搜索

[92] 2019-11-16_指尖上的危险事件--点击劫持

文档创建者：s7ckTeam
浏览次数：4
最后更新：2025-01-15
2019-11-16_指尖上的危险事件--点击劫持 指 尖 上 的 危 险 事 件 - - 点 击 劫 持 原 创   小 屁 孩   A d m i n   T e a m   2 0 1 9 - 1 1 - 1 6 注 注 : 文 章 内 容 仅 供 学 习 参 考 ， 任 何 人 不 得 用 于 非 法 测 试 ， 请 遵 守 国 家 法 律 ！ 另 文 章 视 频 中 若 有 侵 权 行 为 文 章 内 容 仅 供 学 习 参 考 ， 任 何 人 不 得 用 于 非 法 测 试 ， 请 遵 守 国 家 法 律 ！ 另 文 章 视 频 中 若 有 侵 权 行 为 请 联 系 删 除 。 请 联 系 删 除 。 0 x 0 0   前 言 前 言 生 活 中 很 多 的 事 情 并 不 是 你 都 可 以 控 制 的 ， 网 络 中 也 是 ， 你 以 为 鼠 标 ， 键 盘 在 你 手 里 就 安 全 了 吗 ， 你 的 每 一 次 操 作 都 可 以 让 自 己 陷 入 深 渊 。 今 天 要 给 大 家 聊 一 聊   w e b   方 面 的 一 类 漏 洞 ， 点 击 劫 持 。 0 x 0 1   简 单 点 击 劫 持 攻 击 简 单 点 击 劫 持 攻 击 我 们 首 先 来 看 一 个 例 子 ；
大 家 可 以 看 到 ， 视 频 中 我 点 击   C l i c k   弹 出 了 所 在 地 区 的 天 气 ， 有 的 表 哥 可 能 会 想 C l i c k   是 不 是 个   a   标 签 ， 链 接 了 地 址 。 其 实 大 家 在 视 频 中 可 以 看 到 ， 在 同 样 位 置 的 下 方 我 放 了 一 个   a   标 签 做 对 比 ， a   标 签 显 示 的 颜 色 是 不 同 的 。 而 且 我 点 击 其 他 空 白 地 方 ， 明 明 什 么 都 没 有 ， 却 弹 出 来 近 日 的 新 闻 。 这 就 是 一 种 点 击 劫 持 。 我 们 来 看 一 下 这 个 例 子 的 基 本 原 理 是 什 么 。 文 件 代 码 如 下 ： < ! D O C T Y P E   h t m l > < h t m l > < h e a d >     < t i t l e > c l i c k   ！ ！ < / t i t l e >     < s t y l e >     i f r a m e {         w i d t h : 1 9 2 0 p x ;  
这 里 我 们 先 来 了 解 几 个 主 要 的   C S S   样 式 的 知 识 ， p o s i t i o n   用 来 定 义 标 签 的 位 置 ， 当 选 项 为   a b s o l u t e   时 ， 为 绝 对 定 位 ， 元 素 可 以 放 置 到 页 面 上 的 任 何 位 置 。 z - i n d e x   属 性 设 置 元 素 的 堆 叠 顺 序 。 拥 有 更 高 堆 叠 顺 序 的 元 素 总 是 会 处 于 堆 叠 顺 序 较 低 的 元 素 的 前 面 。 Z - i n d e x   仅 能 在 定 位 元 素 上 奏 效 （ 例 如   p o s i t i o n : a b s o l u t e ; ） ！ o p a c i t y   属 性 设 置 元 素 的 不 透 明 级 别 。 在 我 将 透 明 度 改 为 0 . 5 以 后 ， 其 实 我 们 真 实 的 页 面 是 下 面 这 个 样 子 的 。         w i d t h : 1 9 2 0 p x ;           h e i g h t : 1 0 8 0 p x ;           p o s i t i o n : a b s o l u t e ;                     t o p :   0 p x ;             l e f t : 0 p x ;             z - i n d e x :   2 ;         - m o z - o p a c i t y :   0 . 0 ;             o p a c i t y :   0 . 0 ;         } < / s t y l e > < / h e a d > < b o d y >     < i f r a m e   s r c = " 百 度 一 下 ， 你 就 知 道 . h t m l "   s c r o l l i n g = " n o " > < / i f r a m e >     < p > C l i c k   ! ! < / p > < b r >     < a   h r e f = " w w w . b a i d u . c o m " > C l i c k   ! ! < / a > < / b o d y > < / h t m l >
