搜索

[11145] 2017-03-18_针对银行钓鱼事件的分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2017-03-18_针对银行钓鱼事件的分析 针 对 银 行 钓 鱼 事 件 的 分 析 s e c i s t   F r e e B u f   2 0 1 7 - 0 3 - 1 8 相 信 不 少 人 都 有 收 到 过 钓 鱼 邮 件 的 经 历 。 然 而 ， 随 着 反 垃 圾 邮 件 技 术 的 更 进 ， 大 多 数 这 类 邮 件 都 会 被 系 统 自 动 屏 蔽 ， 而 无 相 信 不 少 人 都 有 收 到 过 钓 鱼 邮 件 的 经 历 。 然 而 ， 随 着 反 垃 圾 邮 件 技 术 的 更 进 ， 大 多 数 这 类 邮 件 都 会 被 系 统 自 动 屏 蔽 ， 而 无 法 发 送 到 用 户 邮 箱 。 但 是 ， 大 多 数 并 不 代 表 全 部 。 下 面 的 这 个 例 子 就 是 个 很 好 的 说 明 。 法 发 送 到 用 户 邮 箱 。 但 是 ， 大 多 数 并 不 代 表 全 部 。 下 面 的 这 个 例 子 就 是 个 很 好 的 说 明 。 这 封 邮 件 的 主 题 是 用 巴 西 葡 萄 牙 语 写 的 ， 主 要 内 容 是 针 对 S a n t a n d e r 银 行 “ 溢 价 ” 账 户 持 有 人 的 警 告 。 不 难 看 出 ， 这 是 一 封 典 型 的 钓 鱼 邮 件 。 附 件 诱 骗 钓 鱼 附 件 诱 骗 钓 鱼 对 于 普 通 用 户 而 言 ， 多 数 收 到 这 类 邮 件 的 人 ， 都 只 会 通 过 简 单 的 发 件 人 信 息 来 判 断 邮 件 的 可 信 度 ， 或 者 直 接 将 其 拖 放 到 垃 圾 箱 。 但 是 对 于 安 全 分 析 师 而 言 ， 我 们 希 望 深 入 了 解 附 件 包 含 的 内 容 和 消 息 的 真 正 来 源 。 通 过 查 看 H T M L 源 码 ， 我 们 可 以 看 到 一 个 非 常 简 单 的 图 片 链 接 ：
打 开 该 图 片 链 接 ， 是 一 个 类 似 于 S a n t a n d e r 银 行 的 页 面 。 如 下 ： 可 以 看 到 ， 该 页 面 的 内 容 依 旧 是 用 巴 西 葡 萄 牙 语 写 的 ， 并 且 页 面 上 所 有 的 联 系 电 话 ， 都 为 S a n t a n d e r 银 行 的 真 实 电 话 ， 整 个 页 面 的 布 局 也 完 全 与 银 行 的 沟 通 界 面 类 似 。 需 要 注 意 的 是 ， 巴 西 银 行 从 来 不 会 通 过 电 子 邮 件 的 方 式 ， 向 客 户 发 送 任 何 安 全 警 告 。 页 面 的 内 容 是 在 警 告 用 户 ， 他 们 的 计 算 机 上 的 安 全 模 块 已 过 期 ， 如 果 不 及 时 更 新 到 最 新 版 本 ， 银 行 将 向 他 们 发 出 2 4 6 . 6 7 B R L 的 罚 单 （ 约 $ 8 0 . 0 0 ） 。
钓 鱼 邮 件 来 自 何 处 ？ 钓 鱼 邮 件 来 自 何 处 ？ 一 般 情 况 下 ， 攻 击 者 很 少 会 使 用 自 己 的 服 务 器 来 发 送 钓 鱼 邮 件 。 他 们 通 常 会 利 用 手 中 的 “ 肉 鸡 ” ， 来 替 自 己 发 送 。 攻 击 者 入 侵 或 拿 下 一 台 服 务 器 ， 往 往 都 有 其 目 的 性 。 例 如 窃 取 机 密 数 据 ， 实 施 网 络 钓 鱼 ， 黑 帽 S E O 等 。 当 攻 击 者 成 功 入 侵 并 拿 下 服 务 器 后 ， 他 们 做 的 第 一 件 事 就 是 ， 创 建 一 种 方 法 来 保 持 对 该 站 点 的 持 久 控 ， 制 即 便 漏 洞 被 修 复 。 攻 击 者 通 常 会 在 网 站 安 装 后 门 程 序 ， 根 据 我 们 2 0 1 5 年 第 三 季 度 的 “ 黑 客 入 侵 网 站 趋 势 报 告 ” 显 示 ， 7 2 ％ 遭 到 入 侵 的 网 站 ， 都 被 安 装 了 至 少 一 个 的 基 于 P H P 后 门 ， 攻 击 者 通 常 都 会 安 装 多 个 后 门 ， 来 保 证 自 己 的 访 问 权 。 