 初 开 始 这 个 项 目 时 ， 主 要 想 编 写 一 个 易 于 使 用 的 工 具 ， 这 样 就 不 需 要 在 每 一 次 钓 鱼 活 动 时 准 备 静 态 网 页 模 板 。 作 为 作 为 M I T M （ 中 间 人 攻 击 ） 的 参 与 者 ， 创 建 通 用 且 易 于 自 动 化 的 反 向 代 理 似 乎 是 最 好 的 方 法 。 （ 中 间 人 攻 击 ） 的 参 与 者 ， 创 建 通 用 且 易 于 自 动 化 的 反 向 代 理 似 乎 是 最 好 的 方 法 。 他 还 表 示 ， 这 个 工 具 改 变 了 之 前 钓 鱼 工 具 的 规 则 ， 点 击 即 可 实 现 反 向 代 理 ， 可 对 他 还 表 示 ， 这 个 工 具 改 变 了 之 前 钓 鱼 工 具 的 规 则 ， 点 击 即 可 实 现 反 向 代 理 ， 可 对 2 F A 自 动 进 行 钓 鱼 操 作 （ 但 无 自 动 进 行 钓 鱼 操 作 （ 但 无 法 钓 鱼 基 于 法 钓 鱼 基 于 U 2 F 协 议 的 令 牌 ） 。 协 议 的 令 牌 ） 。 工 具 用 于 J a v a S c r i p t 混 淆 代 码 或 是 H T M L 标 签 安 全 属 性 （ 如 i n t e g r i t y ） 时 ， 需 要 手 动 调 整 。 但 工 具 也 支 持 在 这 些 情 况 下 使 用 ， 后 续 也 将 继 续 升 级 工 具 版 本 。
国 际 特 赦 组 织 在 2 0 1 8 年 1 2 月 发 布 的 一 份 报 告 称 ， 由 国 家 资 助 的 黑 客 已 经 开 始 使 用 可 以 绕 过 由 国 家 资 助 的 黑 客 已 经 开 始 使 用 可 以 绕 过 2 F A 的 网 络 钓 鱼 系 统 。 的 网 络 钓 鱼 系 统 。 许 多 人 担 心 许 多 人 担 心 M o d l i s h k a 工 具 会 降 低 网 络 钓 鱼 难 度 ， 工 具 会 降 低 网 络 钓 鱼 难 度 ， “ 脚 本 小 子 脚 本 小 子 ” 在 几 分 钟 内 便 可 建 立 钓 鱼 网 站 。 在 几 分 钟 内 便 可 建 立 钓 鱼 网 站 。 此 外 ， 网 络 犯 罪 团 伙 能 利 用 这 个 工 具 轻 松 地 自 动 创 建 钓 鱼 网 页 。 研 究 员 为 什 么 在 G i t H u b 上 发 布 了 这 样 一 个 危 险 的 工 具 ？ 他 表 示 ， 如 果 没 有 事 实 能 证 明 理 论 上 的 风 险 ， 就 无 法 采 取 措 施 解 决 这 些 问 题 。 虽 然 虽 然 M o d l i s h k a 工 具 可 以 自 动 绕 过 基 于 工 具 可 以 自 动 绕 过 基 于 S M S 和 一 次 性 密 码 的 和 一 次 性 密 码 的 2 F A 进 行 钓 鱼 ， 但 无 法 绕 过 基 于 进 行 钓 鱼 ， 但 无 法 绕 过 基 于 U 2 F 协 议 的 硬 件 安 全 协 议 的 硬 件 安 全 密 钥 。 密 钥 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m 推 荐 阅 读 ： 超 过 1 1 0 0 0 辆 印 度 公 交 车 的 实 时 位 置 在 网 上 曝 光 4 0 款 智 能 门 锁 1 5 % 被 轻 易 打 开 ， 这 些 锁 究 竟 安 全 吗 ？ 新 技 术 可 防 范 G N S S 欺 骗 攻 击 澳 大 利 亚 选 举 系 统 将 对 2 0 1 9 年 的 选 举 进 行 全 天 候 监 控 选 购 W A F ， G a r t n e r 这 几 条 建 议 很 重 要 美 国 国 家 安 全 局 （ N S A ） 发 布 G h i d r a 逆 向 工 程 工 具 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 喜 欢 记 得 打 赏 小 E 哦 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理