0 x 0 2   图 片 覆 盖 攻 击 图 片 覆 盖 攻 击 道 哥 的 书 里 面 还 有 个 有 意 思 的 类 似 例 子 ， 叫 做 图 片 覆 盖 攻 击 ， 其 实 原 理 与 点 击 劫 持 类 似 ， 都 是 利 用 视 觉 欺 骗 和 受 害 者 的 好 奇 心 。 这 张 图 片 不 知 道 各 位 表 哥 可 以 看 出 来 有 什 么 区 别 吗 ？ ( 细 心 的 话 还 是 可 以 看 出 来 一 点 的 ， 但 是 我 相 信 你 在 上 网 的 时 候 不 会 关 注 这 个 。 ) 先 来 看 一 下 演 示 视 频 ：
这 里 我 就 是 将 百 度 页 脚 部 分   设 为 首 页   进 行 了 图 片 覆 盖 ， 视 频 中 可 以 看 到 在 正 常 情 况 下 ， 跳 转 到 正 常 的 百 度 页 面 ， 而 点 击 被 覆 盖 的 地 方 却 跳 转 到 了 我 们 指 定 的 必 应 界 面 。 这 里 我 也 在 想 ， 如 何 利 用 点 击 劫 持 进 行 攻 击 ？ 其 实 如 果 我 们 将 网 络 钓 鱼 和 点 击 劫 持 结 合 在 一 起 ， 诱 骗 受 害 者 下 载 某 些 非 法 文 件 或 者 执 行 某 些 非 法 操 作 ， 就 可 以 完 成 某 些 攻 击 。 0 x 0 3   网 络 钓 鱼 网 络 钓 鱼 + 点 击 劫 持 点 击 劫 持 + m s f 前 段 时 间 公 众 号 推 过 篇 钓 鱼 的 文 章 ， 这 里 我 们 就 可 以 尝 试 利 用 钓 鱼 + 点 击 劫 持 ， 诱 导 受 害 者 下 载 被 改 过 名 或 者 进 行 过 免 杀 的 木 马 文 件 ， 进 而 完 成 攻 击 。 社 工 之 网 络 钓 鱼 这 里 假 设 受 害 者 连 上 了 我 们 构 造 的 钓 鱼   W I F I   热 点 ， 热 点 的   D N S   将 百 度 解 析 到 我 们 自 己 的 服 务 器 地 址 ， 而 在 服 务 器 地 址 上 我 们 构 造 了 用 于 钓 鱼 的 浏 览 器   F l a s h   升 级 页 面 ， 诱 导 受 害 者 安 装   F l a s h   ， 而 提 示 安 装 的 地 方 利 用 点 击 劫 持 ， 让 用 户 在 不 知 情 的 情 况 下 下 载 安 装 我 们 改 过 名 的   m s f   木 马 文 件 。
示 例 参 考 一 下 视 频 ：
0 x 0 4   关 于 点 击 劫 持 的 预 防 关 于 点 击 劫 持 的 预 防 网 站 方 面 ： 很 多 网 站 对 用 户 保 留 了   < i m g >     标 签 ， 可 用 于 用 户 信 息 设 定 头 像 等 ， 这 里 就 需 要 注 意 ， < i m g >   标 签 的   s t y l e   属 性 是 否 可 能 导 致 浮 出 ， 是 否 可 被 攻 击 者 进 行 网 站 某 些 关 键 信 息 的 修 改 ， 或 者 图 片 覆 盖 。 利 用 专 门 防 御   i f r a m e   嵌 套 的 点 击 劫 持 攻 击 ， 由 微 软 提 出 的 一 个   h t t p   头 在 I E 8 、 F i r e f o x 3 . 6 、 C h r o m e 4 以 上 的 版 本 均 能 很 好 的 支 持 。 用 户 方 面 ： 点 击 劫 持 的 利 用 有 点 类 似 于 钓 鱼 攻 击 ， 一 方 面 需 要 自 己 有 些 安 全 意 识 ， 另 一 方 面 要 清 楚 自 己 所 操 作 的 每 一 步 的 意 义 ， 尤 其 在 软 件 安 装 或 者 下 载 文 件 时 ， 检 查 文 件 的 合 法 性 。 这 里 引 用 黑 客 军 团 里 的 一 句 话 ： Y o u   h a v e   t o   d i g   p r e t t y   d e e p , k i d d o , b e f o r e   y o u   c a n   f i n d   a n y t h i n g   r e a l . 注 注 : 文 章 内 容 仅 供 学 习 参 考 ， 任 何 人 不 得 用 于 非 法 测 试 ， 请 遵 守 国 家 法 律 ！ 另 文 章 视 频 中 若 有 侵 权 行 为 文 章 内 容 仅 供 学 习 参 考 ， 任 何 人 不 得 用 于 非 法 测 试 ， 请 遵 守 国 家 法 律 ！ 另 文 章 视 频 中 若 有 侵 权 行 为 请 联 系 删 除 。 请 联 系 删 除 。                                                 写 留 言 写 留 言 X - F R A M E - O P T I O N S  
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理