网络钓鱼(Phishing),并不是一种新的入侵方法,但是它的危害范围却在逐渐扩大,并成为近期威胁网络安全的最大危害之一。你了解Phishing吗?与传统的入侵方式相比,它有什么显著特点呢?典型的Phishing案例有哪些?如何防范被Phishing呢?
释疑网络钓鱼
网络钓鱼(Phishing),并不是一种新的入侵方法,但是它的危害范围却在逐渐扩大,成为近期最严重的网络威胁之一。Phishing就是指入侵者通过处心积虑的技术手段伪造出一些以假乱真的网站,或诱惑受害者根据指定方法操作的email等方法,使得受害者“自愿”交出重要信息或被窃取重要信息(例如银行账户密码)的手段。入侵者并不需要主动攻击,他只需要静静等候这些钓竿的反应并提起一条又一条鱼就可以了,就好像是“姜太公钓鱼,愿者上钩 ”。
看到这里,有些读者可能会说,这不是社会工程学吗?两者都是骗人的手段啊。不错,网络钓鱼里面的确有社会工程学的影子,但是与后者相比,网络钓鱼更趋向于技术方面,因为它不仅仅是欺骗,里面还必须掺入技术成分,否则如果连“垂钓者”自己都无法控制“钓竿”的话,又怎么可能钓到鱼呢?
视觉陷阱:网页背后的钓竿
警察正在分析张经理那台笔记本电脑硬盘里的数据,一个分析员无意中打开了Foxmail,发现最后一封信件是银行发送的,主题为“XX网络银行关于加强账户安全的通告”,分析员预测案件与这封信件有重大关系,马上打开阅读。这是一封HTML网页模板的信件,内容大意为银行为了加强账户安全而升级了系统,请各位客户尽快重新设置账户密码,末尾还给出了设置密码的URL链接。
幕后黑手果然在这里!分析员马上查看信件源代码,很快就找出了其中的猫腻:正如常说的“说的一套,做的一套”,这个邮件的作者采用了“看的一套,进的一套”这种简单的欺骗手法,入侵者利用HTML语言里URL标记的特性,把它写成了这样:
“〈A HREF="http://www.xxxbank.com.cn/account/index.asp" 〉
http://www.xxbank.com.cn/account/index.asp〈 /A 〉”
由于心理作用,受害者潜意识里都会直接点击那个写着 “http://www.xxbank.com.cn/account/index.asp”的URL链接,然而他们并不知道,这个点击实际上是把他们引向“http://www.xxxbank.com.cn/account/index.asp”这条钓竿!而这个所谓的更改密码页面,当然伪造得与真正的银行页面完全一致,但是它的“更改密码”功能却是把账号和密码发送到了幕后的“垂钓者”手上,然后“垂钓者”登录上真正的网络银行改了受害者设置的密码,并顺手牵羊把银行账户里的存款转移掉。这样钓来的鱼,即使是小鱼也会让“垂钓者”在梦里发出笑声来了,即使一条太小,积累起来的数目也会变得相当可观了。在金钱的诱惑下,“垂钓者”一次又一次提竿,殊不知,他自己也是被金钱钓竿钓上的一条鱼。
拙劣手段成功的关键
为什么如此拙劣的技术却能频频得手呢?在你的实际生活中有没有遇到类似的情况呢?你会采取什么样的预防措施呢?
因为网络钓鱼充分利用了人们的心理漏洞,首先,人们收到银行这类影响力很大的商务邮件时几乎都会紧张,很多人都不曾怀疑信件的真实性,更会下意识地根据要求打开邮件里面指定的URL进行操作;其次,页面打开后,我们通常都只会留意页面内容而不会注意浏览器地址栏的显示,正是这点让“垂钓者”有了可乘之机。
其实“垂钓者”们是可以利用IE的URL欺骗漏洞把自己伪装得更像一回事似的,只是现在 IE普遍打了补丁,这种情况下还使用这个漏洞就会“不打自招”了,所以只有极少数“垂钓者 ”会采用这个方法,有的“垂钓者”根本连个看起来“比较正规”的域名都没有,而是采用IP 地址形式甚至直接光明正大把真实地址显示在浏览器的地址栏里 —— 因为他们知道,除非出现意外情况,否则大部分人根本是不会注意浏览器的地址栏的。
借竿钓鱼:爱恨交加的搜索引擎
由于Internet的迅速发展,信息量大爆炸时代随着网络的普及耸立在世人面前,我们可以获取信息的途径越来越多,但是查找特定的信息数据也开始变得困难,为此人们急切需要一种能尽量把各种信息统一管理并提供简便搜索功能的工具,搜索引擎因此而诞生。与此同时,搜索引擎的代表作Google由于技术的强大已经成为病毒和入侵者窥视的焦点。
这次,依旧是Google惹的祸。很早以前,Google就“提供”了一种“搜索入侵”:入侵者通过在Google上查询某些特定的字符,可以发现甚至直接进入存在该漏洞的计算机,当年有许多存在Unicode漏洞的计算机就是被Google拎了出来 —— 只要搜索诸如 “/scripts/..% 255c ../winnt/system32/cmd.exe?/c+dir” 此类的关键字就能发现很多包含“Directory of” 字符串的IP地址,点击进去,你会发现你已经用Unicode漏洞入侵了该计算机 …… 现在虽然这个方法已经基本失效,但是Google带来的安全性问题却更值得引起所有人的重视。面对强大的Google,“垂钓者”已经不满足于仅靠Web页面钓鱼,他们还看上了Google的桌面搜索工具Desktop Search,这个工具存在一个信息泄漏的漏洞,入侵者能通过脚本程序欺骗Desktop Search提供用户信息,最常见的就是泄漏磁盘数据。利用这个漏洞提供的信息,“垂钓者”可以伪造相关信件并建立欺骗性的电子商务网站,让用户误以为是大公司发给自己的信函而受欺骗。一些“垂钓者”用假的口令验证得以窃取用户信息,另一些则欺骗用户点击一些商品信息而被种植木马程序。
|