一 旦 后 门 被 成 功 安 装 ， 攻 击 者 将 会 进 一 步 的 对 目 标 站 点 进 行 渗 透 ， 以 保 证 利 益 的 最 大 化 。 邮 件 头 分 析 邮 件 头 分 析 我 们 可 以 通 过 对 邮 件 头 的 分 析 ， 得 到 一 些 有 价 值 的 信 息 。 例 如 ： X - P H P - O r i g i n a t i n g - S c r i p t   -   邮 件 发 送 所 使 用 的 脚 本 语 言 M e s s a g e - I D   -   显 示 托 管 脚 本 的 网 站 X - M a i l e r   -   邮 件 发 送 所 使 用 的 程 序 及 版 本 大 伙 可 能 注 意 到 了 ， 以 上 并 没 有 出 现 X - H E A D E R 的 内 容 。 这 是 因 为 X - H E A D E R ， 并 非 一 个 有 效 邮 件 事 务 所 必 须 的 。 这 些 类 型 的 头 ， 都 是 由 程 序 添 加 用 以 跟 踪 和 调 试 目 的 的 。 从 以 上 头 信 息 中 我 们 可 以 得 知 ， 原 始 消 息 发 送 自 a d d - f r o m - s e r v e r . p h p 这 个 脚 本 ， 并 且 使 用 的 是 P H P M a i l e r   [ 1 . 7 3 版 本 版 本 ] 。 P H P M a i l e r   1 . 7 3 是 一 个 非 常 老 的 P H P M a i l e r 版 本 ， 并 且 存 在 远 程 代 码 执 行 漏 洞 。 从 M e s s a g e - I D 中 我 们 可 以 找 到 钓 鱼 邮 件 的 来 源 网 站 （ 上 图 马 赛 克 ） ， 下 面 我 将 尝 试 使 用 S i t e C h e c k 对 该 站 点 进 行 扫 描 检 测 。 扫 描 原 始 站 点 扫 描 原 始 站 点 从 扫 描 结 果 中 我 们 惊 讶 的 发 现 ， 该 站 点 感 染 了 垃 圾 S E O （ 黑 帽 S E O ） ：
并 且 … 根 据 S i t e C h e c k 显 示 的 网 站 详 细 信 息 标 签 ， 我 们 可 以 看 出 该 站 点 所 使 用 的 程 序 版 本 已 经 过 时 ， 并 且 存 在 安 全 漏 洞 。 我 们 不 能 确 定 ， 在 网 站 上 做 垃 圾 S E O 和 发 送 钓 鱼 邮 件 的 是 否 为 同 一 攻 击 者 ， 因 为 在 此 之 前 钓 鱼 攻 击 者 对 于 发 送 垃 圾 S E O 邮 件 的 事 并 不 知 情 。 其 实 这 也 并 不 奇 怪 ， 一 个 网 站 同 时 遭 受 多 个 攻 击 者 攻 击 的 例 子 ， 在 之 前 的 文 章 我 早 有 提 及 。
如 何 避 免 成 为 受 害 者 ？ 如 何 避 免 成 为 受 害 者 ？ 现 在 让 我 们 把 目 光 转 到 之 前 发 现 的 那 个 ， 用 于 发 送 消 息 的 a d d - f r o m - s e r v e r . p h p 文 件 上 。 该 文 件 属 于 a d d - f r o m - s e r v e r 插 件 下 的 一 个 文 件 ， 并 且 该 插 件 存 在 C S R F 漏 洞 。 攻 击 者 可 以 通 过 向 管 理 员 发 送 恶 意 构 造 的 链 接 诱 骗 管 理 员 点 击 ， 从 而 触 发 该 漏 洞 将 后 门 上 传 至 目 标 站 点 。 网 站 所 有 者 或 其 他 管 理 员 ， 都 可 能 是 被 攻 击 的 对 象 。 下 面 是 我 的 一 些 安 全 建 议 ： 不 要 轻 易 相 信 您 收 到 的 电 子 邮 件 ， 特 别 是 附 件 。 停 用 浏 览 器 中 的 J a v a s c r i p t 。 不 要 使 用 办 公 电 脑 ， 浏 览 有 风 险 的 网 站 。 使 用 信 誉 良 好 的 杀 毒 软 件 。 设 置 足 够 安 全 和 强 大 的 密 码 。 对 账 户 尽 可 能 的 启 用 双 因 素 认 证 。 * 参 考 来 源   ： s u c u r i ， F B 小 编   s e c i s t   编 译 ， 转 载 请 注 明 来 自 F r e e B u f （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理